2.4.3 Seguridad Y Legislacion

Servicios de Seguridad

Al realizar un análisis de los riesgos que implica el comercio electrónico, se debe definir un política de seguridad donde se especifique cuál debe ser la información a asegurar. Una política de seguridad no cubre todos los posibles riesgos de un sistema, pero si cubre razonablemente la mayoría de las brechas entre los riesgos y los recursos disponibles. Los servicios son implementados por mecanismos de seguridad que son realizados por algoritmos de criptografía y protocolos de seguridad. 
La organización Internacional para la Estandarización (ISO) define los servicios de seguridad básicos de la siguiente forma:

·         Autenticación, la cual asegura que la identidad de la tienda virtual o el servicio de comercio electrónico sea genuino

·         Control de Acceso, la cual asegura que solo la tienda virtual o el servicio de comercio electrónico pueda tener acceso a recursos protegidos

·         Confidencialidad de la información: la cual asegura que solo personas autorizadas pueden leer los datos protegidos. También es llamado Privacidad

·         Integridad de la información: la cual asegura que los datos no van a ser alterados por personas no autorizadas

·         Nonrepudiation, la cual asegura que la tienda virtual o el servicio de comercio electrónico no puede ser impedida de realizar acciones y modificaciones sobre la información

Mecanismos de Seguridad
Los siguientes mecanismos de seguridad son los utilizados para implementar los servicios de seguridad:

·         Mecanismos de Encriptación, protegen la confidencialidad de la información utilizando una clave disponible solo para una determina persona o grupo

·         Mecanismos de Firma Digital, la cual no es lo mismo que la firma electrónica y es motivo para muchas dudas al respecto. La firma digital no es otra cosa que la utilización de un sistema de encriptación asimétrico en el cual existen dos “llaves”, que consisten en una clave privada y una clave pública. La primera sólo es conocida por el particular, y la segunda es la clave que identifica públicamente a ese particular, de manera que sólo utilizando su clave pública el mensaje enviado por el interesado podrá ser desencriptado y por tanto legible. El sistema es sencillo: el particular (persona física o jurídica) después de redactar el documento lo encriptará con su clave privada, podrá enviarlo a través de Internet (e-mail, chat, página Web) a su destinatario final conociendo la dirección del mismo, y este último para poder descifrar el mensaje recibido utilizará la clave pública del remitente. Este sistema nos permitirá verificar que el mensaje original no ha sido modificado en su trayecto a través de la Web, la autenticidad del mensaje recibido, y por último, la integridad del mensaje en cuanto a la certeza y conclusión del mismo. La firma digital no es por tanto algo “añadido” a un documento, sino la versión encriptada del mismo. No existe si la disociamos de su mensaje, y del mismo modo, cambia con cada documento encriptado.

Por su parte, la “firma electrónica” es cualquier símbolo que utilicemos como identificador de una persona en un determinado documento que para su transmisión utilice medios electrónicos, lo cual se asimila a la firma tradicional. El nombre de una persona escrito al final de un documento o un símbolo que le identifique sería una firma electrónica. La firma digital es por tanto un tipo de firma electrónica. El nivel de inseguridad de esta última resulta evidente, ya que su falsificación es tremendamente sencilla. Su invalidez como método de autenticación de documentos es por tanto obvia.

·         Mecanismos de Control de acceso, están relacionados con la autenticación. Cada tienda virtual o servicio de comercio electrónico tiene asignado una serie de permisos de accesos, cada acceso a un recurso protegido es mediado por una computadora la cual es llamada monitor de referencia y para poder utilizar estos permisos de accesos, este tiene que ser autenticado primero.

·         Mecanismos de Integridad de la Información, protegen la información de modificaciones no autorizadas, pudiendo utilizar diversos métodos como firmas digitales o algún otro

·         Mecanismos de Intercambio de Autenticación, esta está basada en mecanismos de encriptación entendibles entre las partes involucradas.
En todo sistema de pago los participantes del sistema deben demostrar que son los que dicen ser. Así en un sistema de pago basado en tarjetas de crédito, el comercio comprueba la autenticidad de la tarjeta antes de proceder con el pago. 
En el caso de tarjetas inteligentes (con microprocesador, dotadas por tanto de una capacidad de cálculo) esto se realiza mediante algún protocolo criptográfico de autenticación, mientras que en el caso de tarjetas con banda magnética, se realiza mediante una verificación visual de ciertos datos grabados en la superficie de la tarjeta (hologramas, firmas, etc.). 
En el caso de sistemas de pago basados en monederos electrónicos, es frecuente también que se produzca una autenticación del comercio ante el portador del monedero electrónico, debido al riesgo existente de creación de dinero falso en este tipo de sistemas. Para ello el terminal del comercio suele disponer de un módulo de seguridad, que en ocasiones es una tarjeta inteligente pero puede ser otro tipo de dispositivo, el cual almacena las claves y realiza los cálculos necesarios para la autenticación del comercio. 
En los sistemas basados en tarjetas, se suele verificar también la asociación correcta de la tarjeta con su poseedor (Titular de la cuenta asociada a la tarjeta). Esto se realiza normalmente a través de números de identificación personal (PIN). Lo mismo ocurre en los sistemas de pago a través de redes donde se necesita una autenticación de la persona física que utiliza en un instante determinado el sistema. 
La autenticidad del resto de agentes de un sistema de pago electrónico es normalmente garantizada mediante protocolos criptográficos de autenticación, actualmente basados en algoritmos de clave simétrica como el DES, pero que poco a poco están siendo remplazados por algoritmos de clave pública como el RSA con el fin de favorecer la interoperabilidad de los sistemas.

·         Mecanismos de Confrontación de Tráfico, estos ofrecen protección contra el análisis del tráfico. Muchas veces se pueden sacar conclusiones del solo hecho de observar el trafico entre dos tiendas virtuales o de servicio de comercio electrónico

·         Mecanismos de Confrontación de ruteo, este hace posible establecer una ruta especifica para enviar la información a través de la red. En este sentido se pueden seleccionar nodos de redes seguros para que la información no esté expuesta a ataques, en todo caso si la información entra a una red privada y no tiene un nivel de seguridad apropiado, el administrador de dicha red pudiese rechazarla

·         Mecanismos de Notarización, estos son provistos por terceras personas, las cuales deben ser confiables para todos los participantes. El notario puede asegurar integridad, origen, fecha, hora y destino de la información. 

Seguridad en el Pago Electrónico

El pago electrónicamente no es nada nuevo. El dinero electrónico ha sido utilizado entre los bancos en forma de transferencias desde 1960. Desde casi ese mismo tiempo los clientes han podido realizar retiros de dinero de Cajeros Automáticos
La seguridad en el pago electrónico se puede dividir en tres grupos dependiendo en el instrumento de pago utilizado. El primer grupo se refiere a todos los sistemas de pagos electrónicos y a los instrumentos de pago
Transacciones de Pago, estas son la ejecución de un protocolo por el cal una cantidad de dinero es timada de un comprador y se la suministra a un vendedor. Los mecanismos de seguridad que se implementan en las transacciones de pago son las siguientes:

·         Anonimidad del usuario, protege la identidad del usuario en una transacción en la red

·         Despistaje de rastreo de lugar de la transacción, protege de que descubran el lugar donde la transacción es originada

·         Anonimidad del Comprador, protege la identidad del comprador en una transacción

·         No-rastreo de transacción de pago, protege contra el enlace de dos transacciones de pago diferentes que incluyan al mismo cliente

·         Confidencialidad de la información de la transacción de pago, la cual protege selectivamente partes de la transacción de pago para que puedan ser vistas por las personas autorizadas

·         El no rechazo de mensajes de transacciones de pago, protege contra el reenvío de mensajes de transacciones de pago

·         Refrescamiento de mensajes de transacciones de pago, protege contra la respuesta a mensajes de transacciones de pago

El próximo grupo de servicios es típico de sistemas de pagos que utilizan dinero digital como instrumento de pago.
Dinero Electrónico, esta representa relativamente un nuevo instrumento de pago para el comercio electrónico la cual exige el desarrollo de diversas técnicas de seguridad como lo son:

·         Protección contra el doble gasto, este previene la utilización del dinero electrónico en múltiples instancias

·         Protección contra dinero falso, previene la producción de dinero electrónico falso por parte de vendedores no autorizados

·         Protección contra robo de dinero electrónico, esta previene el gasto de dinero electrónico por parte de personas no autorizadas

El tercer grupo está basado en las técnicas de pago específicas que utilizan cheques como formas de pago
Cheques Electrónicos, esto son documentos electrónicos que contienen la misma información que los queches tradicionales de papel. Al utilizarlos electrónicamente se debe pasar por un mecanismo de seguridad para que pueda ser efectivo el pago, como lo es:

·         Autorización de transferencia de pago, esta es la que hace posible la autorización de la transferencia del pago de un vendedor a otra persona autorizada por este.

 Protocolos de Seguridad
Existen diversos protocolos de seguridad utilizados para realizar las transacciones electrónicas, pero lo mas utilizados son los siguientes:

·         SSL/TLS. Es un protocolo de seguridad para cualquier aplicación de Internet y, por lo tanto, se puede utilizar en el comercio electrónico. Está muy extendido y actualmente todos los navegadores comerciales lo implementan

·         SET. Es un protocolo especialmente diseñado para el comercio electrónico con tarjetas de crédito.

6.1 SSL (Secure Sockets Layer) y TLS (Transport Layer Security)
6.1.1 Características del SSL
El SSL es un protocolo seguro de Internet inventado por la empresa Netscape. No es exclusivo del comercio electrónico sino que sirve para cualquier comunicación vía Internet y, por lo tanto, también para transacciones económicas. Está implementado por defecto en todos los navegadores de Netscape para Webs, o sea, para el protocolo http. Sustituye los sockets del sistema operativo. Los sockets son el interficie entre las aplicaciones y el protocolo TCP/IP del sistema operativo (Ver Figura 6.1.1).
Para diferenciar las páginas dentro de una zona de servidor SSL, Netscape utiliza la denominación https y se conecta mediante el puerto 443.
El SSL puede realizar las funciones:

·         Fragmentación. En el emisor se fragmentan los bloques mayores que 214 octetos y en el receptor se vuelven a reensamblar.

·         Compresión. Se puede aplicar un algoritmo de compresión a los mensajes.

·         Autenticación. Permite autenticar el cliente y el servidor mediante certificados. Este proceso se realiza durante la fase de Handshake. Durante la transmisión los mensajes autentican al emisor mediante un resumen con clave, llamado MAC, en cada mensaje.

·         Integridad. En todos los mensajes se protege la integridad mediante el MAC.

·         Confidencialidad. Todos los mensajes se envían encriptados.

Se utilizan certificados X.509v3 para la transmisión de las claves públicas.
Protocolo SSL
El protocolo SSL se divide en dos capas complementarias (ver Figura 6.1.2):

·         Protocolo Handshake. Realiza las siguientes funciones:

o    Autenticación de usuario y servidor.

o    Selección de los parámetros de la sesión y de la conexión.

o    Establece la conexión segura.

·         Protocolo de registro (Record protocol). Se utiliza para la encriptación de los protocolos de las capas más altas: Handshake y aplicaciones.
 

El protocolo SSL se comporta como una máquina de estados, durante el intercambio de información siempre hay un estado de escritura activo y otro pendiente y un estado de lectura activo y otro pendiente. Para cambiar del estado activo al pendiente se utiliza un subprotocolo del Handshake llamado Change Cipher Spec.
Entre dos entidades cliente y servidor se pueden abrir varias sesiones SSL, aunque no es habitual, y dentro de cada sesión se pueden mantener varias conexiones SSL. Las conexiones se abren o cierran a través del protocolo de Handshake.
Un estado de sesión incluye los siguientes elementos:

·         Identificador de sesión. Un número arbitrario elegido por el servidor para identificar la sesión.

·         Certificado. El certificado X.509v3 del otro.

·         Método de compresión. Algoritmo de compresión.

·         Algoritmo de encriptación. Especifica el algoritmo simétrico de encriptación para confidencialidad y la función Hash de resumen para integridad. También se definen atributos de Hash o encriptación.

·         Clave maestra. Un número de 48 bytes secreto entre el servidor y el cliente.

·         Flag de nuevas conexiones. Indica si desde esta sesión se pueden iniciar nuevas conexiones.

Legislación aplicable al comercio electrónico

Lo primero que hay que tener en cuenta es que la empresas que quieren desarrollar una página web han de cumplir las mismas obligaciones legales que una empresa que no esté en Internet.

Sin embargo existe una normativa específica que regula el comercio electrónico:

* La Ley Orgánica 15/1999, 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD);

* La Ley 34/2002, de 11 de julio, de Ley de Servicios de de la Sociedad de de la Información y del Comercio Electrónico (LSSICE);

* La Ley 7/1998, de 13 de abril, sobre Condiciones Generales de la Contratación;

* El Real Decreto Legislativo 1/2007, de 16 de noviembre, por el que se aprueba el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios,

* Otras leyes complementarias, donde se regulan de forma específica los contratos celebrados a distancia, así como la normativa de desarrollo de cada una de ellas.