4.4 INGENIERÍA DE SEGURIDAD

La Ingeniería de la seguridad es una rama de la ingeniería, que usa todo tipo de ciencias para desarrollar los procesos y diseños en cuanto a las características de seguridad, controles y sistemas de seguridad. La principal motivación de esta ingeniería ha de ser el dar soporte de tal manera que impidan comportamientos malintencionados.

El campo de esta ingeniería puede ser muy amplio, podría desarrollarse en muchas técnicas:

• Equipos: Como el diseño de cerraduras, cámaras, sensores,...
• Procesos: políticas de control, procedimientos de acceso,...
• Informático: control de passwords, criptografía,...

Un sistema puede tener mecanismos criptográficos que sean considerados completamente seguros pero puede adolecer de debilidades que hagan que sea necesario atacar al sistema criptográfico.

Ejemplos de esto son:

• Sistemas que fallan debido a problemas en el código, como en la mayoría de los ataques conocidos como de “buffer overflow”, en los cuales el no considerar aspectos de excepción asociados a los sistemas pueden representar que un atacante suficientemente hábil pueda asumir funciones del administrador. Si en un determinado sistema alguien asume las funciones del administrador puede tener muy fácil acceso a claves y sistemas criptográficos haciendo inútil la fortaleza del sistema criptográfico que lo protege.

• Algunos ataques aprovechan fallas de diseño en los sistema. Si una determinada aplicación ejecuta sin evaluar un determinado comando, los atacantes del sistema pueden conseguir información vital sin necesidad de romper las claves criptográficas que lo protegen. 

• La existencia de sistemas de comunicación móvil, basados en transmisión inalámbrica facilita actividades de fisgoneo en la señal.

• Algunas veces lo que se conoce como ataques de ingeniería social pueden resultar muy efectivos a la hora de atacar sistema supuestamente seguros.

• El sistema de doble registro, ancestralmente usado para proteger sistemas de seguridad se ve violentado por sistemas “que obligan” al cuadre entre cuentas lo cual facilita el ataque a sistemas de esta naturaleza.