1

AP4-AA4-EV1-MECANISMOS DE CONTROL Y SEGURIDAD

ANALISIS Y DESARROLLO DE SISTEMAS DE INFORMACION

APRENDICES
Juan Diego Prtela Lozano
Yeison Gabriel Hernndez Guerrero

TUTOR:
Jamir Antonio Berrio Martinez

FORMACIN EN AMBIENTES VIRTUALES DE APRENDIZAJE

SENA
FASE 3: Diseo
16/11/17
 2

1. SEGMENTACIN DE PROCESOS, PERFILES Y ROLES:

Hoy en da la interconexin entre redes es ms comn de lo que parece, desde
una simple conexin a internet, ya estamos sumergidos en un sin fin de conexiones,
de las que muchas veces como usuarios ni nos damos cuenta de todo lo que
acontece detrs de un simple cable de red.
Precisamente para mantener un orden detrs de ese cable existe algo que permite
la comunicacin entre redes y pginas, que permite una mejor distribucin de todos
los datos que por all viajan, permite un mejor manejo del ancho de banda utilizado
por cada usuario de las Instituciones educativas que es en s, lo que vamos a crear
en la red, a esa distribucin la llamamos Software de Control Educativo.
En si tenemos un motivo grande ya que es la falla de Informacion en las Instituciones
Educativas ya que no existe en la red una pagina que lleve todas las caractersticas
de un software educativo, por tal razn vamos a llegar a cabo la creacin de del
Software educativo y haci lograr dar una solucin al problema de la Instituciones
Educativas.
Gracias al desarrollo de la tecnologa y crendose lo que se conoce como TIC
(tecnologas de la informacin y la comunicacin) e implementando estas
tecnologas en el desarrollo de nuestro proyecto, como tambin implementando las
tics para romper las barreras de la comunicacin y permitiendo el desarrollo de
actividades dan su espacio fsico es diferente permitiendo as darle una solucin a
la demanda en colegios, escuelas, jardines, Etc., pudiendo as por medio de este
proyecto de software educativo comunicar a los usuarios finales con el desarrollo
de todas las actividades estudiantiles de un alumno pudiendo as interactuar en el
momento y espacio real con los docentes, directivas, secretaria, coordinacin y
dems entes que conforman una institucin educativa, para as beneficiar no solo a
los padres de familia sino tambin a los mismos alumnos con el proceso de su
formacin pues hoy en da con la confusin del afn, estrs, y adversidades
laborales esto es muy difcil (tener una unin y acercamiento con el alumno, padre,
docente como unidad familiar).
 3

2. MECANISMO DE AUTENTICACIN A IMPLEMENTAR EN EL SISTEMA:

En nuestro Software de Control Educativo se tendrn en cuenta lo siguiente:
Autenticacin clsica
En nuestro Sistema habitual cada usuario posee un nombre de entrada al sistema
o Login y una clave o Password; ambos datos se almacenan generalmente en el
fichero /etc. Este archivo contiene una lnea por usuario donde se indica la
informacin necesaria para que los usuarios registrados en las Instituciones
Educativas puedan conectar al sistema y trabajar en l.
Es decir que este proceso de confirmacin verifique si ese alguien es quien dice ser
o si el usuario que intenta entrar a la plataforma es quien dice ser, esta autenticacin
permite la seguridad de la red, los datos que se almacenan en l. Este proceso se
divide en tres pasos: Autenticacin, Autorizacin, Auditoria
Autenticacin: Se realiza por medio de un password, tarjeta de identidad p
dispositivo de coordenadas, tambin se puede vasar en caractersticas
fsicas del usuario como verificacin de voz, de escritura, de huellas
dactilares u oculares ( reconocimiento iris)
Autorizacin: proceso mediante el cual la red de datos autoriza o no al
usuario a determinados recursos del sistema.
Es el que registra todos los registros asociados de la identificacin de un
usuario ya se encuentre autorizado o no., tambin se puede decir que es el
proceso mediante el cual el sistema le permite realizar, consultar, e intervenir
en la plataforma, o en el sistema dependiendo del tipo de usuario conocido y
hasta dnde puede llegar Ejemplo: (el Gerente de un banco, el cajero de un
banco y el usuario) como podemos ver todos tienen que ver con el banco
pero las restricciones son diferentes dependiendo del tipos de usuario que
interacte con el sistema bancario.

Envejecimiento de contraseas

En casi todas las implementaciones de Shadow Password actuales se suele incluir

la implementacin para otro mecanismo de proteccin de las claves denominado
envejecimiento de contraseas (Password A ging). La idea bsica de este
mecanismo es proteger los Password de los usuarios dndoles un determinado
 4

periodo de vida: una contrasea slo va a ser vlida durante un cierto tiempo,
pasado el cual expirar y el usuario deber cambiarla.

Cifrar los archivos

Guardados en nuestro servidor como tambin en los pc de nuestros usuarios esto

para evitar intrusos mal intencionados, malwares, robo de informacin, prdida
parcial o total de la misma. Esto se puede hacer desde Windows, Linux, OS X, Etc.,
para encintar la informacin que se encuentre garbada en nuestro disco duro para
evitar accesos no autorizados, tambin se puede mediante aplicaciones instaladas
en nuestros pc como por ejemplo TrueCrypty esta aplicacin es una herramienta de
software libre que permite cifrar informacin tanto en Windows, Linux, OS X que
permite cifrar el contenido completo del disco duro desde el arranque.
Tambin esta aplicacin AES de 256 bits es de un bajo costo y sirve para ponerla
en el arranque de una aplicacin como la que estamos creando, esta trabaja
establecindole una contrasea maestra e introducirla al arranque de la aplicacin
y as esta har carpeta de archivos cifrados esto permitiendo as solo guardar los
archivos que deseemos cifrar nicamente y no todo el disco duro.

PAM

Es un mtodo de autenticacin que proporciona un interfaz entre las aplicaciones y

el usuario don el sistema se autentica ante el usuario de echo esto es muy comn
en Linux por eso es una plataforma muy segura que no permite malware, ni usuarios
no deseados esto lo hace a travs de comprobaciones como: login, ftp, telnet, calves
de un solo uso, biomtricos, tarjetas inteligentes, Etc.
En si PAM permite desactivar las aplicaciones donde primero autentica el usuario
para as poderlo comunicar con la aplicacin.

3. Cifrado de datos: tipo de algoritmos a implementar:

Llamado con frecuencia DES es un algoritmo de cifrado don de emplea de un bloque

de 64Bits una calve de 54Bits durante su ejecucin esto quiere decir que elimina
8Bits de la paridad (valor calculado, reconstruir datos despus de un error) del
bloque de 64Bits esto para ser implementado en el hardware.

Cifrado de Datos: Quiere decir tambin es el proceso por el que la informacin

legible se transforma mediante un algoritmo llamado cifra, esta informacin llamado
criptograma o secreto, ya esta informacin puede ser manejada o enviada con ms
confiabilidad de no ser leda por terceras personas. Pero la persona la puede hacer
visible a travs de la clave de cifrado, a este proceso se le denomina encriptacin o
cifrado.
 5

Tipos de Cifrados
Cifrado Asimtrico: existen dos clases una publica y otra privada estas se
pueden usar en dos direcciones, el emisor cifra la informacin con la clave A
pblica, quien es la que puede conocer cualquiera sin embargo para
descifrarlo hace falta la clave B que solo la tiene el receptor, ya que es privada
y esto permite confidencialidad o cualquiera podra cifrar solo quien tenga la
clave privada podr descifrar algunos algoritmos son: DSA, RSA, Difiie-
Hellman.
Cifrado Simtrico: El emisor cifra el mensaje con la clave, y esa misma clave
deber ser usada para descifrarlo. Este tipo de algoritmos son rpidos
permiten cifrar y descifrar eficientemente, algunos de estos algoritmos de
este tipo son: Blowfish, IDEA, DES.

Cifrado Hibrido: A menudo las conexiones a internet se sirven de una mexcal

de los dos tipos de cifrado anteriores aprovechando los beneficios de cada
uno y suelen ser protocolo de comunicacin seguro como HTTPS (basado
en la capa SSL.), es cifrar los mensajes por medio de un algoritmo simtrico.
De esta manera en el destino primero a de cifrar la clave de cifrado simtrico,
con su clave privada y una vez tenida esta clave descifrar el mensaje esto
garantiza una conexin segura.
 6

4. PROCEDIMIENTOS ADICIONALES DE SEGURIDAD A IMPLEMENTAR:

El tema de la creacin de una aplicacin Web segura es muy amplio ya que requiere
realizar un estudio para comprender los puntos vulnerables de la
seguridad.

Mantener segura la informacin confidencial

Informacin confidencial es toda aquella informacin que se desea conservar
privada. Un ejemplo de informacin confidencial es una contrasea o una clave
cifrada. Si un usuario malintencionado consigue llegar a la informacin confidencial,
los datos protegidos se vern expuestos. Siga estas instrucciones:
Si la aplicacin transmite informacin confidencial entre el explorador y el
servidor, plantese utilizar el protocolo SSL (Secure Sockets Layer).

Utilice configuracin protegida para proteger la informacin confidencial en

archivos de configuracin como los archivos Web.config o Machine.config.
 7

Si debe almacenar informacin confidencial, no lo haga en una pgina Web, ni

siquiera en un formato que piense que la gente no podr verlo (por ejemplo,
cdigo del servidor).
Utilice los algoritmos de cifrado de alta seguridad proporcionados en el espacio
de nombres System.Security. Cryptography.

Protegerse contra entradas malintencionadas

Como regla general, nunca se debe dar por sentado que la entrada proveniente de
los usuarios es segura. A los usuarios malintencionados les resulta fcil enviar
informacin potencialmente peligrosa desde el cliente a la aplicacin. Para
protegerse contra las entradas malintencionadas, siga estas instrucciones:
En las pginas Web ASP.NET, filtre la entrada de los usuarios para comprobar
si existen etiquetas HTML, que pueden contener un script. Para obtener
informacin detallada, vea Cmo: Proteger una aplicacin Web frente a ataques
mediante secuencias de comandos aplicando codificacin HTML a las cadenas.

Nunca repita (muestre) entrada de los usuarios sin filtrar. Antes de mostrar
informacin que no sea de confianza, codifique los elementos HTML para
convertir cualquier script potencialmente peligroso en cadenas visibles, pero no
ejecutables.

No almacene nunca informacin proporcionada por el usuario sin filtrar en una

base de datos.

Si desea aceptar algn elemento de cdigo HTML de un usuario, fltrelo

manualmente. En el filtro, defina explcitamente lo que aceptar. No cree un filtro
que intente eliminar cualquier entrada malintencionada, ya que es muy difcil
anticipar todas las posibilidades.

No d por sentado que la informacin obtenida del encabezado de solicitud

HTTP (en el objeto HttpRequest) es segura. Proteja las cadenas de consulta,
cookies, etc. Tenga en cuenta que la informacin que el explorador enva al
servidor (informacin del agente de usuario) puede ser suplantada, en caso de
que resulte importante para la aplicacin en cuestin.

Si es posible, no almacene informacin confidencial en un lugar accesible desde

el explorador, como campos ocultos o cookies. Por ejemplo, no almacene una
contrasea en una cookie.
 8

Crear mensajes de error seguros

Si no se es cuidadoso, un usuario malintencionado puede deducir informacin

importante sobre la aplicacin a partir de los mensajes de error que sta muestra.
Siga estas instrucciones:
No escriba mensajes de error que presenten informacin que pudiera resultar
til a los usuarios malintencionados, como un nombre de usuario.

Configure la aplicacin para que no muestre errores detallados a los usuarios.

Si desea mostrar mensajes de error detallados para la depuracin, determine
primero si quien los recibir es un usuario local con respecto al servidor Web.

Utilice el elemento de configuracin customErrors para controlar quin ve las

excepciones desde el servidor.

Cree un sistema de administracin de errores personalizado para las situaciones

que sean propensas a los errores, como el acceso a las bases de datos.