Irene González del Viejo

Lorena Fernández Capilla

Primera parte del trabajo:

¿Qué es un Hacker?

En informática, un hacker es una persona que

pertenece a una de estas comunidades o subculturas distintas pero no

completamente independientes:

-Gente apasionada por la seguridad informática. Esto concierne principalmente a

entradas remotas no autorizadas por medio de redes de comunicación como

Internet ("Black hats"). Pero también incluye a aquellos que depuran y arreglan

errores en los sistemas ("White hats") y a los de moral ambigua como son los "Grey hats". -Una comunidad de entusiastas programadores y diseñadores de sistemas originada

en los sesenta alrededor del Instituto Tecnológico de Massachusetts (MIT), el

Tech Model Railroad Club (TMRC) y el Laboratorio de Inteligencia Artificial del

MIT.Esta comunidad se caracteriza por el lanzamiento del movimiento de software

libre. La World Wide Web e Internet en sí misma son creaciones de hackers.

-La comunidad de aficionados a la informática doméstica, centrada en el hardware

posterior a los setenta y en el software de entre los ochenta/noventa.

White hat y black hat: Un hacker de sombrero blanco (del inglés, White hats), en jerga informática, se

refiere a una ética hacker que se centra en asegurar y proteger los sistemas de

Tecnologías de información y comunicación.5 Estas personas suelen trabajar para

empresas de seguridad informática las cuales los denominan, en ocasiones,

«zapatillas o equipos tigre».

Por el contrario, un hacker de sombrero negro (del inglés, Black Hat) es el villano o

chico malo, especialmente en una película de western, de ahí que en tal carácter se

use un sombrero negro, en contraste con el héroe, el de sombrero blanco.

Cracker y Samurai:

-El término cracker (del inglés crack, romper) se utiliza para referirse a las

personas que rompen algún sistema de seguridad.1 Los crackers pueden estar

motivados por una multitud de razones, incluyendo fines de lucro, protesta, o por el

desafío.

-Normalmente es alguien contratado para investigar fallos de seguridad, que

investiga casos de derechos de privacidad, esté amparado por la primera enmienda

estadounidense o cualquier otra razón de peso que legitime acciones semejantes.

Los samuráis desdeñan a los crackers y a todo tipo de vándalos electrónicos.

También se dedican a hacer y decir cómo saber sobre la seguridad con sistemas en

redes.

-Es un nuevo término que se está empezando a utilizar en la internet, Copyhacker

es conocida en el terreno de crackeo de hardware, frecuentan en el sector de

tarjetas inteligentes empleadas en sistemas de telefonia celular; y su principal

objetivo es el dinero.

-Son comerciantes sucios que venden los productos crackeados por otros.

Generalmente comercian con tarjetas de crédito y de acceso y compran a los

copyhackers. Son personas sin ningún (o escaso) conocimiento de informática y

electrónica.

Lammer, Script kiddie y Newbie:

-Los Lamers o Script-Kidders son aficionados jactosos. Prueban todos los

programas (con el título "como ser un hacker en 21 días") que llegan a sus manos.

Generalmente son los responsables de soltar virus y bombas lógicas en la red sólo

con el fin de molestar y que otros se enteren que usa tal o cual programa. Son

aprendices que presumen de lo que no son aprovechando los conocimientos del

hacker y lo ponen en práctica sin saber.

-Los Newbie son los novatos del hacker. Se introducen en sistemas de fácil acceso

y fracasan en muchos intentos, sólo con el objetivo de aprender las técnicas que

puedan hacer de él, un hacker reconocido.

Spammer: -Se llama spam, correo basura o mensaje basura a los mensajes no solicitados, no

deseados o de remitente no conocido, habitualmente de tipo publicitario,

generalmente enviados en grandes cantidades (incluso masivas) que perjudican de

alguna o varias maneras al receptor.

Phreaker:

-El Phreaking es un término acuñado en la subcultura informática para denominar la

actividad de aquellos individuos que orientan sus estudios y ocio hacia el

aprendizaje y comprensión del funcionamiento de teléfonos de diversa índole,

tecnologías de telecomunicaciones, funcionamiento de compañías telefónicas,

sistemas que componen una red telefónica y por último; electrónica aplicada a

sistemas telefónicos.

Segunda parte del trabajo:

Ejemplos de los diferentes tipos de ataques

informáticos.

-Ataques de intromisión: No sería

nada raro si no fuera que este ataque pasó a ser realmente grave: el pentágono

recibe día a día ataques cibernéticos, pero el vocero del Departamento de

Defensa, Bryan Whitman, señaló que en este caso se trató de algo especial, aunque

no dio datos precisos.

El ataque habría tenido como blanco la la Oficina del Secretario de Defensa, y

habría sido producido por militares chinos. Whitman confirmó que el suceso ocurrió

durante el pasado mes de Junio, pero no se refirió a los atacantes precisamente.

En parte, la fundamentación de Bryan Whitman ante la ansiedad de los periodistas

por conocer quiénes fueron los responsables de tal intromisión fue la siguiente: es

muy complicado saber el origen real de las máquinas, y más aún se dificulta al

intentar realizar las conexiones con determinado país o gobierno en particular.

Esto es así porque los crackers suelen realizar un sinfín de pasos antes de atacar

su objetivo final, y todo esto borrando las hueyas en cada intromisión. Por ejemplo,

un cracker sudafricano podría ingresar a un sistema informático ubicado en

Inglaterra, posteriormente ingresar a un sistema australiano, luego a uno en China,

y desde allí ingresar al del pentágono.

Luego del ataque, que vulneró el sistema de mails no secreto de la Oficina del

Secretario de Defensa dejándolo fuera de línea por un tiempo, se reestableció en

aproximadamente 2 semanas.

-Ataque de espionaje en líneas: Dos empresas estadounidenses están desafiando

a los censores chinos. La empresa de Internet GoDaddy anunció el 24 de marzo que

ya no venderá sitios web con nombres de dominio chinos debido a los extremos

controles que exigen las autoridades chinas, dice Reporteros sin Fronteras (RSF).

Dos días antes, Google había confirmado que ya no censuraría la versión china de su

sistema de búsqueda, informan RSF, el Committee to Protect Journalists (Comité

por la Protección de los Periodistas, CPJ) y Human Rights Watch. Google redirigirá

a los visitantes a su sitio de Hong Kong sin censura.

Google además planea vigilar y dar a conocer los intentos de censura de este sitio

por parte de las autoridades chinas. El servicio ha estado sometido a censura

intermitente en los últimos días, pero ya volvió a la normalidad. El 12 de enero,

Google anunció que se retiraría de China a menos que pudiera operar su sistema de

búsqueda libre de toda clase de censura y restricciones. La empresa llegó a esta

decisión tras descubrir "ataques sumamente sofisticados y enfocados" en los

usuarios de Gmail que son activistas de derechos humanos; al rastrear dichos

ataques se vio que venían de piratas chinos.

Hace dos años, sólo cinco por ciento de los usuarios de Internet chinos sabían que

la Web que veían estaba censurada, informa el CPJ. Pero ahora están mucho más

concientes y los informes noticiosos sobre Google actuaron como "despertador

para los ciudadanos de la red chinos". Ahora, millones de personas en China que

tienen acceso a Google podrán ver los resultados de búsqueda que su Gobierno no

quiere que vean.

"La decisión de Google de ofrecer un sistema de búsqueda sin censura es un paso

importante para desafiar el uso de la censura por parte del Gobierno chino para

conservar el control sobre sus ciudadanos", dijo Human Rights Watch.

Las autoridades chinas indicaron que las personas y empresas que desearan

registrar un sitio web deben entregarles ahora copias de identificación con

fotografía y licencias de negocios, y llenar y firmar formularios, explicó GoDaddy.

Se esperaba que los clientes existentes de la empresa cumplieran con las reglas;

sólo 20 por ciento entregó los documentos. "Nos preocupa la seguridad de las

personas afectadas por los nuevos requisitos"; dijo GoDaddy. "Nos preocupan los

efectos paralizantes que creemos que estos requisitos podrían tener en los

registros de nuevos nombres de dominio". La empresa de Internet dijo además que

había sido atacada por docenas de ciberataques este año y culpó a las autoridades

chinas.

Más de una docena de organismos del Gobierno chino trabajan para aplicar las

leyes, reglamentos, directrices de política y otras herramientas jurídicas para

tratar de mantener la información y las ideas lejos del pueblo chino, informa

Human Rights Watch. Muchas compañías, entre ellas Google, Yahoo! y Microsoft,

apoyaron este sistema al bloquear los términos que creen que el Gobierno chino

quisiera que ellos censuraran.

Mientras tanto, las cuentas de correo electrónico de Yahoo! de al menos 10

periodistas extranjeros ubicados en China y Taiwán han sido atacadas por piratas

en las últimas semanas, informa RSF.

-Ataque de modificación: Ataques Mediante ActiveX

ActiveX es una de las tecnologías más potentes que ha desarrollado Microsoft®.

Mediante ActiveX es posible reutilizar código, descargar código totalmente

funcional de un sitio remoto, etc. Esta tecnología es considerada la respuesta de

Microsoft® a Java.

ActiveX soluciona los problemas de seguridad mediante certificados y firmas

digitales. Una Autoridad Certificadora (AC) expende un certificado que acompaña

a los controles activos y a una firma digital del programador.

Cuando un usuario descarga una página con un control, se le preguntará si confía en

la AC que expendió el certificado y/o en el control ActiveX. Si el usuario acepta el

control, éste puede pasar a ejecutarse sin ningún tipo de restricciones (sólo las

propias que tenga el usuario en el sistema operativo). Es decir, la responsabilidad

de la seguridad del sistema se deja en manos del usuario, ya sea este un experto

cibernauta consciente de los riesgos que puede acarrear la acción o un perfecto

novato en la materia.

Esta última característica es el mayor punto débil de los controles ActiveX ya que

la mayoría de los usuarios aceptan el certificado sin siquiera leerlo, pudiendo ser

esta la fuente de un ataque con un control dañino.

La filosofía ActiveX es que las Autoridades de Certificación se fían de la palabra

del programador del control. Es decir, el programador se compromete a firmar un

documento que asegura que el control no es nocivo. Evidentemente siempre hay

programadores con pocos escrúpulos o con ganas de experimentar.

Así, un conocido grupo de hackers alemanes(3), desarrolló un control ActiveX

maligno que modificaba el programa de Gestión Bancaria Personal Quicken95© de

tal manera que si un usuario aceptaba el control, éste realizaba la tarea que

supuestamente tenía que hacer y además modificaba el Quicken, para que la

próxima vez que la víctima se conectara a su banco, se iniciara automáticamente

una transferencia a una cuenta del grupo alemán .

Otro control ActiveX muy especialmente "malévolo" es aquel que manipula el código

de ciertos exploradores, para que éste no solicite confirmación al usuario a la hora

de descargar otro control activo de la Web. Es decir, deja totalmente descubierto,

el sistema de la víctima, a ataques con tecnología ActiveX.

La autentificación de usuarios mediante Certificados y las Autoridades

Certificadoras será abordada con profundidad en capítulos posteriores.

-Ataque de denegación de servicio: por ejemplo un servidor de Internet pequeño,

un ADSL típico, con una entrada de 512 Kb. Desde un equipo malintencionado con

un ancho de banda de 2 Mb se realiza el ataque. Equivale al choque frontal de un

tren con un triciclo.

o bien, y es lo más normal, uniendo multitud de pequeñas máquinas para

saturar la conexión de red de la víctima. Con simples modems de 56 Kb se

pueden saturar líneas de 60 Mb de una manera sencilla: puede basarse por

ejemplo, en que el atacante convenza a los sistemas amplificadores para

enviar tráfico de red a la víctima consiguiendo de esa manera con un simple

módem el enviar a la víctima flujos de información de hasta 100 Mb (megas!!).

No es difícil usar estas técnicas de amplificación. O bien basarse en sistemas

"zombies", miles, capturados previamente y en espera de ser despertados

para organizar un ataque conjunto. En Internet se venden listas de miles de

equipos conquistados y lo que es peor: alguien las compra, o puede comprarlas,

cuando desea realizar uno de estos ataques.

-Ataque de suplantación: A continuación se muestran algunos ejemplos de este

tipo de mensajes:

"Nuestro banco dispone de un nuevo sistema de seguridad. Actualice su

información ahora o no podrá acceder a su cuenta".

"No hemos podido verificar su información; haga clic aquí para actualizar su

cuenta".

En algunas ocasiones, los mensajes de correo electrónico indican que le va a

suceder algo horrible al remitente (o a un tercero); por ejemplo: "30.000.000

euros acabarán en manos del Gobierno a menos que me ayude a transferirlos a su

cuenta bancaria".

Las personas que hacen clic en los enlaces de estos mensajes de correo electrónico

pueden ser dirigidas a un sitio de suplantación de identidad, es decir, a una página

web que tiene la apariencia de un sitio legítimo que han visitado anteriormente,

pero que realmente está controlada por un atacante.

Al tener la página un aspecto familiar, las personas que visitan estos sitios de

suplantación de identidad introducen en ellos su nombre de usuario, su contraseña

u otra información privada. Al introducir estos datos, lo que están haciendo sin

saberlo es facilitar a un tercero toda la información necesaria para usurpar su

cuenta, robarle el dinero o abrir nuevas líneas de crédito en su nombre. Han caído

en la trampa del ataque de suplantación de identidad.

-Ingeniería social: un ejemplo contemporáneo de un ataque de ingeniería social es

el uso de archivos adjuntos en e-mails, ofreciendo, por ejemplo, fotos "íntimas" de

alguna persona famosa o algún programa "gratis" (a menudo aparentemente

provenientes de alguna persona conocida) pero que ejecutan código malicioso (por

ejemplo, usar la máquina de la víctima para enviar cantidades masivas de spam).

Ahora, después de que los primeros e-mails maliciosos llevaran a los proveedores

de software a deshabilitar la ejecución automática de archivos adjuntos, los

usuarios deben activar esos archivos de forma explícita para que ocurra una acción

maliciosa. Muchos usuarios, sin embargo, abren casi ciegamente cualquier archivo

adjunto recibido, concretando de esta forma el ataque.

La ingeniería social también se aplica al acto de manipulación cara a cara para

obtener acceso a los sistemas computacionales. Otro ejemplo es el conocimiento

sobre la víctima, a través de la introducción de contraseñas habituales, lógicas

típicas o conociendo su pasado y presente; respondiendo a la pregunta: ¿Qué

contraseña introduciría yo si fuese la víctima?

La principal defensa contra la ingeniería social es educar y entrenar a los usuarios

en el uso de políticas de seguridad y asegurarse de que estas sean seguidas.

Tercera parte del trabajo:

Delitos contra la intimidad personal. - La suplantación de personalidad: La suplantación de personalidad únicamente es

delito si la conducta encaja perfectamente en el tipo penal del artículo 401, es

decir, si lo que se usurpa es el estado civil de otro. En este caso, la conducta puede

ser castigada con la pena de prisión de seis meses a tres años.

Si lo que se hace es simplemente crear un perfil inventado o con datos falsos, la

conducta no encajaría en el tipo penal y no podría ser considerada delito; por tanto,

el hecho de inventarse datos falsos para participar en una red social no es

constitutivo del delito de usurpación de estado civil.

-El acoso electrónico: Ciberacoso (también llamado ciberbullying en la traducción al

inglés) es el uso de información electrónica y medios de comunicación tales como

correo electrónico, redes sociales, blogs, mensajería instantánea, mensajes de

texto, teléfonos móviles, y websites difamatorios para acosar a un individuo o

grupo, mediante ataques personales u otros medios. Puede constituir un delito

penal. El ciberacoso es voluntarioso e implica un daño recurrente y repetitivo

infligido a través del medio del texto electrónico. Según R.B. Standler el acoso

pretende causar angustia emocional, preocupación, y no tiene propósito legítimo

para la elección de comunicaciones. El ciberacoso puede ser tan simple como

continuar mandando e-mails a alguien que ha dicho que no quiere permanecer en

contacto con el remitente. El ciberacoso puede también incluir amenazas,

connotaciones sexuales, etiquetas peyorativas (p.e., discurso del odio).

El término ciberacoso fue usado por primera vez por el educador canadiense Bill

Belsey. Otros términos para ciberacoso son "acoso electrónico," "e-acoso," "acoso

sms", "network mobbing", "acoso móvil" "acoso en línea", "acoso digital", "acoso por

internet", "acoso en internet" o "internet acoso".

Cuarta parte del trabajo: La criptografía y el encriptamiento en Internet. La criptografía es la técnica, bien sea aplicada al arte o la ciencia, que altera las

representaciones lingüísticas de un mensaje.

El encriptamiento se basa en dos componentes: un algoritmo y una llave/llave. Un

algoritmo criptográfico es una función matemática que combina texto simple u otra

información inteligible con una cadena de dígitos, llamada llave, para producir texto

codificado ininteligible. La llave y el algoritmo usados son cruciales para el

encriptamiento

Aunque sí existen algunos algoritmos de encriptamiento especiales que no usan una

llave, los algoritmos que usan llaves son particularmente importantes. Apoyar el

encriptamiento en un sistema basado en llave ofrece dos ventajas importantes.

Primera, los algoritmos de encriptamiento son difíciles de diseñar (usted no querrá

emplear un nuevo algoritmo cada vez que se comunique de manera privada con un

nuevo receptor). Al emplear una llave, puede usar el mismo algoritmo para

comunicarse con muchas personas; todo lo que tiene que hacer es usar una llave

diferente con cada receptor. Segunda, si alguien puede descifrar los mensajes

encriptados, sólo tendrá que cambiar a una nueva llave para volver a encriptar

mensajes, sin necesidad de cambiar a un nuevo algoritmo (a menos que el algoritmo,

y no la llave, se sospeche sea inseguro, cosa que puede suceder, aunque es poco

probable).

El número de posibles llaves que cada algoritmo puede soportar depende del

número de bits en la llave. Por ejemplo, una llave de 8 bits sólo permite 256

posibles combinaciones numéricas, cada una de las cuales también es llamada llave

(28). Entre mayor sea el número de posibles llaves, más difícil será descifrar un

mensaje encriptado. El nivel de dificultad depende, por lo tanto, de la longitud de

la llave. Una computadora no necesita mucho tiempo para probar secuencialmente

cada una de las 256 llaves posibles (menos de un milisegundo) y desencriptar el

mensaje para ver si éste cobra sentido. 2 Sin embargo, si se usara una llave de 100

bits (que equivale a examinar 2100 llaves), una computadora que pruebe un millón

de llaves cada segundo podría tardar muchos siglos en descubrir la llave correcta.

La firma digital y el certificado digital y su utilidad.

Se dice firma digital a un esquema matemático que sirve para demostrar la

autenticidad de un mensaje digital o de un documento electrónico. Una firma

digital da al destinatario seguridad en que el mensaje fue creado por el remitente,

y que no fue alterado durante la transmisión. Las firmas digitales se utilizan

comúnmente para la distribución de software, transacciones financieras y en otras

áreas donde es importante detectar la falsificación y la manipulación.

Consiste en un método criptográfico que asocia la identidad de una persona o de un

equipo informático al mensaje o documento. En función del tipo de firma, puede,

además, asegurar la integridad del documento o mensaje.

Un certificado digital (también conocido como certificado de clave pública o

certificado de identidad) es un documento digital mediante el cual un tercero

confiable garantiza la vinculación entre la identidad de un sujeto o entidad y una

clave pública.

Este tipo de certificados se emplea para comprobar que una clave pública

pertenece a un individuo o entidad. La existencia de firmas en los certificados

aseguran por parte del firmante del certificado que la información de identidad y

la clave pública perteneciente al usuario o entidad referida en el certificado digital

están vinculadas.

Supuestos prácticos

Quinta parte del trabajo:John McKey ha decidido a

comprar a través de internet una fantástica camiseta original de su grupo favorito,

Metallica. ¿Qué debe hacer para llevar a buen término su compra sin que le

estafen?

Hacer un pago contra reembolso, de esta forma se da cuenta de que la camiseta ha

llegado en buen estado.

Sexta parte del trabajo:María Papanopoulos sospecha que

alguien está utilizando su “Messenger”. Lo ha notado porque sus amigos le

atribuyen conversaciones que ella no ha tenido, y en horarios en los que ella no está

frente a su ordenador. ¿Qué debe hacer?

Cambiar su contraseña poniendo una mucho más difícil de adivinar, y si sigue

ocurriendo denunciar lo que ocurre puesto que están haciendo suplantación de

identidad y eso es delito.

Séptima parte del trabajo:A Rebecca Graham le ha

llegado un correo de su banco en el que le pide que confirme su cuenta. ¿Debe

hacerlo?

No, no debe hacerlo. Las entidades bancarias nunca mandan correos a sus clientes

para confirmar sus cuentas.

Octava parte del trabajo:Louis Vouitton ha recibido un

correo electrónico en el que se le invita a realizar una transferencia a su cuenta

desde un país africano de una cuantiosa cantidad de dinero. El se podrá quedar con

un 10 % de esa cantidad. ¿Qué debe hacer? ¿Es esto delito?

-No debe hacer la transferencia.

-Si es delito, es un blanqueo de dinero.

Novena parte del trabajo: Elías González quiere darse de

alta en el padrón de San Sebastián de los Reyes (Madrid) pero le piden un

certificado digital para realizarlo por Internet. ¿Cómo debe conseguirlo?

Debe ir a un tercero de confianza y acreditarse con la entidad pública.

Décima parte del trabajo: Ángel Merici se acaba de

comprar un portátil. ¿Crees que debe ponerle un antivirus? ¡¡¡Pero si no tiene

dinero!!

Puede adquirir un antivirus de software libre ya que éstos son gratuitos.

Décimo primera parte del trabajo: Sebastian Cue

tiene una empresa de diseño de mobiliario y no quiere que sus proyectos sean

copiados por otras empresas. ¿Qué puede hacer para proteger sus ordenadores

cada vez que se conecta a Internet?

Tener un antivirus y un cortafuegos que sean especiales para Spireware y

Troyanos.

Décimo segunda parte del trabajo:Julianne Barthes

está recelosa y cree que alguien entra en su cuenta de correo. Quiere cambiar su

contraseña. Dale una serie de consejos para que su contraseña sea segura.

Mezclar letras mayúsculas y minúsculas con números que sean difíciles de adivinar,

así será mucho más segura.

-FUENTES EMPLEADAS: hemos obtenido la información de diversas páginas de

internet, pero la que mayor información nos ha aportado ha sido wikipedia.