 pruebas de seguridad las actividades que se pueden realizar para hacer las pruebas de seguridad son diversas y se orientan a varios ámbitos especialmente en lo relativo a asegurar el funcionamiento y disponibilidad de los servicios web y contenidos publicados en general nos referimos a sitios web cuyo contenido es público y que no incluye información estratégica o de seguridad instucional por este motivo la correcta configuración de servidores y servicios debe incluir verificación de al menos los siguientes temas  manejo de dns protección de la estructura interna del sitio web protección contra robots manejo de privacidad canales seguros mecanismos de control de acceso protección de programas hosting externo vs sitio propio roles mínimos a asegurar a continuación se entrega información para cada uno de ellos manejo de dns un aspecto que se debe cuidar es el de utilizar un nombre de dominio adecuado y relacionado con la identidad y misión de la institución no obstante gracias a la forma de operación del  domain name service  dns o servicio de nombre de dominio es posible asignar más de un nombre de dominio a un mismo sitio web de esta manera es posible incorporar otras denominaciones bajo el dominio  cl  u otro que permitan generar  alias adicionales para el sitio y así permitir utilizar las denominaciones más coloquiales con la cual la institución es conocida por los ciudadanos no obstante sin importar cuántos alias tenga un sitio se recomienda que todos los dominios sean redirigidos para que la primera pantalla en cualquier caso corresponda a la portada  oficial  del sitio web y que el cada uno de los dominios sea configurado para que responda usando o no la nomenclarura www ejemplo si el dominio primario es wwwmisitiogobcl se pueden configurar alias como misitiogovcl wwwmisitiogovcl misitiocl y wwwmisitiocl en todos estos casos el dominio debe apuntar y responder siempre redirigiendo al usuario al dominio primario wwwmisitiogobcl recuerde que sobre los nombres de dominio existe una normativa obligatoria definida en el oficio no 485 del 10 de noviembre de 2000 en relación con el decreto supremo no 5996 donde se especifica claramente que los sitios del estado deben registrar su dominio bajo la denominación  gobcl  y  govcl  adicionalmente pueden hacerlo bajo el dominio  cl  en forma directa dicha operación en cuanto a procedimientos y alcance está definida en su totalidad en el sitio  http nicgobcl  y mayores referencias se pueden encontrar en http nicgobcl reglinscrhtml  protección de la estructura interna del sitio web uno de los mecanismos que permite proteger la estructura interna del sitio especialmente para casos de intentos de ataques externos y o intentos de violación de confidencialidad es disminuir la cantidad de información contenida en las  url  que se muestran en el programa visualizador esto es importante respecto de directorios y nombres de programas pero especialmente en lo que se refiere a la entrega de parámetros de sesión datos de usuario u otro mecanismo de transferencia de información entre páginas y o secciones de código se recomienda que los mecanismos de traspaso de información entre páginas sea a nivel de objetos del servidor asociados a la sesión sin que la interacción con el lado cliente deba hacerse responsable de la transferencia de datos y o información entre sesiones de ejecución del servidor de igual forma se recomienda evitar que el acceso a elementos del servidor web esté asociado a  direccionamientos relativos por sesión  o asociados al  userid  o  sessionid  esto se debe a que mediante simples pasos se puede conocer  token  de sesión y gracias a eso simular que es el mismo usuario que regresa al sitio para evitar el problema se recomienda incorporar protecciones de dirección relativas a la  dirección ip  de origen otro método de protección de estructura interna consiste en deshabilitar excepto para casos excepcionales como repositorios públicos de archivos la navegación sobre directorios mediante el servidor web esta protección se hace para todos los directorios desde la configuración del software del servidor web otra forma de hacerlo consiste en incorporar un archivo por omisión del servidor web en todos los directorios aun cuando no sea directamente referenciado por otras páginas para que se muestre su contenido cuando un usuario intente revisar el contenido existente en el directorio en el caso de habilitar la navegación sobre directorios se debe evitar el acceso a ciertos directorios protegidos junto con estas protecciones de lectura se recomienda realizar periódicamente una revisión de los esquemas de permisos otorgados a directorios y archivos las permanentes actualizaciones del software de un servidor web generalmente provocan un problema de control del acceso a nivel de archivos lo cual requiere procedimientos claros de supervisión protección contra robots no todos los directorios del sitio deben estar disponibles para que los robots de búsqueda conocidos más popularmente como  arañas  o  spiders  de los buscadores entren en ellos para impedirlo se debe utilizar el archivo robotstxt  o las instrucciones específicas en los metatags de la página de inicio para impedir su ingreso el archivo  robotstxt  es un archivo de texto plano no de html ubicado en directorios el servidor web que contiene instrucciones precisas respecto de qué hacer en ellos cada vez que un robot visita un sitio primero revisa si existe ese archivo si no lo encuentra indexa la página en el sistema buscador que lo haya enviado si lo encuentra analiza su contenido buscando la siguiente información useragent disallow la primera línea useragent indica que es válida para todos los robots que lleguen porque tiene un asterisco puede restringirse a un robot indicando su nombre mientras que la segunda indica con disallow que no está permitido avanzar por los enlaces de la página ya que hace referencia a la raíz del sitio en otro caso si se quiere evitar el acceso de todos los robots a un directorio determinado por ejemplo  cgibin  donde están los archivos más sensibles se puede indicar esa información de la siguiente manera useragent disallow cgibin adicionalmente se puede usar el commando allow que permite incluir directorios específicos gracias a lo cual ciertos contenidos sí son indexados por ejemplo useragent disallow imagenes allow imagenes logotipoinstitucionjpg en este caso la segunda línea indica con disallow que no está permitido ingresar al directorio de imagenes pero que sí se puede indexar un archivo específico que corresponde al logotipo institucional otra forma de impedir el acceso de un robot es poniendo marcadores específicos en los metatags de las páginas no obstante este mecanismo no es soportado por todos los robots por lo que su alcance es más limitado la forma precisa de incluir dicho  metatag  es la siguiente html head meta name robots content noindex nofollow meta name description content este sitio title title head body  más información en  http wwwrobotstxtorg wc robotshtml las cuatro posibles combinaciones de este  metatag  son las siguientes meta name robots content index follow indica que la página puede ser indexada y sus enlaces seguidos meta name robots content index nofollow indica que la página puede ser indexada pero sus enlaces no pueden ser seguidos meta name robots content noindex follow indica que la página no puede ser indexada pero sus enlaces pueden ser seguidos meta name robots content noindex nofollow indica que la página no puede ser indexada ni sus enlaces seguidos manejo de privacidad mantener la privacidad de los usuarios debe ser un objetivo permanente del sitio para ello se requiere de contar con una política de privacidad formal y explícita en el sitio y además deben existir mecanismos de seguridad concretos para proteger los datos de sus usuarios entre estos se debe contar con protecciones físicas y lógicas sobre dicha información en el caso de disponer de arquitecturas multicapas reales se recomienda proteger la información de clientes en servidores físicos distintos de almacenamiento de datos incluyendo interfaces idealmente separadas de consulta de datos además incorporar mecanismos de  encriptación  de los datos para información sensible se recomienda que la información si es almacenada para efectos de que los usuarios la recuperen desde el sitio web sea encriptada con claves administradas por ellos mismos por ejemplo su clave de  autenticación  identificación frente al sitio una decisión de arquitectura que disminuye el riesgo de robo de información de clientes o cuentas de acceso consiste en evitar que desde la base de datos sea posible generar parejas userid clave que permitan autenticarse frente al sitio la forma de hacerlo es incorporar mecanismos que almacenen un valor de índice de la clave en la base de datos en vez de almacenar la clave propiamente tal gracias a esto cuando un cliente se autentica frente al sitio la comparación de claves se realiza sobre los valores de índice y se evita conocer directamente esa información es importante destacar además que un buen diseño de los mecanismos de autenticación junto con mecanismos de auditoría almacenamiento y recuperación posterior son adecuados para la implementación de la  firma electrónica simple  requisito definido como suficiente para múltiples interacciones del estado de acuerdo con la  ley 19799  y su reglamento analizar recomendaciones asociadas al  uso del documento y firma electrónica al interior del sector público  pdf 127kb finalmente se recomienda un control particular de todos los procesos de respaldo recargas manejo de medios removibles y generación de copias de información por ser mecanismos internos de fugas o compromiso de confidencialidad de la información canales seguros es importante incorporar mecanismos de encriptación del canal de comunicaciones como el protocolo  secure socket layer  o ssl para la transferencia de información privada entre los usuarios y el sitio web a través de la red internet hacerlo no requiere de programación adicional a las funcionalidades de interacción y asegura la protección de toda la información intercambiada entre el servidor y los usuarios desde un punto de vista de desempeño si bien el inicio  hand shaking  del proceso de establecimiento del canal  ssl  puede significar un pequeño retardo en la conexión inicial posteriormente no provoca un aumento significativo del ancho de banda utilizado en la conexión ni tampoco obliga a un aumento significativo de recursos del servidor es importante considerar que la seguridad asignada a un sitio web debe ser correspondiente con la inversión y la importancia de los datos almacenados siendo estas capacidades obligatorias para el caso de los sitios transaccionales mecanismos de control de acceso otro aspecto que genera mejoras en la protección de la privacidad de los usuarios y de la información contenida en el sitio web es la incorporación de mecanismos modernos de generación de claves y autenticación como los que se plantean a continuación firma electrónica simple y avanzada es un sistema que identifica al usuario cuando realiza trámites a través de internet o redes cerradas existe una ley y el correspondiente reglamento que la regula y empresas que las ofrecen en el mercado más información en  http wwwentidadacreditadoracl  ambas firmas constituyen las bases legales para que ciudadanos y empresas puedan identificarse virtualmente y de esa manera enviar comunicación y hacer negocios de manera más segura y confiable se trata de un mecanismo de complejidad media aunque incluye funcionalidades de seguridad y criptografía no obstante la incorporación de este mecanismo en forma única dependerá del control absoluto que se tenga de la comunidad de usuarios de la solución para comunidades abiertas es preferible establecer dos mecanismos de autenticación uno fuerte mediante firma electrónica usando certificados digitales y otro mediante autenticación de usuario y clave por otro lado la firma electrónica simple podría ser usada para las comunicaciones oficiales enviadas por la institución a sus usuarios el uso de la firma electrónica debe definirse al momento de determinar la arquitectura de solución del sitio web autenticación con par usuario y clave si se emplea esta solución debe existir un procedimiento concreto para los casos en que un usuario pierda o no recuerde su clave se recomienda ofrecer mecanismos de regeneración de clave  mediante la entrega de respuestas a preguntas predefinidas por los usuarios en lugar de hacer el  envío de la clave por email  en el caso de contar con mecanismos de ayuda se debe ofrecer apoyo para la regeneración de las claves sin que el personal de la institución tenga acceso a la información de seguridad del cliente se debe evitar el uso de mecanismos de autenticación administrados por terceros en caso de que puedan comprometer la confidencialidad o la suplantación del usuario sistemas de hardware para autentificación para sistemas de seguridad que requieren una autenticación absoluta del usuario es preferible considerar mecanismos de autenticación fuerte para ello se deben incorporar mecanismos que incluyan elementos de hardware que deben estar en posición del usuario tales como tarjetas u otros similares security token que permiten el acceso a las áreas de autenticación allí el usuario debe ingresar su identificación de usuario security challenge response y se le genera una clave de sesión que al ser digitada en pantalla le permite acceder al sistema dicha clave cambia frecuentemente para aumentar la seguridad de acceso protección de programas es fundamental proteger los códigos y programas internos del servidor web particularmente evitando la transferencia de parámetros o información a través de la dirección de acceso a las páginas por ejemplo al usar el método get para la entrega de parámetros los cuales son mecanismos frecuentes de  hackeo  o robo de información de igual forma se debe evitar la lectura de ejecutables desde los directorios del servidor controlando los permisos adecuados de acceso a éstos con el fin de evitar desensamblaje y o ingeniería reversa para analizar accesos internos en cuanto a los  scripts  ubicados en el lado del cliente en caso de ser críticos se recomienda utilizar compactadores de código y eliminar documentación de apoyo que permita su fácil comprensión a partir de la lectura del código es importante que estas medidas sean incluidas junto a las acciones de seguridad informática normales de la institución hosting externo vs sitio propio sin entrar en profundidad en cuanto al detalle de los elementos a considerar para esta decisión la principal recomendación es hacer una evaluación objetiva basada en los siguientes aspectos evaluar las reales capacidades disponibles para la operación permanente del sitio desde un punto de vista técnico evaluar los requerimientos de control y seguridad necesarios evaluar el nivel de soporte efectivo que el personal técnico del servicio puede realizar sobre los servidores con estos parámetros se debe definir la mejor opción no sólo desde el punto de vista del interés de las áreas técnicas sino que mediante una evaluación de impacto global de la decisión asociada la amplia oferta disponible permite realizar combinaciones de servicios e infraestructura de muy diversos tipos lo cual facilita configurar una solución óptima en términos del costobeneficio asociado por ejemplo hosting compartido dedicado collocation housing red administrada monitoreo de seguridad administración de seguridad perimetral control de aplicaciones fulfillment etc en caso de que se decida externalizar esta área es importante contar con altos estándares de parte del proveedor en todo lo referido a tiempo de desempeño  uptime  respaldos y recuperación actualizaciones de software etc roles mínimos a asegurar un último aspecto considerado en esta área de recomendaciones consiste en definir los diversos roles profesionales dentro de la definición y diseño de un sitio web para una institución desde un punto de vista exclusivamente técnico es fundamental considerar al menos los siguientes roles identificando tanto sus responsabilidades como el personal más competente que pueda cumplirlos si bien más de uno de estos roles funcionales puede ser desarrollado simultáneamente por una persona o área de la organización es importante que dichas áreas sean cubiertas no sólo durante la puesta en marcha de la solución sino también durante su etapa de producción arquitecto encargado de hacer las configuraciones de trabajo de los servidores y aplicaciones administrador de aplicaciones encargado del funcionamiento del software operativo administrador de control de calidad encargado del cumplimiento de las políticas de calidad administrador de seguridad encargado de hacer generar y hacer cumplir las directivas de seguridad administrador de operaciones encargado de los aspectos operativos relacionados con el hardware administrador de contenidos encargado de las informaciones contenidas en el sitio web administrador de helpdesk y soporte encargado de dar soporte a usuarios sobre las funcionalidades del sitio web administrador de contingencias encargado de enfrentar en primera línea los problemas que se generen en la operación auditor contralor encargado de llevar registro de las operaciones realizadas con el fin de apoyar la revisión de procedimientos finalmente aunque los roles del área informática pueden estar muy claros es necesario que se entienda que la operación del sitio web es una tarea conjunta en la que participan funcionarios de diversas áreas de la institución areas guía web perfil profesional gestor ejecutivo del proyecto responsable por coordinar concepto frontend y tecnología del sitio responsable por la programación del sitio en todos sus componentes dinámicas responsable por garantizar el cumplimiento de los estándares esperados para el sitio gestión de proyecto planificación puesta en marcha normativa y estándares buenas prácticas control de calidad ciclos del proyecto nuevo sitio cumplimiento de normativa nuevas funcionalidades migración de plataforma seguridad operación privacidad robots protección hosting ip dns meta tags select rating darle 15 darle 25 darle 35 darle 45 darle 55 no votes yet puesta en marcha de sitio web  pruebas seguridad pruebas seguridad  