viernes, 26 de octubre de 2012

Firma Digital. Infraestructura de Clave Pública (PKI)

Esta clase de Infraestructura es también conocida como de clave pública o por su equivalente en inglés Public Key Infrastructure . La normativa crea el marco regulatorio para el empleo de la Firma Digital (Ley 25.506) en la instrumentación de los actos internos del Sector Público Nacional que no produzcan efectos jurídicos individuales en forma directa, otorgándole a esta nueva tecnología similares efectos que a la firma ológrafa.

La disposición establece la configuración de la siguiente estructura:
1. Organismo Licenciante [OL]
Es la Autoridad Certificante Raíz que emite certificados de clave pública a favor de aquellos organismos o dependencias del Sector Público Nacional que deseen actuar como Autoridades Certificantes Licenciadas.
2. Organismo Auditante [OA]
Es el órgano de control, tanto para el Organismo Licenciante como para las Autoridades Certificantes Licenciadas.
3. Autoridad Certificada Licenciada [ACL]
Son aquellos organismos o dependencias del Sector Público Nacional que soliciten y obtengan la autorización, por parte del Organismo Licenciante, para actuar como Autoridades Certificantes de sus propios agentes.
4. Suscriptores
Personas que tramitan y obtienen un certificado digital.

La firma digital es el instrumento que permitirá, entre otras cosas, determinar de forma fiable si las partes que intervienen en una transacción son realmente las que dicen ser, y si el contenido del contrato ha sido alterado o no posteriormente.

También es un conjunto de datos asociados a un mensaje que permite asegurar la identidad del firmante y la integridad del mensaje. La firma digital no implica que el mensaje esté encriptado, es decir, que éste no pueda ser leído por otras personas; al igual que cuando se firma un documento holográficamente éste puede ser visto por otras personas.

Una de las características sobresalientes y que constituye el pilar de la firma digital, es la condición de No Repudio. El No Repudio ofrece seguridad inquebrantable de que el autor del documento, en el futuro no puede retractarse de haberlo enviado, ni tampoco de las opiniones o acciones consignadas en él. La lista que se detalla a continuación es parte de la información que describe al certificado, es pública y puede ser verificada por cualquiera en cualquier momento.

Versión
Numero de Serie
Algoritmo de Firma
Emisor
Válido Desde
Válido Hasta
Asunto
Clave
Restricciones Básicas
Restricción de longitud de ruta
Algoritmo de identificación
Huella digital

La responsabilidad de los usuarios. Todo propietario de un certificado digital debe velar por la integridad del sistema de clave pública, por este motivo a continuación se detallan algunos de los cuidados que deberán observar para mantener la confiabilidad del sistema.

Control exclusivo de sus datos. Resguardo total e inviolable de su clave privada. Debe contar con un dispositivo de creación de firma confiable. Solicitar revocación inmediata, en caso de estar comprometida la privacidad del certificado. Informar al ente certificante cualquier cambio en los datos del certificado objeto de una verificación.

viernes, 10 de agosto de 2012

Firma Digital. Infraestructura de Clave Pública (PKI)

En un primer intento de lograr la seguridad en las transmisiones de datos, se pensó en un esquema de criptografía por clave secreta simétrica. Si bien aseguraba la identidad e integridad, la cantidad de claves para un grupo de usuarios considerable, la vuelvía operacionalmente inadecuada. Si la cantidad de claves se calcula como n*(n-1) / 2 siendo n la cantidad de usuarios, para mil usuarios el resultado sería 499500 claves.

Se piensa entonces en un nuevo modelo, Clave Pública (Asimétrica). En este esquema se expide un certificado para el usuario, en el que se obtiene una clave privada y una pública. De esta forma, cada propietario maneja dos claves solamente en forma independiente de la cantidad de usuarios. Las claves están relacionadas por un algoritmo matemático que impide su violación por medios computacionales en tiempos razonables.

En la práctica, un usuario A que quiera encriptar un mensaje para un usuario B y asegurarse que solo lo pueda leer el usuario B, lo único que tendrá que tener es la clave pública de dicho usuario, puesto que será el único poseedor de la clave privada con la que podrá desencriptar el mensaje.

La Infraestructura de Clave Pública es también conocida por su equivalente en inglés Public Key Infrastructure. La normativa crea el marco regulatorio para el empleo de la Firma Digital en la instrumentación de los actos internos del Sector Público Nacional que no produzcan efectos jurídicos individuales en forma directa, otorgándole a esta nueva tecnología similares efectos que a la firma hológrafa.

El uso de la firma no se limita exclusivamente a verificar con el algoritmo de verificación, que la firma digital se corresponde con el mensaje que se quería firmar. Además hay que evaluar distintos factores que dan la validez real de la firma, como fecha de vigencia del certificado, la exclusión de listas de revocación, timestamping o sello de tiempo, que establece periodos de tiempo, fuera de los cuales la firma carece de validez.

En el próximo artículo analizaremos los componentes de la PKI, detallando uno por uno y viendo la importancia de observar los derechos y obligaciones de los usuarios para mantener la confiabilidad de la infraestructura.

lunes, 30 de julio de 2012

Consideraciones para un buen diseño web

Entrá a la página de la empresa y … es una frase que hemos escuchado muchas veces. En primer lugar hay que aclarar que la gente simplifica y al decir página, en general se está refiriendo a un sitio web, que en su definición más académica es un conjunto de páginas jerárquica y lógicamente relacionadas.

Aclarado este punto, pasemos a analizar que es lo que tengo, porque podría ser que creo tener algo y la realidad es otra. El resultado de este análisis dependerá de muchas variables que revisaremos a continuación y nos darán la pauta para saber si mi empresa tiene una página o realmente está en Internet y no pasa desapercibida.

En primer lugar tendría que evaluar si tuve claros los objetivos de mi proyecto, puesto que el diseño de un sitio web está directamente ligado con la audiencia a quien me dirijo. Para poner un ejemplo, no es lo mismo un sitio para una juguetería, que la web de una consultora de recursos humanos.

Siguiendo con las diferencias que pueden darse al definir un proyecto, podemos decir que a la par de un diseño atractivo, el contenido del mismo deberá estar en la misma sintonía, puesto que está comprobado que ambos van de la mano. Nadie vuelve a un sitio con una estética deficiente y tampoco si el contenido es malo o desactualizado.

Si logramos un buen diseño y lo acompañamos de un contenido de valor, actualizado y que responda a las expectativas, deberíamos asegurarnos que el visitante se sienta partícipe del mismo y no un mero espectador. Hay técnicas que hacen ese trabajo, sólo es cuestión de planteárselo y actuar en consecuencia.

Para redondear la idea, finalizo con un elemento de fundamental importancia, que es la calidad profesional. Dada la masividad y penetración que ha logrado Internet en todos los ámbitos, se cae en la tentación de pensar que el diseño web es un trabajo que cualquiera puede realizar.

La calidad de un sitio web y por ende el éxito que pueda alcanzar, dependerá de la visión profesional que se aplique, ya que existen innumerables factores a tener en cuenta, desde la elección de colores y tipografía, pasando por la diagramación y redacción de los contenidos, hasta el posicionamiento, tema que por si solo da para escribir más de un artículo.

miércoles, 4 de julio de 2012

Datos e Información. Entender las Diferencias (Parte II)

Supongamos que nuestro negocio es la venta de libros por Internet y queremos hacer promociones para los lectores que acceden a nuestro sitio web. Se nos ocurre para esa campaña hacer una pequeña encuesta donde recabaremos un par de datos anónimos como dirección de mail y los temas preferidos.

Una breve acotación antes de seguir con nuestro ejemplo. Para que la gente se anime a participar de una encuesta, hay que evitar todo tipo de datos que identifiquen a la persona, por eso estamos pidiendo sólo aquellos que mantienen el anonimato del encuestado. No es nuestro caso, pero también podría pedirse el sexo y la fecha de nacimiento si quisiéramos hacer un análisis más profundo de los resultados.

Volviendo a la campaña, la forma de recolectar se hará con un formulario donde el visitante del sitio pondrá sus datos. Por un lado la dirección de correo a la que se le validará la sintaxis para que responda a la regla de formación de direcciones; por ejemplo la arroba (@) no puede faltar en ninguna dirección. Por otro, tendrá una lista de temas entre los que deberá elegir los de su agrado.

Cuando el usuario completa el formulario y con los datos en forma consistente, éstos se almacenan en una base de datos que irá registrando toda la actividad durante el tiempo que dure la campaña de recolección.

Ahora viene la etapa de elaborar la información. Supongamos que teníamos una lista de veinte temas y de acuerdo a eso podemos encuadrarlos en seis géneros distintos. Con este criterio podemos categorizar a nuestros usuarios por género preferido. Ya tenemos la primera transformación.

A continuación armaremos lotes de cinco libros por género que vamos a poner en oferta y los enviaremos a nuestros lectores. Pero acá está la clave de todo este esquema, no le vamos a mandar lo mismo a todos. Justamente para eso hicimos el análisis de los géneros preferidos.

El paso final que nos resta dar es asociar los mails de nuestros usuarios categorizados previamente, con las promociones de cada género; así por ejemplo los usuarios que por los temas preferidos fueron encuadrados en el género de Ciencia Ficción, sólo recibirán en su bandeja de entrada la promoción que ellos esperan.

Con este sencillo ejemplo quería mostrarles el ciclo completo desde la recolección de los datos, pasando por su validación, el almacenamiento y la posterior transformación para que adquieran el valor de la información.

lunes, 25 de junio de 2012

Datos e Información. Entender las Diferencias (Parte I)

En muchas oportunidades se escucha hablar de datos y de información pero, incluso para la gente de sistemas, no siempre se tienen en claro estos términos que poseen un parecido conceptual pero un significado totalmente diferente.

Los datos son aquellos que se recolectan por algún medio; puede ser por ejemplo mediante métodos on line como un formulario o una encuesta similar a las que estamos acostumbrados a ver en los periódicos digitales o más tradicional por relevamiento manual, como el que se hace durante un censo nacional, donde los datos se asientan en planillas.

De una u otra forma esos datos generalmente - y sería ilógico pensar que no - pasan a un archivo o base de datos, ya sea en forma instantánea o mediante algún proceso de entrada que se encarga de validarlos e ingresarlos.

Ahora bien, tenemos todo muy bien guardado, datos válidos, consistentes y por cierto muy valiosos. Pero qué podemos hacer con ellos ? Imprimirlos, editarlos en una planilla de Excel, insertalos en un documento de Word, mandárselo por correo a otra persona o cosas por el estilo. Pero siguen siendo los mismos datos que recolectamos al principio. Acá llegamos al punto donde empieza la diferencia. Para que esos datos adquieran significado, deben sufrir un proceso que los transforme en algo y esa transformación es lo que va a posibilitar que se produzca información.

Siguiendo con el ejemplo del censo, supongamos que por un lado tenemos la población masculina y femenina de Santa Fe, por otro lado la cantidad de personas con nivel universitario incompleto, por otro la cantidad de estudiantes que ingresaron a la universidad y finalmente las causas de abandono. Hasta aquí éstos son datos que reflejan una situación.

Pero si somos capaces de procesar todo ese material y logramos saber por ejemplo, el porcentaje de varones que empiezan la carrera y luego abandonan, que carreras son la más proclives a la deserción y cuánto tiempo permanece un alumno antes de dejar, tendremos información que nos servirá, entre otras cosas, para implementar alguna política que pueda corregir esa tendencia a dejar los estudios.

Como conclusión final podemos decir que los datos son importantes en la medida que constituyen la base de los procesos de análisis responsables de generar la información, que en definitiva es el pilar para una instancia mucho más crítica, la toma de decisiones. Ya nos ocuparemos de eso en otro artículo.

jueves, 24 de mayo de 2012

El cloud computing

Si hablamos de términos que están de moda, este bien puede ocupar un lugar entre los primeros. Cloud computing o computación en la nube es un concepto relativamente nuevo y sería la tendencia a tener las aplicaciones en servicios alojados fuera de nuestras PCs locales, en la propia Internet.

Una de las aplicaciones que más rápido salieron al mercado utilizando este concepto, son los servicios de almacenamiento en línea. Ejemplos de ésto son Sky Drive de Microsoft o Google Drive. Esencialmente ofrecen espacio en disco para que el usuario pueda guardar sus datos y controlar el acceso a los mismos.

El objetivo final o ideal que tiene esta tendencia, es lograr que todo el procesamiento de los sistemas, tanto en hardware como en software (es decir, equipos y programas) estén localizados en forma externa. Si consideramos el trabajo personal este objetivo nos da un poco de temor, ni hablemos que piensa el Gerente de Sistemas de una empresa.

Efectivamente la seguridad de los procesos y la confidencialidad de los datos, es el cuello de botella donde se encuentra atascado el progreso de este nuevo paradigma. Estamos muy lejos todavía de lograr una confianza absoluta y pensar que la información crítica personal o empresarial, estará puesta en un servidor remoto, del cual no sabemos ni siquiera donde se encuentra físicamente.

Finalmente, para ver en que punto estamos y cuanto le falta, leamos que dijo Richard Stallman, de la Fundación de Software Libre, Una de las razones por las que no debes usar aplicaciones web para tus tareas de TI, es que pierdes el control. Tú debes estar en condiciones de realizar tus propias tareas en tu propio PC, en un programa amante de la libertad. Si usas un programa propiedad de un proveedor, o el servidor Web de otra persona, entonces quedas indefenso…el cloud computing es una trampa.

viernes, 18 de mayo de 2012

El desarrollo de un proyecto profesional

Todos los que trabajamos en Sistemas o directamente relacionados con la tecnología, hemos experimentado la sensación de que los demás suponen que uno debe saber todo de cualquier tema. Nos resultará familiar la situación en que, dado un tema específico de informática que no dominamos, alguien nos diga, pero cómo ... ? vos no trabajás en eso ?

Es muy frecuente que la gente, que no tiene por que saber las diferencias, confunda las distintas disciplinas en las que se abren las ramas tecnológicas. Eso es lo que los lleva normalmente al lugar común que se refleja en el ejemplo anterior y somos nosotros, los informáticos, quienes debemos poner algo de luz al asunto.

Pero la cosa no termina ahí, del mismo modo y esto es más serio aún, existe la tendencia a simplificar nuestro trabajo profesional, dando lugar a frases como ... si es un programita ... o para los que hacemos diseño web ... una página ... para referirse a verdaderos sistemas de gestión o la ardua tarea de crear un sitio web con todas las implicancias que ésto conlleva.

Lo cierto es que mucho se desconoce, por falta de información o por conformismo, de las tareas que corresponden a un profesional o mejor dicho, al grupo interdisciplinario que se necesita, para alcanzar el éxito ante el desafío que supone un proyecto de envergadura. El análisis previo, el relevamiento de datos, la información elaborada, los objetivos que se persiguen, la audiencia, son sólo algunos de los aspectos a considerar si estamos hablando de un trabajo profesional.

Nuestro deber como profesionales de Sistemas es difundir los conceptos básicos, hacer docencia con quienes son potenciales clientes y manejarnos con la ética necesaria, para que nuestra gestión se desarrolle en correspondencia con el logro que buscamos.