Examen de SPI - I*38 - Septiembre 2010

Se indica entre paréntesis el número de líneas estimado de la respuesta.
!!!
  1. El algoritmo RSA trabaja sobre bloques. Explica la relación entre los modos de uso de los algoritmos de bloques y el RSA. (4) %%% RSA no se emplea como algoritmo de cifrado por bloques por su lentitud. Se emplea para cifrar una llave de sesión con la que cifrar datos con un algoritmo simétrico. Si RSA se emplease como algoritmo de cifrado por bloques, debería usarse con los mismos criterios que el resto de algoritmos, es decir usar CBC por defecto y otros modos si es necesario/conveniente. %%%
  2. Al ejecutar el script: 
    for ((i=1; i<255; i++)); do
  if ./cesar -d $i <quijote.bin 2>/dev/null | grep -i quijote >/dev/null; then
    echo La clave es $i
  fi
done
    me descubre varias claves, ¿por qué?. (3) %%% Al hacer la búsqueda con -i ignoramos mayúsculas y minúsculas, si el texto contiene QUIJOTE, al descifrar con la clave correcta menos 32 descifrará quijote pues 32 es la diferencia en ASCII entre mayúsculas y minúsculas. %%%
  3. Sea un método de cifrado tal que cada carácter se cifra sumándole el carácter siguiente de la secuencia de entrada. El último se cifra sumándole la clave k. Aparte del tamaño de la clave, ¿que inconveniente claro tiener el método? (2) %%% Es computacionalmente inaceptabe, pues para descifrar se requieren dos pasadas o almacenar toda la secuencia cifrada. %%%
  4. Una aplicación web autentica a sus usuarios por la IP desde la que se conectan. Discute la validez del método, ventajas e inconvenientes frente a otros métodos. (6) %%% Sólo tiene sentido si el usuario va a acceder siempre de la misma IP. En este caso, deberemos estar seguros de que sólo ese usuario emplea esa IP, tanto para que web sepa seguro quien se conecta, como para que el usuario esté seguro que nadie se hace pasar por él. Con esas condiciones es un método aceptable de autenticación fuera de redes locales, mejor incluso que el método usuario/contraseña, por lo difícil que es falsear la IP en el caso, por ejemplo de una conexión doméstica con IP fija. %%%
  5. Quiero realizar una aplicación web que requiera autenticación con certificados, de modo que cuando el certificado no sea admitido muestre mi mensaje de error al usuario. ¿qué directiva deberé usar, SSLVerifyClient optional o SSLVerifyClient require? (5) %%% Si se emplea SSLVerifyClient require, si no se presenta un certificado aceptado por el servidor, produce un error en el protocolo y es el navegador quien muestra un mensaje estándar al usuario. En cambio con SSLVerifyClient optional, el control llega a la aplicación, que puede discernir si hay o no certificado e incluso realizar complobaciones adicionales al mismo. Por ello debo usar SSLVerifyClient optional. %%%
  6. ¿Cuál es la razón de que los objetos PKCS12 estén protegidos con contraseña? (1) %%% Son objetos que contienen llaves privadas, por lo que hay que protegerlos. %%%
  7. Solicito un certificado gratuito de usuario (sólo email) a Verisign y tardo varios días en leer el correo que me mandan. Cuando lo leo y voy a descargar el certificado, el navegador me advierte de que no tengo una llave que corresponda a ese certificado. ¿Qué puede estar pasando? (2) %%% Que estos descargando el certificado desde un ordenador/navegador/perfil diferente del que lo solicité, o bien que en esos días he borrado el almacén de llaves. %%%
  8. Envío con thunderbird un único mail cifrado a varios destinatarios usando Bcc, es decir, que la cabecera del correo no revela a los destinatarios a quién más iba dirigido el mail. Uno de los receptores lo averigua, ¿cómo lo ha hecho? (5) %%% Para cada uno de los destinatarios, el PKCS7 contiene la identificación del certificado con que se ha cifrado. Aunque esa identificación sólo es la CA emisora y el número de serie, si un destinatario dispone de acceso a las bases de datos de las CAs (improbable) o simplemente de una colección de certificados de personas con las que se relaciona y coinciden con los del mail, puede llegar a conocer alguno, incluso todos los destinatarios. %%%
  9. Ejecuto:
    ls -l aplicacion
    y obtengo:
    -rwsr-xr-- 1 root users 811156 ago 31 11:50 aplicacion
    Explica qué implica. (2) %%% La aplicación sólo pueden ejecutarla los usuarios del grupo users, y en ese caso, al ejecutarla aquirirán privilegios efectivos de root. %%%
  10. Explica para qué puede servir guardar una copia de seguridad rotatoria de cada día de la semana frente a una única copia. (2) %%% Está claro que cuantas más copias haya mejor, eso es obvio. Aparte, por ejemplo, en caso de pérdida accidental de datos disponemos de las copias de los últimos 7 días. Si los datos se perdieron hace más de un día pero menos de 7, podremos localizarlos. %%%