Proyecto 2

23-2-2017 Proyecto 2
2ºSMR
Laura Sánchez León
CIUDAD DE LOS MUCHACHOS

LAURA SÁNCHEZ LEÓN 2ºSMR PROYECTO 4
PÁGINA 1 DE 12
Índice
RA: ASEGURAR LA PRIVACIDAD DE LA INFORMACIÓN TRANSMITIDA EN REDES INFORMÁTICAS
DESCRIBIENDO VULNERABILIDADES E INSTALANDO SOFTWARE ESPECÍFICO................................. 2
1. Los correos electrónicos se intercambian a través de la plataforma de Google, GMail... 2
a) Analiza la idoneidad de esta vía para intercambiar información confidencial............. 2
b) Investiga alternativas a esta solución. .......................................................................... 2
2. Los ficheros se intercambian por FTP a través de la aplicación FileZilla. Se descargaron
tanto el servidor como el cliente de Internet y se instalaron con la configuración básica. En la
empresa tienen equipos ejecutándose tanto en Windows como en Linux. .............................. 2
a) Descárgate el servidor y el cliente de la página del proyecto Filezilla. Instala cada uno
en un equipo. El servidor irá sobre una máquina Windows y el cliente sobre una máquina
Linux (Ubuntu 12.04). Crea en el servidor un usuario con contraseña. Comprueba que
cliente y servidor funcionan, accediendo desde el cliente Linux al servidor en la máquina
Windows y transfiriendo algún fichero................................................................................. 2
b) Descarga la aplicación Wireshark de la página oficial e instálalo en el servidor. Inicia
una captura de tráfico. Conéctate al servidor para realizar la transferencia de un fichero
de texto. Termina la captura y localiza los paquetes donde va el usuario y la contraseña de
acceso al servidor FTP y algunos paquetes del contenido.................................................... 2
a) Descarga la herramienta gpg y sigue los pasos del caso práctico 3 (Cifrado asimétrico
en Linux) necesarios para cifrar el fichero que se va a transmitir vía FTP (no es necesario
realizar todo el caso práctico)............................................................................................... 2
b) Activa de nuevo la captura de tráfico en el servidor y realiza la transferencia del
fichero cifrado. ¿Se puede aún descubrir el usuario y la contraseña de acceso al servidor
FTP? ¿Y los paquetes de contenido?..................................................................................... 5
3. Investiga y describe otras posibles soluciones que permitan un intercambio seguro de
información vía FTP, de modo que no se puedan identificar en la comunicación (al conectar
el sniffer) el usuario, la contraseña ni el contenido del fichero................................................. 5
4. Has conseguido que la información se intercambie de forma segura entre cliente y
servidor FTP. Pero para que los usuarios que puedan acceder al servidor y se descarguen un
fichero, puedan acceder a la información del mismo, es necesario que puedan desencriptarlo.
Piensa cómo podrías hacer que solo los usuarios de la empresa (o los que sean de confianza)
puedan acceder al contenido de ficheros encriptados en el servidor FTP................................. 8
5. Ayuda a tu jefe (que se llama John Cinebi) a descubrir por qué es vulnerable el sistema
de recuperación de contraseña mostrado. Para ello haz uso de la información que aparece
sobre él en las redes sociales. Utiliza también herramientas de obtención de información
“oculta” (metadatos), como Foca Free o GeoSetter. ................................................................ 9
6. Explícale también cómo eliminar los metadatos de un archivo...................................... 10

PÁGINA 2 DE 12
RA: Asegurar la privacidad de la información transmitida en redes informáticas
describiendo vulnerabilidades e instalando software específico
Tu jefe te llama porque sospecha que un hacker está teniendo acceso a documentos
confidenciales que se mandan a través de la red. Las únicas vías por las que se intercambian
estos documentos es el correo electrónico y el servicio de FTP.
1. Los correos electrónicos se intercambian a través de la plataforma de Google, GMail.
a) Analiza la idoneidad de esta vía para intercambiar información confidencial.
GMail en cuanto seguridad, es un poco más, aunque no se salva de ser hackeado
de la interceptación de los mensajes de sus usuarios.
b) Investiga alternativas a esta solución.
Otras alternativas pueden ser Mailvelope o Secure Gmail. La primera utiliza el
estándar OpenPGP, cifra los mensajes que se envían a través de GMail, Yahoo! o
Hotmail. La segunda nos permite el cifrado de mensajes, pero en el caso de
utilizar Firefox, sería necesaria la utilización de WebPG for Mozilla. Ambas
alternativas son extensiones de Google Chrome, exceptuando la utilización en
Firefox.
2. Los ficheros se intercambian por FTP a través de la aplicación FileZilla. Se descargaron
tanto el servidor como el cliente de Internet y se instalaron con la configuración básica.
En la empresa tienen equipos ejecutándose tanto en Windows como en Linux.
Comprueba, a través de dos equipos, lo segura que es la transmisión de ficheros con
esta aplicación. Para ello:
a) Descárgate el servidor y el cliente de la página del proyecto Filezilla. Instala cada
uno en un equipo. El servidor irá sobre una máquina Windows y el cliente sobre
una máquina Linux (Ubuntu 12.04). Crea en el servidor un usuario con
contraseña. Comprueba que cliente y servidor funcionan, accediendo desde el
cliente Linux al servidor en la máquina Windows y transfiriendo algún fichero.
b) Descarga la aplicación Wireshark de la página oficial e instálalo en el servidor.
Inicia una captura de tráfico. Conéctate al servidor para realizar la transferencia
de un fichero de texto. Termina la captura y localiza los paquetes donde va el
usuario y la contraseña de acceso al servidor FTP y algunos paquetes del
contenido.
Analiza una primera solución para garantizar la seguridad del intercambio de ficheros,
realizando un cifrado asimétrico previo a la transmisión del fichero. Para ello:
a) Descarga la herramienta gpg y sigue los pasos del caso práctico 3 (Cifrado
asimétrico en Linux) necesarios para cifrar el fichero que se va a transmitir vía
FTP (no es necesario realizar todo el caso práctico).

PÁGINA 3 DE 12
Instalamos la herramienta gpg con el comando que se muestra en la Ilustración 1 ,
además de elegir el tipo de clave que queremos.
Ilustración 1 - gpg --gen-key
El siguiente paso será elegir el tamaño de la clave del algoritmo tal y como se
muestra en la Ilustración 2.
Ilustración 2 - Tamaño de la clave del algoritmo (1024)
A continuación, elegiremos el periodo de validez de la contraseña tal y como se
muestra en la Ilustración 3.
Ilustración 3 - Validez de la clave
En el siguiente paso, nos pedirá nuestros datos para poder identificar la clave. Tal
y como se muestra en la Ilustración 4
Ilustración 4 - Introducción de datos
Nos pedirá la clave para cifrar el contenido del fichero tal y como aparece en la
Ilustración 5.

PÁGINA 4 DE 12
Ilustración 5 - Introducción de la contraseña
En este paso, nos preguntará sí queremos cambiar el nombre, el comentario, la
dirección o sí queremos salir o seguir con el proceso tal y como muestra la
Ilustración 6.
Ilustración 6 - Cambiar nombre, comentario, dirección, continuar o salir
Una vez concluido el proceso, tendremos nuestra clave creada tal y como se
aprecia en la Ilustración 7.
Ilustración 7 - Clave creada correctamente
Sí hacemos ls –l .gnupg/ tal y como aparece en la Ilustración 8, veremos varios
archivos. Uno de ellos se ha creado por la clave que es el fichero pubring,gpg que
contiene las claves públicas, y el documento secring.gpg contiene las privadas.
Ambos ficheros están cifrados, para mostrar el contenido imprimible de dichos
ficheros utilizaremos el comando de la Ilustración 9.
Ilustración 8 - ls -l .gnupg/

PÁGINA 5 DE 12
Ilustración 9 - Comando strings para mostrar el contenido imprimible de los
ficheros cifrados
Con el comando gpg –list-keys podremos obtener la lista de claves generadas
(Ilustración 10).
Ilustración 10 - Comando --list-keys
Ahora exportaremos la clave pública a quién quiera mandarnos un mensaje
cifrado. Para ello, sacaremos la clave de su llavero con el comando que se muestra
en la Ilustración 11.
Ilustración 11 - Comando gpg -a --export -o
b) Activa de nuevo la captura de tráfico en el servidor y realiza la transferencia del
fichero cifrado. ¿Se puede aún descubrir el usuario y la contraseña de acceso al
servidor FTP? ¿Y los paquetes de contenido?
3. Investiga y describe otras posibles soluciones que permitan un intercambio seguro de
información vía FTP, de modo que no se puedan identificar en la comunicación (al
conectar el sniffer) el usuario, la contraseña ni el contenido del fichero.
Una posible solución que permite el intercambio seguro de información por FTP es la
utilización del protocolo SSL que hará que el protocolo FTP pase a SFTP, para ello,
habrá que configurarlo desde el servidor FileZilla en Edit Settings (Ilustración 12). En
la parte de SSL/TLS activamos la función (Ilustración 13), creamos el certificado

PÁGINA 6 DE 12
(Ilustración 14) y lo generamos (Ilustración 15). A partir de este momento, toda la
información será encriptada (Ilustración 16).
Ilustración 12 - Edit --> Settings
Ilustración 13 - Activación del protocolo SSL/TLS y generación del certificado

PÁGINA 7 DE 12
Ilustración 14 - Datos para generar el certificado
Ilustración 15 - Certificado generado correctamente

PÁGINA 8 DE 12
Ilustración 16 - Ubicación de las clave privada y del certificado
4. Has conseguido que la información se intercambie de forma segura entre cliente y
servidor FTP. Pero para que los usuarios que puedan acceder al servidor y se
descarguen un fichero, puedan acceder a la información del mismo, es necesario que
puedan desencriptarlo. Piensa cómo podrías hacer que solo los usuarios de la
empresa (o los que sean de confianza) puedan acceder al contenido de ficheros
encriptados en el servidor FTP.
Nuevamente te llama tu jefe. Parece que está nervioso y muy inquieto. Te explica que
alguien está tratando de chantajearle con publicar fotos indiscretas de su cuenta de
Apple. Cree que han accedido a su cuenta contestando a las preguntas de seguridad
que plantea Apple cuando se te ha olvidado la contraseña. Las preguntas son las
siguientes:

PÁGINA 9 DE 12
5. Ayuda a tu jefe (que se llama John Cinebi) a descubrir por qué es vulnerable el sistema
de recuperación de contraseña mostrado. Para ello haz uso de la información que
aparece sobre él en las redes sociales. Utiliza también herramientas de obtención de
información “oculta” (metadatos), como Foca Free o GeoSetter.
Su sistema de seguridad es muy vulnerable debido a que sus perfiles de las redes
sociales, como Twitter y facebook. Empezaremos por analizar las posibles
vulnerabilidades a través de su perfil de Twitter y acto seguido facebook.
• Twitter: A través de su twitter podemos ver 2 informaciones que resaltan:
Ilustración 17
Ilustración 18
• Facebook:

PÁGINA 10 DE 12
Ilustración 19
En esta red social, sólo aparece su equipo de fútbol favorito, es otra de las
posibles vulnerabilidades en su sistema de seguridad, dado que una de las
preguntas de seguridad podría ser: ¿Cuál es tu equipo favorito?.
A través de la herramienta GeoSetter, he conseguido averiguar uno de los
metadatos ocultos. Ese metadato oculto es la localización (Berlín).
6. Explícale también cómo eliminar los metadatos de un archivo.
Para eliminar los metadatos de un archivo, sólo tendremos que dar con el archivo del
que queremos eliminarlos, botón derecho propiedades (Ilustración 20). En la
pestaña de detalles, hacemos clic en quitar las siguientes propiedades e información
profesional (Ilustración 21). Seleccionamos la opción quitar las siguientes propiedades
de este archivo, elegimos las que queremos quitar y hacemos clic en aceptar
(Ilustración 22).
Ilustración 20 - Botón derecho --> Propiedades

PÁGINA 11 DE 12
Ilustración 21 - Pestaña detalles --> Quitar propiedades e información personal

PÁGINA 12 DE 12
Ilustración 22 - Activación de la opción "Quitar las siguientes propiedades de este
archivo"

Proyecto 2

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Destacado

Destacado (20)

Similar a Proyecto 2

Similar a Proyecto 2 (20)

Último

Último (20)

Proyecto 2