Sendmail

Taller de Seguridad
Javier Fernández-Sanguino Peña Debian GNU/Linux
Se otorga permiso para copiar, distribuir y/o modificar este documento bajo los términos de la Licencia de Documentación Libre GNU, Versión 1.1 o cualquier otra versión posterior publicada por la Free Software Foundation, no habiendo Secciones Invariantes (Invariant Sections). Una copia de la licencia se encuentra en:http://www.gnu.org/copyleft/fdl.html En este documento se presentarán las actividades a realizar durante el Taller de Seguridad que se celebrará durante el Congreso de Hispalinux 2002. ¿Por qué un taller de seguridad? La realidad actual es que existe un riesgo muy elevado para cualquier sistema de información que está conectado (aunque sea momentáneamente) a cualquier otro sistema de información.Igualmente, los usuarios no son generalmente conscientes de los riesgos existentes ni de la forma de paliarlos. El objetivo del taller es aumentar el conocimiento de los asistentes en seguridad y, particularmente, en las médidas para mejorar la seguridad de sistemas basados en software libre. No se tratarán, directamente, los conceptos clásicos de seguridad (teórica) como puedan ser los deconfidencialidad, integridad, disponibilidad, y no repudio. Así, se dará por supuesto que el análisis de riesgos (paso previo imprescindible para cualquier acercamiento) ha sido realizado y que la política de seguridad está definida. Estos son pasos previos necesarios a la implementación de seguridad en sí y no son, realmente, abordados con software. El talle será, fundamentalmente, práctico y, por tanto, secentrará en las herramientas de software libre que ayudan a implementar la seguridad que previamente se haya definido. Cuando se habla de utilizar software libre para implementar seguridad en sistemas no se habla, exclusivamente, de la utilización de software para implementar mecanismos de cifrado (ya sea asimétrico o simétrico) sino de herramientas para implementar la cadena completa de un ciclo devida (en lo que a seguridad) se refiere de un sistema informático: protección (o prevención), detección, reacción (o respuesta) y recuperación. Evidentemente, es necesario herramientas para cubrir todos y cada uno de estos aspectos, no siendo útiles ninguno de ellos de forma aislada y debiendo combinarse para adaptarse a la política de seguridad. El interés de utilizar, exclusivamente, herramientasde software libre dentro del taller no sólo nace del hecho puntual de que el congreso se celebre entorno a éste tipo de software sino por las ventajas ofrecidas en el ámbito de la seguridad informática de la utilización de software libre: • El coste del software es reducido (podría decirse que nulo). Algo raro cuando se habla de software relacionado con la seguridad informática.

1

• Esposible auditar la implementación del software, minimizando la posibilidad de "puertas traseras" y fallos de seguridad derivados de una mala implementación. • Las posibilidades derivadas de las licencias asociadas al software libre permiten que el software pueda ser adaptado según las necesidades del usuario (eliminando funciones no deseadas o incorporando nuevos mecanismos de protección, deteccióny reacción), arreglado cuando se descubran problemas (que lo son más graves en el mundo de la seguridad) y mejorado de forma que éste evolucione. Evidentemente, la seguridad no es un producto, es un proceso (ésta es una máxima comúnmente olvidada por los fabricantes de productos). Los productos no tienen un fín en sí mismo sino que tienen que estar integrados dentro de una política coherente deseguridad. Política que una empresa podría desarrollar basándose en estándares como el ISO 17799 (anteriormente conocido como el British Standard 7799) o el RFC 2196. Sin embargo, también es cierto que, sin un adecuado conocimiento de las capacidades de protección pueden llegarse a diseñar políticas de seguridad cuya implementación práctica no sea posible con la tecnología actual. El taller se...