Irene González del Viejo

Lorena Fernández Capilla

Primera parte del trabajo:

¿Qué es un Hacker?

En informática, un hacker es una persona que pertenece a una de estas comunidades o subculturas distintas pero no completamente independientes:-Gente apasionada por la seguridad informática. Esto concierne principalmente a entradas remotas no autorizadas por medio de redes de comunicación como Internet ("Black hats"). Pero también incluye a aquellos que depuran y arreglan errores en los sistemas ("White hats") y a los de moral ambigua como son los "Grey hats".-Una comunidad de entusiastas programadores y diseñadores de sistemas originada en los sesenta alrededor del Instituto Tecnológico de Massachusetts (MIT), el Tech Model Railroad Club (TMRC) y el Laboratorio de Inteligencia Artificial del MIT.Esta comunidad se caracteriza por el lanzamiento del movimiento de software libre. La World Wide Web e Internet en sí misma son creaciones de hackers.-La comunidad de aficionados a la informática doméstica, centrada en el hardware posterior a los setenta y en el software de entre los ochenta/noventa.

White hat y black hat:Un hacker de sombrero blanco (del inglés, White hats), en jerga informática, se refiere a una ética hacker que se centra en asegurar y proteger los sistemas de Tecnologías de información y comunicación.5 Estas personas suelen trabajar para empresas de seguridad informática las cuales los denominan, en ocasiones, «zapatillas o equipos tigre».

Por el contrario, un hacker de sombrero negro (del inglés, Black Hat) es el villano o chico malo, especialmente en una película de western, de ahí que en tal carácter se use un sombrero negro, en contraste con el héroe, el de sombrero blanco.

Cracker y Samurai:-El término cracker (del inglés crack, romper) se utiliza para referirse a las personas que rompen algún sistema de seguridad.1 Los crackers pueden estar motivados por una multitud de razones, incluyendo fines de lucro, protesta, o por el desafío.-Normalmente es alguien contratado para investigar fallos de seguridad, que investiga casos de derechos de privacidad, esté amparado por la primera enmienda estadounidense o cualquier otra razón de peso que legitime acciones semejantes. Los samuráis desdeñan a los crackers y a todo tipo de vándalos electrónicos. También se dedican a hacer y decir cómo saber sobre la seguridad con sistemas en redes.

-Es un nuevo término que se está empezando a utilizar en la internet, Copyhacker es conocida en el terreno de crackeo de hardware, frecuentan en el sector de tarjetas inteligentes empleadas en sistemas de telefonia celular; y su principal objetivo es el dinero.

-Son comerciantes sucios que venden los productos crackeados por otros. Generalmente comercian con tarjetas de crédito y de acceso y compran a los copyhackers. Son personas sin ningún (o escaso) conocimiento de informática y electrónica.

Lammer, Script kiddie y Newbie:-Los Lamers o Script-Kidders son aficionados jactosos. Prueban todos los programas (con el título "como ser un hacker en 21 días") que llegan a sus manos. Generalmente son los responsables de soltar virus y bombas lógicas en la red sólo con el fin de molestar y que otros se enteren que usa tal o cual programa. Son aprendices que presumen de lo que no son aprovechando los conocimientos del hacker y lo ponen en práctica sin saber.

-Los Newbie son los novatos del hacker. Se introducen en sistemas de fácil acceso y fracasan en muchos intentos, sólo con el objetivo de aprender las técnicas que puedan hacer de él, un hacker reconocido.

Spammer:-Se llama spam, correo basura o mensaje basura a los mensajes no solicitados, no deseados o de remitente no conocido, habitualmente de tipo publicitario, generalmente enviados en grandes cantidades (incluso masivas) que perjudican de alguna o varias maneras al receptor.

Phreaker:-El Phreaking es un término acuñado en la subcultura informática para denominar la actividad de aquellos individuos que orientan sus estudios y ocio hacia el aprendizaje y comprensión del funcionamiento de teléfonos de diversa índole, tecnologías de telecomunicaciones, funcionamiento de compañías telefónicas, sistemas que componen una red telefónica y por último; electrónica aplicada a sistemas telefónicos.

Segunda parte del trabajo: Ejemplos de los diferentes tipos de ataques informáticos.

-Ataques de intromisión: No sería nada raro si no fuera que este ataque pasó a ser realmente grave: el pentágono recibe día a día ataques cibernéticos, pero el vocero del Departamento de Defensa, Bryan Whitman, señaló que en este caso se trató de algo especial, aunque no dio datos precisos.

El ataque habría tenido como blanco la la Oficina del Secretario de Defensa, y habría sido producido por militares chinos. Whitman confirmó que el suceso ocurrió durante el pasado mes de Junio, pero no se refirió a los atacantes precisamente.

En parte, la fundamentación de Bryan Whitman ante la ansiedad de los periodistas por conocer quiénes fueron los responsables de tal intromisión fue la siguiente: es muy complicado saber el origen real de las máquinas, y más aún se dificulta al intentar realizar las conexiones con determinado país o gobierno en particular. Esto es así porque los crackers suelen realizar un sinfín de pasos antes de atacar su objetivo final, y todo esto borrando las hueyas en cada intromisión. Por ejemplo, un cracker sudafricano podría ingresar a un sistema informático ubicado en Inglaterra, posteriormente ingresar a un sistema australiano, luego a uno en China, y desde allí ingresar al del pentágono.

Luego del ataque, que vulneró el sistema de mails no secreto de la Oficina del Secretario de Defensa dejándolo fuera de línea por un tiempo, se reestableció en aproximadamente 2 semanas.

-Ataque de espionaje en líneas: Dos empresas estadounidenses están desafiando a los censores chinos. La empresa de Internet GoDaddy anunció el 24 de marzo que ya no venderá sitios web con nombres de dominio chinos debido a los extremos controles que exigen las autoridades chinas, dice Reporteros sin Fronteras (RSF). Dos días antes, Google había confirmado que ya no censuraría la versión china de su sistema de búsqueda, informan RSF, el Committee to Protect Journalists (Comité por la Protección de los Periodistas, CPJ) y Human Rights Watch. Google redirigirá a los visitantes a su sitio de Hong Kong sin censura.

Google además planea vigilar y dar a conocer los intentos de censura de este sitio por parte de las autoridades chinas. El servicio ha estado sometido a censura intermitente en los últimos días, pero ya volvió a la normalidad. El 12 de enero, Google anunció que se retiraría de China a menos que pudiera operar su sistema de búsqueda libre de toda clase de censura y restricciones. La empresa llegó a esta decisión tras descubrir "ataques sumamente sofisticados y enfocados" en los usuarios de Gmail que son activistas de derechos humanos; al rastrear dichos ataques se vio que venían de piratas chinos.

Hace dos años, sólo cinco por ciento de los usuarios de Internet chinos sabían que la Web que veían estaba censurada, informa el CPJ. Pero ahora están mucho más concientes y los informes noticiosos sobre Google actuaron como "despertador para los ciudadanos de la red chinos". Ahora, millones de personas en China que tienen acceso a Google podrán ver los resultados de búsqueda que su Gobierno no quiere que vean.

"La decisión de Google de ofrecer un sistema de búsqueda sin censura es un paso importante para desafiar el uso de la censura por parte del Gobierno chino para conservar el control sobre sus ciudadanos", dijo Human Rights Watch.

Las autoridades chinas indicaron que las personas y empresas que desearan registrar un sitio web deben entregarles ahora copias de identificación con fotografía y licencias de negocios, y llenar y firmar formularios, explicó GoDaddy. Se esperaba que los clientes existentes de la empresa cumplieran con las reglas; sólo 20 por ciento entregó los documentos. "Nos preocupa la seguridad de las personas afectadas por los nuevos requisitos"; dijo GoDaddy. "Nos preocupan los efectos paralizantes que creemos que estos requisitos podrían tener en los registros de nuevos nombres de dominio". La empresa de Internet dijo además que había sido atacada por docenas de ciberataques este año y culpó a las autoridades chinas.

Más de una docena de organismos del Gobierno chino trabajan para aplicar

las leyes, reglamentos, directrices de política y otras herramientas jurídicas para tratar de mantener la información y las ideas lejos del pueblo chino, informa Human Rights Watch. Muchas compañías, entre ellas Google, Yahoo! y Microsoft, apoyaron este sistema al bloquear los términos que creen que el Gobierno chino quisiera que ellos censuraran.

Mientras tanto, las cuentas de correo electrónico de Yahoo! de al menos 10 periodistas extranjeros ubicados en China y Taiwán han sido atacadas por piratas en las últimas semanas, informa RSF.

-Ataque de modificación: Ataques Mediante ActiveX

ActiveX es una de las tecnologías más potentes que ha desarrollado Microsoft®. Mediante ActiveX es posible reutilizar código, descargar código totalmente funcional de un sitio remoto, etc. Esta tecnología es considerada la respuesta de Microsoft® a Java.ActiveX soluciona los problemas de seguridad mediante certificados y firmas digitales. Una Autoridad Certificadora (AC) expende un certificado que acompaña a los controles activos y a una firma digital del programador.Cuando un usuario descarga una página con un control, se le preguntará si confía en la AC que expendió el certificado y/o en el control ActiveX. Si el usuario acepta el control, éste puede pasar a ejecutarse sin ningún tipo de restricciones (sólo las propias que tenga el usuario en el sistema operativo). Es decir, la responsabilidad de la seguridad del sistema se deja en manos del usuario, ya sea este un experto cibernauta consciente de los riesgos que puede acarrear la acción o un perfecto novato en la materia.Esta última característica es el mayor punto débil de los controles ActiveX ya que la mayoría de los usuarios aceptan el certificado sin siquiera leerlo, pudiendo ser esta la fuente de un ataque con un control dañino.La filosofía ActiveX es que las Autoridades de Certificación se fían de la palabra del programador del control. Es decir, el programador se compromete a firmar un documento que asegura que el control no es nocivo. Evidentemente siempre hay programadores con pocos escrúpulos o con ganas de experimentar.Así, un conocido grupo de hackers alemanes(3), desarrolló un control ActiveX maligno que modificaba el programa de Gestión Bancaria Personal Quicken95© de tal manera que si un usuario aceptaba el control, éste realizaba la tarea que supuestamente tenía que hacer y además modificaba el Quicken, para que la próxima vez que la víctima se conectara a su banco, se iniciara automáticamente una transferencia a una cuenta del grupo alemán .Otro control ActiveX muy especialmente "malévolo" es aquel que manipula el código de ciertos exploradores, para que éste no solicite confirmación al usuario a la hora de descargar otro control activo de la Web. Es decir, deja totalmente descubierto, el sistema de la víctima, a ataques con tecnología ActiveX.La autentificación de usuarios mediante Certificados y las Autoridades Certificadoras será abordada con profundidad en capítulos posteriores.

-Ataque de denegación de servicio: por ejemplo un servidor de Internet pequeño, un ADSL típico, con una entrada de 512 Kb. Desde un equipo malintencionado con un ancho de banda de 2 Mb se realiza el ataque. Equivale al choque frontal de un tren con un triciclo. o bien, y es lo más normal, uniendo multitud de pequeñas máquinas para saturar la conexión de red de la víctima. Con simples modems de 56 Kb se pueden saturar líneas de 60 Mb de una manera sencilla: puede basarse por ejemplo, en que el atacante convenza a los sistemas amplificadores para enviar tráfico de red a la víctima consiguiendo de esa manera con un simple módem el enviar a la víctima flujos de información de hasta 100 Mb (megas!!). No es difícil usar estas técnicas de amplificación. O bien basarse en sistemas "zombies", miles, capturados previamente y en espera de ser despertados para organizar un ataque conjunto. En Internet se venden listas de miles de equipos conquistados y lo que es peor: alguien las compra, o puede comprarlas, cuando desea realizar uno de estos ataques.

-Ataque de suplantación: A continuación se muestran algunos ejemplos de este tipo de mensajes:

"Nuestro banco dispone de un nuevo sistema de seguridad. Actualice su información ahora o no podrá acceder a su cuenta"."No hemos podido verificar su información; haga clic aquí para actualizar su cuenta".

En algunas ocasiones, los mensajes de correo electrónico indican que le va a suceder algo horrible al remitente (o a un tercero); por ejemplo: "30.000.000 euros acabarán en manos del Gobierno a menos que me ayude a transferirlos a su cuenta bancaria".

Las personas que hacen clic en los enlaces de estos mensajes de correo electrónico pueden ser dirigidas a un sitio de suplantación de identidad, es decir, a una página web que tiene la apariencia de un sitio legítimo que han visitado anteriormente, pero que realmente está controlada por un atacante.

Al tener la página un aspecto familiar, las personas que visitan estos sitios de suplantación de identidad introducen en ellos su nombre de usuario, su contraseña u otra información privada. Al introducir estos datos, lo que están haciendo sin saberlo es facilitar a un tercero toda la información necesaria para usurpar su cuenta, robarle el dinero o abrir nuevas líneas de crédito en su nombre. Han caído en la trampa del ataque de suplantación de identidad.

-Ingeniería social: un ejemplo contemporáneo de un ataque de ingeniería social es el uso de archivos adjuntos en e-mails, ofreciendo, por ejemplo, fotos "íntimas" de alguna persona famosa o algún programa "gratis" (a menudo aparentemente provenientes de alguna persona conocida) pero que ejecutan código malicioso (por ejemplo, usar la máquina de la víctima para enviar cantidades masivas de spam). Ahora, después de que los primeros e-mails maliciosos llevaran a los proveedores de software a

deshabilitar la ejecución automática de archivos adjuntos, los usuarios deben activar esos archivos de forma explícita para que ocurra una acción maliciosa. Muchos usuarios, sin embargo, abren casi ciegamente cualquier archivo adjunto recibido, concretando de esta forma el ataque.La ingeniería social también se aplica al acto de manipulación cara a cara para obtener acceso a los sistemas computacionales. Otro ejemplo es el conocimiento sobre la víctima, a través de la introducción de contraseñas habituales, lógicas típicas o conociendo su pasado y presente; respondiendo a la pregunta: ¿Qué contraseña introduciría yo si fuese la víctima?

La principal defensa contra la ingeniería social es educar y entrenar a los usuarios en el uso de políticas de seguridad y asegurarse de que estas sean seguidas.

Tercera parte del trabajo:

Delitos contra la intimidad personal.- La suplantación de personalidad: La suplantación de personalidad únicamente es delito si la conducta encaja perfectamente en el tipo penal del artículo 401, es decir, si lo que se usurpa es el estado civil de otro. En este caso, la conducta puede ser castigada con la pena de prisión de seis meses a tres años.Si lo que se hace es simplemente crear un perfil inventado o con datos falsos, la conducta no encajaría en el tipo penal y no podría ser considerada delito; por tanto, el hecho de inventarse datos falsos para participar en una red social no es constitutivo del delito de usurpación de estado civil.

-El acoso electrónico: Ciberacoso (también llamado ciberbullying en la traducción al inglés) es el uso de información electrónica y medios de comunicación tales como correo electrónico, redes sociales, blogs, mensajería instantánea, mensajes de texto, teléfonos móviles, y websites difamatorios para acosar a un individuo o grupo, mediante ataques personales u otros medios. Puede constituir un delito penal. El ciberacoso es voluntarioso e implica un daño recurrente y repetitivo infligido a través del medio del texto electrónico. Según R.B. Standler el acoso pretende causar angustia emocional, preocupación, y no tiene propósito legítimo para la

elección de comunicaciones. El ciberacoso puede ser tan simple como continuar mandando e-mails a alguien que ha dicho que no quiere permanecer en contacto con el remitente. El ciberacoso puede también incluir amenazas, connotaciones sexuales, etiquetas peyorativas (p.e., discurso del odio).

El término ciberacoso fue usado por primera vez por el educador canadiense Bill Belsey. Otros términos para ciberacoso son "acoso electrónico," "e-acoso," "acoso sms", "network mobbing", "acoso móvil" "acoso en línea", "acoso digital", "acoso por internet", "acoso en internet" o "internet acoso".

Cuarta parte del trabajo:La criptografía y el encriptamiento en Internet.La criptografía es la técnica, bien sea aplicada al arte o la ciencia, que altera las representaciones lingüísticas de un mensaje.El encriptamiento se basa en dos componentes: un algoritmo y una llave/llave. Un algoritmo criptográfico es una función matemática que combina texto simple u otra información inteligible con una cadena de dígitos, llamada llave, para producir texto codificado ininteligible. La llave y el algoritmo usados son cruciales para el encriptamiento Aunque sí existen algunos algoritmos de encriptamiento especiales que no usan una llave, los algoritmos que usan llaves son particularmente importantes. Apoyar el encriptamiento en un sistema basado en llave ofrece dos ventajas importantes. Primera, los algoritmos de encriptamiento son difíciles de diseñar (usted no querrá emplear un nuevo algoritmo cada vez que se comunique de manera privada con un nuevo receptor). Al emplear una llave, puede usar el mismo algoritmo para comunicarse con muchas personas; todo lo que tiene que hacer es usar una llave diferente con cada receptor. Segunda, si alguien puede descifrar los mensajes encriptados, sólo tendrá que cambiar a una nueva llave para volver a encriptar mensajes, sin necesidad de cambiar a un nuevo algoritmo (a menos que el algoritmo, y no la llave, se sospeche sea inseguro, cosa que puede suceder, aunque es poco probable). El número de posibles llaves que cada algoritmo puede soportar depende del número de bits en la llave. Por ejemplo, una llave de 8 bits sólo permite 256 posibles combinaciones numéricas, cada una de las cuales también es llamada llave (28). Entre mayor sea el número de posibles llaves, más difícil será descifrar un mensaje encriptado. El nivel de dificultad depende, por lo tanto, de la longitud de la llave. Una computadora no necesita mucho tiempo para probar secuencialmente cada una de las 256 llaves posibles (menos de un milisegundo) y desencriptar el mensaje para ver si éste cobra sentido. 2 Sin embargo, si se usara una llave de 100 bits (que equivale a examinar 2100 llaves), una computadora que pruebe un millón de llaves cada segundo podría tardar muchos siglos en descubrir la llave correcta.

La firma digital y el certificado digital y su utilidad.

Se dice firma digital a un esquema matemático que sirve para demostrar la autenticidad de un mensaje digital o de un documento electrónico. Una firma digital da al destinatario seguridad en que el mensaje fue creado por el remitente, y que no fue alterado durante la transmisión. Las firmas

digitales se utilizan comúnmente para la distribución de software, transacciones financieras y en otras áreas donde es importante detectar la falsificación y la manipulación.

Consiste en un método criptográfico que asocia la identidad de una persona o de un equipo informático al mensaje o documento. En función del tipo de firma, puede, además, asegurar la integridad del documento o mensaje.

Un certificado digital (también conocido como certificado de clave pública o certificado de identidad) es un documento digital mediante el cual un tercero confiable garantiza la vinculación entre la identidad de un sujeto o entidad y una clave pública.

Este tipo de certificados se emplea para comprobar que una clave pública pertenece a un individuo o entidad. La existencia de firmas en los certificados aseguran por parte del firmante del certificado que la información de identidad y la clave pública perteneciente al usuario o entidad referida en el certificado digital están vinculadas.

Supuestos prácticos

Quinta parte del trabajo:John McKey ha decidido a comprar a través de internet una fantástica camiseta original de su grupo favorito, Metallica. ¿Qué debe hacer para llevar a buen término su compra sin que le estafen?

Hacer un pago contra reembolso, de esta forma se da cuenta de que la camiseta ha llegado en buen estado.

Sexta parte del trabajo:María Papanopoulos sospecha que alguien está utilizando su “Messenger”. Lo ha notado porque sus amigos le atribuyen conversaciones que ella no ha tenido, y en horarios en los que ella no está frente a su ordenador. ¿Qué debe hacer?

Cambiar su contraseña poniendo una mucho más difícil de adivinar, y si sigue ocurriendo denunciar lo que ocurre puesto que están haciendo suplantación de identidad y eso es delito.

Séptima parte del trabajo:A Rebecca Graham le ha llegado un correo de su banco en el que le pide que confirme su cuenta. ¿Debe hacerlo?

No, no debe hacerlo. Las entidades bancarias nunca mandan correos a sus clientes para confirmar sus cuentas.

Octava parte del trabajo:Louis Vouitton ha recibido un correo electrónico en el que se le invita a realizar una transferencia a su cuenta desde un país africano de una cuantiosa cantidad de dinero. El se podrá quedar con un 10 % de esa cantidad. ¿Qué debe hacer? ¿Es esto delito?

-No debe hacer la transferencia.

-Si es delito, es un blanqueo de dinero.

Novena parte del trabajo: Elías González quiere darse de alta en el padrón de San Sebastián de los Reyes (Madrid) pero le piden un certificado digital para realizarlo por Internet. ¿Cómo debe conse-guirlo?

Debe ir a un tercero de confianza y acreditarse con la entidad pública.

Décima parte del trabajo: Ángel Merici se acaba de comprar un portátil. ¿Crees que debe ponerle un antivirus? ¡¡¡Pero si no tiene dinero!!

Puede adquirir un antivirus de software libre ya que éstos son gratuitos.

Décimo primera parte del trabajo: Se-bastian Cue tiene una empresa de diseño de mobiliario y no quiere que sus proyectos sean copiados por otras empresas. ¿Qué puede hacer para prote-ger sus ordenadores cada vez que se conecta a Internet?

Tener un antivirus y un cortafuegos que sean especiales para Spireware y Troyanos.

Décimo segunda parte del trabajo:Julian-ne Barthes está recelosa y cree que alguien entra en su cuenta de correo. Quiere cambiar su contraseña. Dale una serie de consejos para que su contraseña sea segura.

Mezclar letras mayúsculas y minúsculas con números que sean difíciles de adivinar, así será mucho más segura.

-FUENTES EMPLEADAS: hemos obtenido la información de diversas pági-nas de internet, pero la que mayor información nos ha aportado ha sido wikipedia.