Implementacion de una aplicacion segura

INSTITUTO SUPERIOR POLITÉCNICO “JOSÉ ANTONIO ECHEVERRÍA”
FACULTAD DE INFORMÁTICA
CENTRO DE ESTUDIOS DE INGENIERÍA Y SISTEMAS

DIPLOMADO EN INFORMÁTICA APLICADA

Implementación de una Aplicación Segura en Internet.
Caso de Estudio:
Sistema Académico de la Escuela Técnica Robinsoniana Dr. Raúl Cuenca

Autor: Ing. Régulo R. Méndez Campos.
Tutor: Dr. Félix Oscar Fernández Peña.Ciudad de Cabimas, Julio de 2009

RESUMEN

Las redes como Internet están siendo cada día más usadas como plataformas de comunicación en nuestra sociedad; son abiertas y accesibles, permitiendo intercambios rápidos y eficientes.
En estos entornos, se hace imprescindible tomar en cuenta la implementación de mecanismos de seguridad que permitan controlar el acceso, y eviten ataques al sistema y/oa la base de datos, tanto del lado cliente como del servidor. Estos mecanismos involucran aspectos relacionados con la codificación, autenticación, el establecimiento de muros de protección (del inglés firewall), técnicas de no repudio y la selección de algoritmos criptográficos y técnicas de autentificación por llave pública para establecer una línea de comunicación segura entre las partesinvolucradas en una transacción.
La investigación presentada se centra es aspectos críticos del diseño e implementación de un sistema de registro académico para las Escuelas Técnicas Robinsonianas o instituciones de los diferentes subsistemas educativos (Ciclo Básico, Diversificado o Media profesional) dependientes del Ministerio Popular para la Educación, donde se requiera manejar altosvolúmenes de información a través de Internet.
Dicha aplicación se encargará de sistematizar las funciones críticas de los departamentos de control de estudio; tal es el caso de los procesos de registro de la matrícula y el rendimiento escolar del alumnado. Por tratarse de información sensible y susceptible de modificación se prevé el establecimiento de un conjunto de políticas de seguridad quegaranticen la confiabilidad del sistema a desarrollar, lo cual constituye el centro de atención en la investigación desarrollada.
PALABRAS CLAVES: Arquitectura Cliente Servidor de tres capas, Políticas de Seguridad Web, Algoritmos de Seguridad y Protocolos de Comunicación Segura.
ÍNDICE DE CONTENIDOS

INTRODUCCION 6
Objetivo General del Proyecto 10
Objetivos Específicos 10
CAPÍTULO I.ESTADO DEL ARTE 11
SISTEMAS DE REGISTROS ACADEMICOS 11
1.2.- Sistemas de Registro Académico a nivel de Liceos 12
1.3.- Arquitectura de las Aplicaciones Web. 18
1.3.1.- Arquitectura de Tres Capas 18
1.4. Mecanismos de Seguridad Web 20
1.4.1.- FIREWALL 22
1.4.1.1.- El Firewall de Filtrado de Paquete: 23
1.4.1.2.- Firewall Proxy 23
1.5 Seguridad en la Transmisión: 23
1.5.1.- SSL(Del ingles, Secure Sockets Layer) 24
1.5.2.- TLS (Del inglés, Transport Layer Security) 25
1.5.3.- SSH 26
1.5.4.- HTTPS 27
1.6.- Seguridad en los datos Almacenados en los Discos 27
1.6.1.- Algoritmo DES: 28
1.6.2.- Algoritmo 3DES: 28
1.6.3.- PKI (Public Key Infrastructure) 28
1.6.4.- Certificados Digitales 29
1.6.5.- Función HASH 30
1.6.5.1.- Algoritmo MD5 31
1.6.5.2.-Algoritmo SHA 31
1.7.- Firmas Digitales 32
1.8.- Vulnerabilidades de seguridad de las aplicaciones web 32
1.8.1.- Secuencia de Comandos en Sitios Cruzados (XSS) 33
1.8.2.- Fallas de Inyección 34
1.8.3.- Ejecución de ficheros malintencionados (RFI) 35
1.8.4.- Referencia Insegura y Directa a Objetos 35
1.8.5.- Falsificación de Petición en Sitios Cruzados (CSRF) 35
1.8.6.- Revelación deInformación y Gestión Incorrecta de Errores 36
1.8.7.- Pérdida de Autenticación y Gestión de Sesiones 36
1.8.8.- Almacenamiento Criptográfico inseguro 36
1.8.9.- Comunicaciones Inseguras 37
1.8.10.- Falla de restricción de acceso a URL 37
1.9.- Tecnologías disponibles para garantizar la seguridad en la aplicación web 42
1.9.1.- HTML Purifier 42
1.9.2.- PHPIDS 42
1.9.3.- Inspekt: 42...