Seguridad

Introducción

Este artículo no trata específicamente sobre la seguridad en NeuroomNet, sino, dado que NeuroomNet es una herramienta basada en la web, sobre la seguridad de las herramientas basadas en la web en general. En otras palabras, lo que debe tener en cuenta para operar un sistema como NeuroomNet de forma segura. Estaremos encantados de ayudarle con cualquier pregunta que tenga, pero a continuación puede obtener algunas ideas de lo que debe tener en cuenta.

La segunda parte(NeuroomNet Security Part 2 ) trata de forma más general los aspectos de la seguridad en la web.

Y en la tercera parte (¿Por qué encriptar los datos? [Link]), analizamos la filosofía que hay detrás en general.

La seguridad es un arma de doble filo: si la seguridad es demasiado alta, el usuario autorizado se ve obstaculizado de forma tan masiva en las tareas que la aceptación se resiente considerablemente. Sin embargo, si es demasiado bajo, puede tener consecuencias muy graves.
En este sentido, Internet es tanto una maldición como una bendición al mismo tiempo.
La difusión del conocimiento es una gran fortaleza, pero con ella, el conocimiento de cómo violar la seguridad de un sistema también se difunde rápidamente. Así como la propia conexión a Internet crea la posibilidad de poder atacar fácilmente un sistema. Por otro lado, ciertos subsistemas pueden actualizarse automáticamente a través de Internet y protegerse de influencias dañinas.
Entonces, si quiere estar seguro, debe mantenerse al día y adaptar su sistema a los requisitos en constante aumento. Hay áreas con un poco de respiro, porque el concepto ya trae consigo mucha seguridad. Otras áreas se adaptan automáticamente (si hay acceso a Internet) y, por último, hay áreas en las que hay que comprobar regularmente si todo funciona como está previsto o reaccionar adecuadamente.

encriptar

Un método muy exitoso y duradero es cifrar la comunicación entre dos partes. Esto significa que un atacante no puede sacar conclusiones ni hacerse con los datos reales. Si desea leer aquí, debe realizar un gran esfuerzo y es mucho más fácil, por ejemplo, comenzar en los puntos finales de la comunicación, es decir, antes de que se cifre/descifre. Porque el cifrado moderno aún no se puede descifrar en un corto período de tiempo. De esta forma, los datos también pueden transmitirse sin remordimientos a través de conexiones que se ejecutan a través de Internet, WLAN, radio móvil u otras redes visibles públicamente. Y gracias a los sofisticados mecanismos para establecer el cifrado, el usuario ni siquiera lo nota en el mejor de los casos y no se ve perturbado por el proceso diario. Excepto cuando haya vencido un límite de tiempo para renovar una conexión segura. Porque un aspecto de la comunicación segura es renovar las claves subyacentes para que los ataques prolongados no tengan éxito.

cortafuegos

Otro aspecto de un concepto de seguridad duradero es la protección de los puntos finales mediante cortafuegos. Un firewall es un sistema de seguridad que protege una red informática y computadoras individuales del acceso no deseado a la red. En resumen, un sistema moderno debe poder manejar comunicaciones cifradas y redes protegidas. Si la puerta de entrada y las ventanas de su casa fueran el cortafuegos, entonces la bóveda donde guarda sus cosas más valiosas sería el cifrado.

infraestructura

Un requisito previo para el cifrado es la posibilidad de enviar de forma segura las claves a los participantes legítimos y de actualizarlas regularmente. Esto se hace con la ayuda de los llamados certificados. Con una firma, un certificado puede hacer que sea creíble por quién, para quién y cuándo fue emitido. Se hace una distinción en cuanto a si un certificado debe ser de acceso público o si se utiliza dentro de un sistema cerrado. La tecnología subyacente, y por lo tanto la seguridad, es idéntica para ambas variantes.

Aplicación pública (certificados firmados por CA)

Las empresas especializadas se utilizan para aplicaciones públicas con un certificado de acceso público. Estos emiten certificados solo a través de aplicaciones verificadas y basadas en tarifas. Un certificado de este tipo puede utilizarse durante un cierto tiempo para asegurar los sistemas propios y no requiere ninguna preparación especial en los ordenadores que ya conocen al emisor.
El plazo de dicho certificado está actualmente limitado a 2 años e incluso se reducirá a 13 meses.

Aplicación interna (certificados autofirmados)

Se puede utilizar un certificado autoemitido para aplicaciones internas. Al emitir estos certificados, se pueden superar ciertos límites para reducir el esfuerzo administrativo en su frecuencia. Sin embargo, para estas aplicaciones internas, primero hay que establecer una administración de estos certificados y dar a conocer el emisor a los participantes. Esto permite a los usuarios (u ordenadores) comprobar si un certificado es (todavía) válido o recibir un nuevo certificado. A menudo, se utilizan ambos sistemas de certificación (interno y externo) para que el esfuerzo para los usuarios sea el menor posible o incluso porque es técnicamente necesario.

costos y beneficios

En principio, todo podría pasar por las autoridades públicas de certificación, pero tendría más costos. También se podría hacer todo con autoridades de certificación internas, pero esto supondría más esfuerzo a la hora de distribuir los certificados en el espacio público. Aparte de eso, la instalación de los certificados internos supondría un esfuerzo adicional para los usuarios. La aceptación caería a cero muy rápidamente.

Conclusión

Para que todo funcione de la mejor manera posible, se debe establecer una llamada PKI (infraestructura de clave privada). Esto ayuda con la administración, el control y puede automatizar aspectos individuales. Hay diferencias debidas a los fabricantes utilizados en cada caso. También se requiere personal debidamente capacitado para configurar todo y, como se describió anteriormente, para renovarlo cada pocos años o meses. Se debe asegurar la instalación regular de certificados renovados, ya que estos no pueden reemplazarse a sí mismos.

Cuanto más complejo se vuelve un sistema, más probable es que sea necesario configurar su propia autoridad de certificación y PKI. Los días de «simplemente enchufar todo en el conmutador de red» han terminado, porque de lo contrario cualquiera puede conectarse, leer todo junto con los datos de inicio de sesión e incluso manipularlos durante el uso (ver también ataque de intermediario).