Herramienta de aprendizaje online en ciberseguridad y hacktivismo en redes adaptado a nivel usuario

        FacultaddeInformática UniversidadComplutensedeMadrid Curso2016‐2017       TrabajodefindegradodelGradoenIngenieríaInformática  HERRAMIENTADEAPRENDIZAJEONLINEENCIBERSEGURIDAD YHACKTIVISMOENREDESADAPTADOANIVELDEUSUARIO AUTOR:JESÚSDELOLMOCABRERA DIRIGIDOPOR:MARCOSSÁNCHEZ‐ÉLEZMARTÍN  12DEJUNIODE2017  1              3                              4  Contenido 1INTRODUCCIÓN.....................................................................................................................8 1.1OBJETIVOS...................................................................................................................11 1.2MÉTODODETRABAJO.................................................................................................12 2CIBERSEGURIDAD................................................................................................................14 2.1ANTECEDENTESDELACIBERSEGURIDAD...................................................................15 2.2ÁMBITO.......................................................................................................................15 2.3CIBERSEGURIDADENLAACTUALIDAD........................................................................16 3MOTIVACIÓN.......................................................................................................................18 4TECNOLOGÍAEMPLEADA....................................................................................................21 4.1SERVIDORWEBSEGURO.............................................................................................21 4.2HTMLYCSS..................................................................................................................22 4.2.1WORDPRESS........................................................................................................23 4.2.2DIVI......................................................................................................................24 4.3LEARNPRESS...............................................................................................................24 4.4SQL...............................................................................................................................26 4.4.1Tablascreadas.....................................................................................................27 4.4.2DIAGRAMAUMLDELABASEDEDATOS.............................................................31 5.1DIAGRAMADELAESTRUCTURADELAWEB...............................................................34 5.2INICIO..........................................................................................................................35 5.3CURSOS........................................................................................................................35 5.3.1Módulo1:Introducción.......................................................................................36 5.3.2Módulo2:Criptografía........................................................................................36 5.3.3Módulo3:Sistemas.............................................................................................37 5.3.4Módulo4:Redes.................................................................................................38 5.4PERFILESPROFESIONALES...........................................................................................39 5.5EXAMENDEEVALUACIÓN...........................................................................................39 6PROYECCIÓNDEFUTURO....................................................................................................43 7APÉNDICE............................................................................................................................45 7.1MANUALDEUSO.........................................................................................................45 7.1.1SUSCRIPTOR........................................................................................................45 7.1.2AUTOR.................................................................................................................50 7.1.3ADMINISTRADOR.................................................................................................51 8BIBLIOGRAFÍA......................................................................................................................58  5       6  Resumen Esteproyectotienecomofinalidadeldesarrollodeunaherramientadeaprendizajeen elcampodelaciberseguridadyhacktivismo,adaptándosealniveldeconocimientoo necesidaddelosusuarios,ycreandoperfilesespecíficoscondistintosprivilegiosy accesosacontenidos. Amedidaquepasanlosañoslasociedadsesumergemásymásenelmundodigital. Deestamanera,muchosdelosactoscotidianosquelagenteejercíademanera convencionaly/oanalógicaenestemomentoserealizandeformadigital,yaseaa travésdeinternetodedispositivosmóviles.Estohadadolugaraquelamayoríadelos usuariosquesevenobligadosausarestatecnologíalohaganconmuypoca informacióndebase,sinconocerelriesgoalqueseexponen,ypriorizandola velocidadantesquelaseguridad.Además,muchasveceslainformaciónquesepuede encontrarnavegandoenlarednoestáadaptadaalperfildeusuarioquelarequiere. Paranuestraherramienta,sehaelegidocomoplataformadeaprendizajeunentorno webenlugardeunaaplicaciónmóvil.Elentornoseleccionadopermiteincluirlas funcionalidadesdeaprendizajenecesariasparapoderinstruiradecuadamenteatodos aquellosquebusquenonecesitenalcanzarunconocimientomásprofundosobre ciberseguridad,oparalosqueseestániniciandoenestosmomentos.Además,un entornowebpermiteunmejorusoporpartedelaspersonasdeedadmásavanzada, siendoestasunodelosperfilesdeusuariosalosqueestádirigidalaweb. Asímismo,laherramientapermitealosusuariosmásexpertoshacerapuntede errores,subircontenidonuevoparalamejoradelaweb,asícomoescalarprivilegiosy convertirseenmoderadoresdelamismayadministrarloscontenidosaposteriori. Tambiénsehadesarrolladounapartadomuyinteresantedenominado“perfiles” destinadoaaquellosperfilesprofesionalesquepuedendemandarnecesidadesmás específicasdeciberseguridadconcontenidodedicadoespecífico.Losperfilesque mostramosenestosmomentossoneldeperiodista,concontenidoquelepermita protegersuinformación,empresarios,dedicadoacontenidoparaprotegersuempresa yporúltimofiguraspúblicas,dondeharemosunénfasisenlaprivacidaddesuvida privadaenlasredessociales,dondemultituddeelloshanvistovulneradasuintimidad.  Palabrasclave:Ciberseguridad,aprendizaje,perfiles,profesionales,redes, arquitecturacomputadores,web,tutoriales.     7  Abstract Thisproject’spurposeisdevelopingalearningtoolabouthacktivismand cybersecurity’sfield.Itwillbeadaptedtoseveralknowledgelevelsperuser’s capacities,creatingspecificprofileswithdifferentprivilegesandaccesstocontent. Astheyearsgoby,Societyisdivingmoreandmoreintothedigitalworld,asaresult, daytodayactsthatpeopleusedtodointhetraditionalway,areperformedinadigital waynowadays,usinginternetorsmartphones.Asaresult,mostoftheusersfeel obligedtousethistechnologywithapoorbaseofinformation,withoutknowingthe riskthattheyareexposed,prioritizingspeedbeforesecurity.Besides,manytimesthe informationwecanfindintheinternetisnotadaptedtotheuser’sprofilerequired Asalearningplatform,ithasbeenchosenawebsiteinsteadasmartphone’sapp.The chosenenvironmentletincludethelearning’sfunctionalitiesneededtoteach appropriatelyeveryonewhoislookingorneedingtoreachadeepknowledgeabout cybersecurityorforthosewhoarestartingnow.Wehavetoremarkthatawebsiteis bettertotheelder‘skillswhichisoneoftheuser’sprofilesthatthewebsiteiscreated for. Likewise,thetoolletthemostexpertuserspointfails,uploadnewcontenttoimprove thewebsiteandthepossibilitytoscaleprivilegesandbecomeaweb’smoderator, beingabletomanagethecontent. Also,ithasbeendevelopedaveryinterestingsectioncalled“profiles”focusedon thoseprofessional’sprofileswhichhaveamorespecificdemandinthecybersecurity environment,withspecificcontent.Theprofilesthatthewebsiteisshowingnoware journalist,whichdedicatecontenttoprotecttheirinformation;businessmen,with contenttoprotecttheirCompany;andfinally,publicfigures,whereanemphasiswill bedoneattheprotectionoftheirprivate’slifeatsocialnetworks,wheremanyof themhaveseenhisprivacyviolatedseveraltimes.  Keywords:Cybersecurity,learning,profiles,professions,nets,computerarchitecture, web, tutorials.      8  1 INTRODUCCIÓN Hoyendíalaciberseguridadjuegaunpapelmuyimportanteennuestrasociedad debidoalgrandesarrolloycrecimientodelasnuevastecnologíasyalusoquelagente ledaensuvida.Lasfamiliasacostumbranapedircomidaadomiciliocomprándolapor internet,muchasotraspersonasselanzanalacompraderopaydemásproductosde formaonline,utilizamosaplicacionesparaconocergente…Alahoradellevaracabo estetipodeaccionestenemosqueproporcionarnuestrosdatospersonales,fiándonos dequequedenenlawebdondeestamoshaciendogestionesynolleguenaterceros. Pornormageneralnosesuelerevisarlapolíticadecookiesdelossitioswebsquese visitan,alconsiderarsetediosoeinútilparanuestroobjetivo(queesenrealidadtener accesoadichaweb),peromuchasvecesconvienequeseleecheunvistazoparasaber “quéhacenesascookies”oincluso“quienmássebeneficia”delainformaciónque proporcionanlaspersonasqueaccedenalaweb. Lagentenocompruebaelorigendeloscorreosquerecibenysebasanúnicamenteen elcontenidoqueestoscontienensinserconscientesdeque,siaccedenalas condiciones,puedenponerenriesgosuseguridadenlared. Tampocosesueletenerencuentaalahoradenavegarporlareddetallestansimples comolasURL’sdelossitiosquesevisitan,pudiendocomprobarconunsolovistazosi lawebessegurayconocersufiabilidad. Convieneresaltarunpardeejemplosmuysignificativosquesehandadoennuestra sociedadenestosúltimosmesesyquehantenidobastanterepercusión: EleccionesdelosEEUU,HillaryClintonseposicionaconventajasobreelcandidato republicanoDonaldTrumpypocosdíasdelfinaldelacampañaporlapresidencia,se anunciaquesevuelveareabrirelcasoporelservidorpersonaldeemailsqueClinton teníacuandoerasecretariadeestadoyporelcualfueacusadayalfinalelmismocaso quedóarchivadoenelaño2015.  9  HacepocosdíaseldirectordelFBIanuncióqueasesoresdelacampañaelectoralde Trumpyhackersrusossevieronenvueltosenelespionajedelacandidataala presidencia.Todoporemplearunservidorcaseromássusceptiblealataquedelos hackers(1). Otroejemplodeviolacióndelaprivacidad:Nosremontamosalaño2013,añoenel queelextécnicodelaCIAydelaNSAEdwardSnowdenseponeencontactoconuno delosperiódicosmásprestigiososdelosEEUU“TheGuardian”pararevelarqueel gobiernoestadounidensepresididoporObama,podíaaccederalosservidoresde prestigiosasempresascomoFacebook,Google,Microsoft,Apple…pararecabartodala informacióndesususuarios,alegandoquellevaronacaboestaacciónenbaseala “seguridadnacional”(2). Además,existencolectivosdondelaformaciónenciberseguridadestodavíamás necesariacomopuedesonperiodistas,abogadosoactivistasproderechoshumanos. Enelentornoperiodísticoexisteunanecesidadrealdeprotegerlainformación,las comunicacionesylosequipostecnológicosconlosquelosperiodistastrabajan diariamente(3).Aquellosquerealizansulaborenunaempresaocorporación,pueden versemásprotegidosantelasamenazasconbasealaciberseguridad,puestrabajan juntoaungrupoprofesionaldedicadoaprotegerredesyordenadores,evitandoasí cualquiertipodeataque.Elproblemaresideenquenotodoslosperiodistasse muevenenelmismoámbitolaboral,muchostrabajandeformaautónomayse encuentranindefensosantelafaltadeinformación,herramientasypreparaciónpara protegersusactivos,necesitandoayudaenesteámbito. Losdespachosdeabogadosalberganunaingentecantidaddeinformacióndegran valor,nosoloparaelbufeteensí,tambiénesmuyimportanteparaelclienteyla competencia.Elsecretoprofesionalesunpilarfundamentaldentrodesucampo laboral,quesienalgúnmomentosequebrantapuedellegarasuponerpenas considerables,comopuedeserlainhabilitación,multasopresión,todorecogidoenel artículo199.2delCódigoPenal(4). 16   Familiar:Dentrodelnúcleofamiliar,lospadresdebendeprotegerasushijosen laredcomoquienlesponelímitescuandoestánfueradecasaporelhechodel riesgoalqueestánexpuestos.Internetnoselibradelpeligro,yporelsimple hechodequeesténencasanoquieredecirqueesténasalvo,porloquelos padresdebendetenerlosconocimientossuficientesparapoderprotegerla privacidaddesushijos.Esmás,puededarseelcasodequeseanloshijos quieneseduquenalospadres.  Gubernamental:Esteesunpilarfundamentalyaquesuobjetivoconsisteen protegeralosciudadanosqueutilicenlossistemasdeinformacióny telecomunicaciones.Paraellosehadesarrolladounmarconormativoyel impulsodeunaestructuraqueaúnelasdistintasconstitucionesyagentes responsablesyconocedoresdelamateria(11). 2.3 CIBERSEGURIDADENLAACTUALIDAD SegúnelINCIBEensuinformedel19/09/2016:Elsectordelaciberseguridad constituyeunodelosámbitostecnológicosdemayorproyecciónnacionale internacionalparalaindustria,ademásdeconvertirseenunsectorconenormes expectativasdeempleo.Elaumentodeciberataques,ylaproliferacióndenuevas amenazasconungradodesofisticaciónelevadoycreciente,conducenalanecesidad deincorporarprofesionalesexpertosenciberseguridadparacubrirpuestosdetrabajo especializadosendistintostiposdeorganizaciones(12). Lainformaciónesunodelospilaresmásvaliososdecualquierempresayunodelos perfilesqueseestánbuscandoenelmundolaboraleselderesponsabledeSeguridad delaInformación(CISO“ChiefInformationSecurityOfficer”eninglés).Sucometido consisteenprotegeralacompañíaylainformacióndeataquescibernéticos.Debede tenerconocimientoslegales,teniendocomoreferenciaelISO27001,estándar internacionalparalaseguridaddelainformación,ylaLOPD,LeyOrgánicade ProteccióndeDatos.YsobretodoestarpreparadoanteselnuevoReglamentoGeneral deProteccióndeDatos(GDPR)establecidoporlaUniónEuropea,queseaplicarápor encimadelaLOPDapartirdemayode2018. 17  Debendisponertambiéndeloscertificadosinternacionalesenelámbitodela seguridadcomolaCertificacióndeAuditordeSistemasdeInformación(CISA,porsus siglaseninglés),laCertificaciónenRiesgosyControldeSistemasdeInformación (CRISC)olaCertificaciónenGestióndeSeguridaddelaInformación(CISM),entre otras. Desusfuncioneshedestacado:  LosResponsablesdeSeguridaddelaInformaciónestánalcargodelas siguientesfunciones:  Detecciónyanálisisdelospuntosdébilesdelacompañíaenmateriade ciberseguridadyproteccióninformática.  Desarrollo,ejecuciónysupervisióndelasestrategiasdeseguridaddela información.  Gestión,manejoyvigilanciadelcontroldeaccesoalainformacióndela compañía.  Controldelcumplimientoregulatorioynormativodelnegocio.  Estarinformadodelasnovedadesdelsectorymantenerunaconstante actualizacióndeconocimientosparadarunarespuestaflexibleyágila cualquierincidentecibernéticoqueafectealaempresa.  Garantizarlamáximaprotecciónyprivacidaddelosdatoseinformaciones corporativa.  Fijaciónycontrolpresupuestariodeldepartamento. Esimportantemencionar,paraincentivaralosfuturoscandidatosalpuesto,queel salarioseasemejaaldelosdirectoresdeITdelmercado,llegandoinclusoenalgunos casosasuperarlo.Elsalariopuedevariarenfuncióndesuformación,bagaje profesionalocertificaciones,aunquetambiénsevaloramucholaexperienciadentro delapropiacompañíayelconocimientodesusprocesos(25).   18  3 MOTIVACIÓN Acontinuación,seexponendistintospuntosquehanservidodemotivaciónparael desarrollodelproyecto:  Existenciacrecientedepreocupaciónporlaciberseguridadyapariciónde iniciativasdispersasydemuydiferenteíndole. o Necesidaddeencontrarunametodologíaquepermitaeducaratodotipo depersonasendichotemaydirigirlasalosrecursosmásadecuadospara ellas.Proporcionarlesunmétodopedagógicostep‐by‐stepquelespermita avanzarensuinterés/capacidadparamejorarsuseguridad o Elpoderofrecerunespaciodondelagenteaprendaypuedaexpresarsus dudasjuntoelrestodepersonasquesehayaninscritoypuedanayudarse lasunasalasotras.Esimportantequecumplanquevayanaprendiendolos conceptosdesdelomásbásicoparaqueasientenlasbasesdeloqueles esperaenelfuturo,dadoqueestecampocrececadadíamásyaunritmo vertiginoso.  Deficienciasenlaeducaciónsobreciberseguridad. o Enmuchoscasossedalasituaciónenelquelosmismoseducadoresno estánpreparadosparaimpartirestamateria,yaseaporquenoprecisande losconocimientosnecesariosoporelhechodelafaltadeexperienciaenel terreno.  Nosetratadeunproblemaexclusivodelasélites. o Losmismosciudadanosdeapiesonvíctimaspotencialesdelos ciberataques,porloqueesimportantequecualquierpersonaquelodesee puedautilizarestaherramientayprotegersedecaraafuturosataques cibernéticos.  Importanciadelaciberseguridadparatodalapoblaciónengeneralyparaalgunos colectivosenparticular,conmenciónalageografía,legislacióndellugaryactividad delcolectivo. o Quierodestacaruninformeenelcualsetratanlossiguientestemas: Vigilanciadigital,Privacidadcontralavigilancia;Ciberseguridad,sociedad 19  civilyvulnerabilidadenlaeradelascomunicaciones…Todoestosepuede encontrarenelInformede57paísessobre“Communicationssurveillance inthedigitalage”(13). Delanálisisdelasmotivacionesquehanllevadoaldesarrollodeestetrabajoseha decididoqueunaherramientadeaprendizajewebeslamejormetodologíaaseguir paraquemáspoblaciónparticipeactivamenteensupropiaciberseguridad… Además,comoqueremosqueseaunaherramientaquepuedamejorarsedeforma activaporpartedelosusuariosnecesitamosdefinirlosdistintosrolesquevanaexistir enlaherramienta,lospermisosqueposeenylarepercusiónquedebealcanzarel usuarioenlawebparapoderaspiraraunrolconmásprivilegios. Losrolesqueexistenenlawebsonlossiguientes: •Administrador:Seencargacomobiendiceelnombredeadministrarla configuracióndelaherramientaweb. •Autor:Tienelacapacidaddesubircontenidoalawebycrearasísuspropios cursosyexámenes. •Suscriptor:Esaquelusuarioquedecidesuscribirsealosmódulosde aprendizajequeseofrecenenlaweb.Podránconvertirseenautoressi participandeformaactivaypositivaenlaweb. •Usuarioeventual:Solodisponedelaconsultadelosapartadosqueno requierensuscripción,comopuedeserelde“PerfilesProfesionales”. Unusuariocuandoaccedeporprimeravezalawebyseinscribeenalgunodelos módulosofertados,pasaaserunsuscriptor,pudiendoúnicamentecomentarydarsu opiniónacercadeloscontenidosquehaidoobservandoenlaweb. Paraqueelusuariotuvieraalgomásdeprotagonismoenlaherramienta,losautores delawebpodrándotardemásprivilegiosaaquellossuscriptoresquehayan colaboradodemaneraactivaaportandoconocimiento,soporteyretroalimentación paraayudaramejorarelfuncionamientodelaherramienta. 20  Deestaformaunusuariopodríaconvertirseenautoryllegaradesarrollarysubirala websupropiocontenidoyoptimizarlosyaexistentes.Hayquereseñarqueunautor podrámodificarcontenidosdetodoslosmódulos,anoserqueeladministradorle resteespaciodemaniobraenlaherramienta,peroaprioripodráeditartodoslos módulosdeaprendizaje. Elnúmerodeautoresquepuedehaberenlawebesilimitado,dependerádela decisióndeladministradorelotorgarprivilegiosamásusuarios.Nohayuncriterio estrictoparapasardesuscriptoraautor,estaráenlamanodeladministradoro administradores,yaquetambiénpodríahabermásdeunosieladministradororiginal quisierarepartirlacargadetrabajoqueconllevalaherramienta. Aunqueenesteproyectosólodesarrollamoslaherramienta,laideaquesubyacees quedelusodeéstaporpartedediferentescolectivossecreeunacomunidadque participeenlamejoradeloscontenidosdelaherramientamediantealgunodelos rolesanteriormentedescritos.          21  4 TECNOLOGÍAEMPLEADA Acontinuación,sevaaespecificarlasherramientas,aplicacionesy/otecnología empleadasparadesarrollarelproyecto. 4.1 SERVIDORWEBSEGURO Paraquelaconexióndelusuarioconlaherramientawebseasegura(fiabley confidencial)sehaimplementadounservidorwebseguroempleandoelprotocolode seguridadSSL(SecureSocketsLayer),deformaquelacomunicaciónentreelservidory elusuarioestéencriptada.Estoesnecesariollevarloacaboparaquelosdatosquese envíanyrecibendurantelastransferenciasdeinformaciónesténprotegidos,demodo que,siunhackersehaceconalgunodelospaquetesdelatransacción,lesea imposible(omuydifícilalmenos)interpretarsucontenido. EsnecesariocomentarconmásdetalleelorigenyusodelprotocoloSSL. Esteprotocolotieneagrandesrasgosdosobjetivos,cifrarlainformaciónentreel clienteyelservidorylaidentificación,queconsisteengarantizarquelamáquinao servidorconelqueestáscomunicándoteesconquiendeverdaddeseasestablecer dichacomunicación.   Cifrado:Sedefineelprocesoen4pasos 1. Losordenadoresentrelosqueseproducelacomunicaciónseponende acuerdoencómocifrarlacomunicación,empleandoRSA,AES… 2. Servidorenvíauncertificadoalordenadorcliente,conunaclavepública yelperiododevalidezdelcertificado. 3. Ahoradesdeelordenadorclienteempiezaelcifradodelainformación, seenvíantresmensajesparalograrlo  Ambosordenadorescalculanelcódigosecretoquevanausar.  Elclientelesolicitaalservidorqueempieceacifrar.  Haterminadodecifrarelmensaje. 4. Elservidorrecibelapeticióndelclienteycifralosmensajes,deforma queningún“maninthemiddle”puedainterpretarlosmensajesquese estánintercambiando.  Identificación:Sedefineen4pasos  1. Lacompañíasolicitauncertificadodeautenticidad,paraloquela empresadeberádebrindarlasiguienteinformación:  Servidorweb.  Nombredelacompañía.  Dondeseencuentralacompañía. 22   Laautoridadcertificadoraverificarálaautenticidaddela compañía. 2. Laautoridadcertificadoracreauncertificadoparalacompañíaque contienelasiguienteinformación:  Númerodeserie.  Identificadordelalgoritmo.  Fechadevalidez.  Clavepúblicadelsujeto.  Identificadordelacompañía.  Firmadelalgoritmo. 3. Elcertificadoseinstalaenelservidordelaweb  Configurarelservidorwebparautilizarelcertificado. 4. Elbuscadorreconocetuwebcomosegura.  Paranuestrawebsehautilizado“Let’sEncrypt”(14),unaentidadcertificadoraque ofrececertificadosSSLabiertos,libresygratuitos.Ahoracuandolosusuariosaccedana laweb,enlaURLlesaparecerá“https://“alcomienzo,indicandoquelaconexiónes segura.Pasosaseguir:  AccederalpaneldeconfiguracióndelsitioeinstalarLet’sEncrypt.  ActualizarlasURL’sdetupágina,pasandodehttpahttps o Accediendoaajustesdelapáginaycambiandoladireccióndelsitioyde Wordpress. 4.2 HTMLYCSS Laherramientadeaprendizajesehadesarrolladousandoprincipalmenteellenguaje HTML,quepermitecrearlaestructuradelawebmedianteetiquetas. Ofreceunagranversatilidad,estructuralógicayesfácildeinterpretarporhumanosy máquinas.Laestructuraestáformadaporunárboldondeencontramoslaraízya partirdeéstaelrestodeetiquetasseinsertandemaneralógica.Todorealizadoenun simpleficherodetextoparaelcualsolosenecesitauneditorcomoelblocdenotas quenosofrececualquiersistemaoperativo(15). Unaspectoquemerecelapenadestacareselhechodequelainformaciónaparece divididaenbloques:  23   Cabecera(Head):Informacióntécnica. o Informacióncontextualdelapágina:Metadatosquenosproporcionan informaciónquenoquedalosuficientementeclaraenelcontenido. o Referenciaaotrosficheros:Todoslosrecursosquenecesitelapágina apareceránenesteapartado,comoporejemploCSSoJavaScript,etc… o Scriptsyestilos:Puedendefinirseenundocumentoexterno independienteoaparecerenlacabecera.  Cuerpo(Body):Elrestodeinformaciónocontenido. o Videos,enlaces,imágenes… Paradarleunestilopropioalawebseemplealoqueseconocecomohojasdeestilos oCSS(CascadingStyleSheet)(16).Algunasdesuscaracterísticasson:  Definicióndedistanciaentredistintoselementosdeldocumento.  Añadirelementoseneldocumentoconmayorprecisión.  Definirlavisibilidaddetodosloselementosmostradoseneldocumento.  Ofreceunagranflexibilidadalahoradedesarrollarelestilodelaweb.  Permitelacombinaciónconlenguajesdistintos. Acontinuación,sedestacanunaseriedetérminosbásicosdeCSSsobrelosquehay queprofundizar. 4.2.1 WORDPRESS  EsunCMS(ContentManagementSystem)quepermitecrearymantenerlosaspectos fundamentalesdeunaweb(17).DesarrolladoenPHP(HypertextPreprocessor)para entornosqueusenMySQLyApacheyessoftwarelibre. CARACTERÍSTICASPRINCIPALES:  Sistemadepublicaciónwebbasadoenentradasordenadasporfecha; clasificadasenunaomáscategoríasotaxonomías.  Sudiseñovisualsebasaenelsistemadeplantillaselegido,quepuede tenerdistintasopcionesdemodificacióndependiendodelautordeésta. 24   Bloquesconfuncionesespecíficas.  Pluginsquepermitenañadirfuncionalidadextraalaweb. Acontinuación,sevanaespecificarlosdosaspectosentornoalosquegirala herramientaweb. 4.2.2 DIVI DIVIesuntemaquepermitealusuarioconfigurardeformamodulareldiseñoyestilo desuplantillaenWordpress(Figura2).         Figura2:DIVI. 4.3 LEARNPRESS EsunpluginquedeWordpress(Figura3)queofrecealusuariolaposibilidadde convertirsuwebenunentornodeenseñanzaadaptablealasnecesidadesdel usuario.      Figura3:LearnPress. 25  Lasfuncionesqueofreceestepluginson:  Creacióndemódulos/cursosdeenseñanza: 1. DentrodelapestañadeLearnpressaccedera“Cursos”. 2. Hazclicenelbotón“Añadirnuevo”. 3. Introducirlosdatospertinentes:  Títulodelcurso.  Breveintroducción/explicacióndelmismojuntoconuna fotoovideo.  Añadirlasleccionesquequieresqueformenpartedel curso.  Creacióndeleccionesparalosalumnos: 1. DentrodelapestañadeLearnpressaccedera“Lecciones”. 2. Hazclicenelbotón“Añadirnuevo”. 3. Introducirlosdatospertinentes:  Títulodelalección.  Breveintroducción/explicacióndelamismajuntocon unafotoovideo.  Opciónparalimitareltiempodelalección.  Creacióndepreguntasparautilizarenlosexámenes: 1. DentrodelapestañadeLearnpressaccedera“Preguntas”. 2. Enelbancodepreguntashacerclicken“Añadirnuevo”. 3. Introducirlosdatospertinentes:  Títulodelapregunta.  Breveintroducción/explicacióndelamismajuntocon unafotoovideo.  Tipoderespuesta:  Verdaderoofalso.  Opciónmúltiple.  Explicacióndelapregunta.  Opciónparadarpistas.  32    Figura15:DiagramaUML. 33  4.5 PHP Esunlenguajedecódigoabiertomuypopularespecialmenteadecuadoparael desarrollowebyquepuedeserincrustadoenHTML. LoquedistingueaPHPdealgodelladodelclientecomoJavascriptesqueelcódigoes ejecutadoenelservidor,generandoHTMLyenviándoloalcliente.Elclienterecibiráel resultadodeejecutarelscript,aunquenosesabráelcódigosubyacentequeera LomejordeutilizarPHPessuextremasimplicidadparaelprincipiante,peroasuvez ofrecemuchascaracterísticasavanzadasparalosprogramadoresprofesionales(19). Característicasadestacar:  Permitenefectuarconsultasconelfinderecuperar,deformasencilla, informacióndebasesdedatos,asícomohacercambiosenellas.  Tienelaposibilidaddeutilizarprogramaciónporprocedimientoso programaciónorientadaaobjetos(POO),ounamezcladeambas.  ConPHPnoseestálimitadoagenerarHTML.EntrelascapacidadesdePHPse incluyenlacreacióndeimágenes,ficherosPDF,textoXHTML,eincluso películasFlash.  Soporteparaunamplioabanicodebasesdedatos. o MySQL,PDO,ODBC,CURL…  Procesamientodetexto.  Capacidadparaampliarsufuncionalidadutilizandomódulos.  Manejodeexcepciones.     34  5 ESTRUCTURADELAWEB Enesteapartadodelamemoriasepresentarálaestructuradelaherramienta diseñada. 5.1 DIAGRAMADELAESTRUCTURADELAWEB  Estaeslaestructuradelaweb,analizandocadaunadelaspáginasdesdequeaccedes aldominiohttps://ciberseguridad.jacynycz.es(Figura16).  Figura16:Estructuraweb.     35  5.2 INICIO Alahoradeaccederalaweb,sepresentalainformaciónbásicadelasfuncionesque desempeñalaherramienta.Semuestrantambiénlosdistintosapartadosdesarrollados enelmenúsuperior(Figura17).  Figura17:Iniciodelaweb. Enelbodyinferiorsemuestralastrescaracterísticasmásrelevantesdelapágina (Figura18). Figura18:Bodyinferior. 5.3 CURSOS Enestasecciónlosusuariospodránencontrartodalateoríanecesariaparaempezara formarseenciberseguridadyHacktivismo.Sehanescogidoenprincipiocuatro módulosdeaprendizajecentradosendistintostemasquesehanconsideradobásicos parainiciarseenlamateria. 36  5.3.1 Módulo1:Introducción Enestemódulosepretendeconcienciaralusuariodelaimportanciadelaseguridady selebrindanunaseriedeconceptosmuybásicosparaempezarsuaprendizajeenla materia. Sedivideendoslecciones,laprimerahaciendoénfasisendefinicionesdetérminos elementalesparapoderavanzarenlamateriadeciberseguridad,comopuedeser “diferenciasentreunhackeryuncracker”olospasosaseguirparaatacarunobjetivoo defendersedeunataque,etc... Lasegundapartedelmódulosecentraenlosorígenesdeinternet,explicandocómose formóARPANET,lacreacióndelprotocoloTCP... 5.3.2 Módulo2:Criptografía Enestemóduloseestudianlosconceptosdelacriptografíaaplicadosala ciberseguridad. Lospuntosqueseestudianson:  Objetivos  Conceptosbásicos  Técnicasclásicas(Ejemplos) o Sustitución o Desplazamiento  Técnicasmásavanzadas(Ejemplos) o DES o RSA o PKI   37  5.3.3 Módulo3:Sistemas Enestemóduloseabordaráelfuncionamientodeunsistemadesdeelpuntodevista delsistemaoperativoLinux. Elementosqueseanalizan:  Usuariosygrupos  Archivos  Programas  Seconsideraránlosactivosanterioresdeformaquesepuedandefenderanteun ataquedirigido. Tambiénseanalizarándistintasamenazasparanuestrossistemas,comopuedenser troyanos,gusanos,virus,….Ylamaneradepodercontrarrestarlos.          38  5.3.4 Módulo4:Redes EnestemóduloseempiezadefiniendoelprotocoloTCP/IP,cuálessuobjetivo,etc. SedefineelmodeloOSIconrespectoelprotocoloTCP/IPconsusrespectivascapasy lasvulnerabilidadesquepuedehaberencadaunadeellas.(Figura19)                Figura19:ModeloOSIvsProtocoloTCP/IP.       39  5.4 PERFILESPROFESIONALES Laideadeesteapartadoeshabilitarunaseccióndondelosusuariosacudanbuscando conocimientoy/oherramientasconunenfoqueconcretobasadoenelcampoenel queestánespecializados.Unejemploreferentepodríaserelperfilperiodístico,donde losusuariosencontraríanconsejosomanualesparaencriptarsuscomunicacionesala horadecomunicarseconsusconfidentes.Enestecasocabemencionarunepisodio realquetuvolugarenelaño2013,cuandoGlennGreenwald,periodistadelThe Guardian,publicólasrevelacionessobreelprogramadevigilanciaPRISMyotros programasdelaNSAgraciasalainformaciónproporcionadaporEdwardSnowden. TodoestoseprodujocuandoGlennGreenwaldcomenzóautilizarGPGparacifrarsus correos,deotraformaEdwardSnowdenjamáshabríacompartidosuinformación(2). Otroperfilquesehadecididoañadireseldefiguraspúblicas,inspiradoenla necesidadquesehapodidoobservarenlasociedadcuandounfamosohasido hackeadoyhavistocomosuintimidadquedaaldescubierto.Porponeruncasomás concreto,últimamentesehadañadolaimagendemuchasactricesalhackearsus smartphones,accediendoenmuchoscasosasuscuentaspersonales,descargarde estaformafotosíntimasdealtocontenidoeróticoquesubenalaredmásadelante(20). 5.5 EXAMENDEEVALUACIÓN  Cuandoelusuarioseinscribaenelprimermódulo,despuésdecompletarlostemasde introducciónyorígenes,tendráquehacerunexamentipotestparapoderevaluarsus conocimientosenciberseguridad,deformaquesepuedadiscernirelgradode conocimientoactualdelusuarioenesemomento. Sielalumnoaprobaraelexamenselenotificaríaalmoderadorquelopusoparapoder darleasípermisoparapoderllevaracaboelsiguientemódulodeaprendizaje.Enel perfildelusuarioapareceunabarradeprogresodelcurso,elcualaparecerá completadocuandoterminelasleccionesyapruebelosexámenesquelocompongan. Encasodesuspenderlonopodríaseguiravanzando,perosecuentaconlaopción,en funcióndeloquedecidaelmoderador,derepetirelexamenhastaqueelusuariolo apruebe. Laspreguntaselegidasparacomprobardichonivelsonlassiguientes:  40  1. ¿Enquéconsistelaciberseguridad? o Elusodeherramientasdeespionajeafavordelasociedad o Ladefensadelciberespacio o Preveniratodacostaquelagentesepahackear o Infiltrarseenlasredesdegruposterroristas (Conestaprimeracuestiónsebuscaconocersielusuariotieneclaroelconceptode ciberseguridad). 2. Delossiguienteshechosquevamosamostrar,indicaaquelquesecorresponde conunejemplodehacktivismo: o Unabandaorganizadarobaalosclientesdeunbancoatravésde internet o Unosestudiantesirrumpenenlawebdesuprofesordeuniversidady cuelganfotosobscenas o Unaorganizacióntrataderevelarinformaciónconfidencialdeuna empresaqueselucrainjustamentedesusclientes o Unosdelincuentesusurpanlaidentidaddeempresariosparahacerse consunegocio (Enestecasosequieresabersielusuariosabeloqueeselhacktivismoabasedelos 3. ¿Cuálesladiferenciaentreunvirus,ungusanoyuntroyano? o Unvirussereplicaasímismo,ungusanohacelomismoadhiriéndosea unarchivoyuntroyanonosepuedereplicar o Unvirussereplicaasimismoadhiriéndoseaunarchivo,ungusanono puedereplicarseyuntroyanosíquesereplica o Unvirussereplicaasimismoadhiriéndoseaunarchivo,ungusanose replicasinnecesidaddeningúnarchivoyeltroyanonopuedereplicarse (Enestapreguntasebuscaconocerelgradodeconocimientodelusuarioenrelación conlosprogramasdañinosquepuedanafectaralsistema,haciéndoleelegirla definicióncorrectaparaloqueesunvirus,ungusanoyuntroyano). 4. ¿Quéwebdelasquesemuestranacontinuaciónencriptalacomunicación entrelosusuariosylaweb? o http://www.ases.com o https://www.bbvamola.es o ftp://download.miproyecto.com o http://ciberseguridad.es (Enestapreguntasepretendeconocerelgradodeconocimientoenlaramade seguridadweb,alahoradefijarseenellinkdelapáginaseleccionada). 5. ¿Delossistemasmostradosacontinuación,cuálseutilizarparaprevenirun ataque? o IDS o IPS 41  (Conestapreguntaelobjetivoconsisteenelegir,porpartedelusuario,lamejor herramientaosistemaalahoradeprevenirunataque). 6. ¿Quétipodeherramientapodemosemplearparapermaneceranónimosenla red? o VPN o WPA o WEP o CSMA‐CD (Alahorademantenernuestroanonimatoalnavegarporinternetesnecesario conocerquétipodeherramientasnosproporcionanestetipodeprotección). Laspreguntasqueserealizanacontinuaciónsevanacentrarenlasredes,queesun aspectofundamentaldelaciberseguridad. 7. ¿Cuáleselpropósitodelprocesodel"routing"? o Dividirelmensajeenpaquetesparaacortarelmismo o Seleccionarelcaminoóptimoparadirigireltraficodedatosalared deseada o Enviardatosatodoslosdestinatariosdeunreddeformadirecta o ConvertirunURLaunadirecciónIP (Elroutingesunaspectobásicodentrodelaconexiónainternet,porloqueseexige queelusuariodomineestéámbito) 8. ¿Cuáleselpropósitodeautenticacióndelusuarioenunared? o Conseguirlosdatosdelusuarioparasufuturouso o Determinarquétipoderecursosselevanaproporcionarelusuario o Mantenerelregistrodelasaccionesdelusuario o Exigiralusuarioquepruebesuidentidad (LaautenticaciónesMUYimportantealahoradenavegarporinternet) 9. ¿Quéprotocoloderedseempleaparaasignarautomáticamenteunadirección IPaunordenadorenunared? o FTP o DHCP o SMTP o CSMA (Estaesunapreguntaalgomás“avanzada”peroseconsiderarelevanteenelámbito globaldelaciberseguridad) 10. ¿QuécapadelmodeloOSIseencargadelrouting? o Transporte o Red o Aplicación o Física 48    Unavezelusuariosehainscritoenelcurso,podráestudiarloscontenidosqueseles proporcionanyrealizarelexamendeevaluación(Figuras26,27y28). Figura26:ContenidoCurso. Figura27:ExamenCurso.        Figura28:ExamenCompleto.   49    Porúltimo,elusuariopodráconsultarymodificarsuperfildentrodelaherramienta (Figuras29y30):           Figura29y30:AccesoyediciónPerfil.            50  7.1.2 AUTOR  ELautoresunrolquesesitúaporencimadelroldesuscriptor,ytieneprivilegiosdeediciónen laherramienta.Tieneunmenú,enelpanellateralizquierdodelapágina,pararealizartodos estoscambios(Figura31).          Figura31:Menúautor.   Puedenañadirentradasygestionarcomentariosenlosmódulos(Figuras32y 33):  Figura32:Comentarios.        Figura33:Entradas. 51  7.1.3 ADMINISTRADOR  Esteeselroldelaherramientaconmayoresprivilegiosyelquemayorfuncionalidad tiene.Sumenúestácargadodedistintosapartados(Figura34):   LearnPress:Plugindeenseñanzaquesehautilizado enlaherramienta.   Entradas:SonlosdistintosPostquepueden publicarseenlaweb.   Medios:Opciónparasubircontenidomultimediaala web(Fotos,videos,música...).   Páginas:Apartadoparacrearymodificarlaspáginas delaweb.   Comentarios:Opciónparaadministrarlos comentariosquesehanpublicadoenlaspáginas.   Proyectos:Tepermitecrearyadministrardistintos proyectos.   Apariencia:Tepermitecambiarelestilodelapagina, modificandodesdelainterfazquetehabilitaWordpresso desdeelCSSdelaplantillaelegida.   Plugins:Módulosqueañadenfuncionalidadextraala webdeformaautomática,sintenerqueprogramar.   Usuarios:Permiteañadir/eliminarusuariosyeditar lospermisosyrolesqueposeen.   Divi:Pluginquesehaelegidoparadotardelestilo deseadoalaherramientawebydondepuedeseditarel mismo.  Figura34:Entradas.  52   Unadelascaracterísticasmásimportantesdeladministradorradicaenla capacidaddecrearcursos(Figura35):    Figura35:Crearcurso.   Unavezcreadoelcursodebesintroducirlasleccionesquedeseasquese impartaenéste(Figura36).     Figura36:Agregarleccionesalcurso.         53   Porúltimo,editamoslasopcionesdelcursoanuestrogusto(Figura37).    Figura37:Editaropcionesdelcurso.   Comohemosvistoenelapartadoanterior,loscursosnecesitantenerlecciones yacreadasparaqueloscursostengancontenidoquemostrar(Figura38).    Figura38:Añadirlección.   Acontinuación,sedebeeditarlalecciónensimisma(Figura39).    Figura39:Editarlección.   54   Elsiguientepuntoquehayquetratareslaelaboracióndeexámenes(Figura 40).     Figura40:Crearexamen.   Añadirlaspreguntaspertinentesquequieresqueaparezcan(Figura41).    Figura41:Añadirpreguntasalexamen.   Parafinalizar,sedebenrellenarloscamposcorrespondientesalaedicióndel examen(Figura42).   55   Elúltimoapartadoquevamosatratareseldecrearlaspreguntasdelos exámenes(Figura43).    Figura43:Crearpreguntas.   Laspreguntaspuedenserdetiposvariados,elquevamosamostrares VerdaderooFalso(Figura44).  Figura44:Tipopreguntas.   Ya,porúltimo,modificarlosajustesdelaspreguntas(Figura45).     Figura45:Ajustespreguntas.         56   Eladministrador,comohemoscomentadoanteriormentetienelacapacidadde asignarrolesalosdistintosusuariosyaestosrolesasignarlesunaseriede permisos(Figura46).  Figura46:Roles.    Paraañadir/eliminarpermisosdelosrolesdelosusuarioshayqueaccederal archivo“wp‐includes/capabilities.php”.Estassonlasfuncionesquevamosa usar:  o get_role():Obtienelospermisosqueposeeelperfil(Figura47).  Figura47:get_role.  o add_cap():Añadepermisosalperfil(Figura48).  Figura48:get_cap.  o remove_cap():Eliminalospermisosdelperfil(Figura49).  Figura49:remove_cap.    57  8 CONCLUSIONES  Esunhechoquelatecnologíaformapartedelavidadetodaslaspersonasenla sociedadactual,porloqueesimportantesaberdefenderseparaevitardañosfuturos. Conesteproyectolaprincipalfinalidadsebasóeneducaralaspersonasenla autodefensadigital,proporcionandounaplataformadondepuedanformarseyponera pruebatodoloaprendido. Dichaplataformasehallevadoacabograciasaldesarrollodeunaprimeraversiónde laherramientadeseguridad,queproporcionaalusuariounaestructuradeaprendizaje basadaensuconocimientoprevio,pudiendoformarledeformamásadecuada. Otrodelosobjetivosquesehanalcanzadohasidoelpoderelaborarunapartado dedicadoalosperfilesprofesionales,deperiodismoyempresarialmásconcretamente, parasatisfacertodaslasnecesidadestecnológicasdesumundolaboral. Tambiénsehalogrado,graciasalforoqueincluyelaherramientaylacapacidadde retroalimentaciónquetiene,crearunacomunidadenlaquelosusuariosparticipeny colaborenentreellos. Nosehapodidolograreljuntaraungrupoheterogéneodegenteparaquetestearan laherramientadesarrollada. Graciasaldesarrollodeesteproyectohelogradoaprenderycultivarmedentrodel mundodelaciberseguridadydetodoslosconocimientosadquiridosquierodestacar:  Desarrollodeunservidorseguro.  Lasnecesidadestecnológicasdevariossectoresdelasociedad.  Utilizacióndevariasherramientasdeauditoríasdeseguridad.  UsodelpluginLearnpress. Yaparaterminar,quierohacerunareseñadeltrabajofuturoquesepuedellevara caboapartirdeesteproyecto,mejorandolaherramientaenlossiguientesaspectos:  Añadirdistintasseccionesqueamplíenlafuncionalidaddelaherramienta, comopuedeserelapartadodetutoriales.  Ampliarlosperfilesprofesionales,deformaqueabarquenotrosámbitos,como puedeseredad,experiencia…         