La Seguridad, es una de las principales características de nuestros Sistemas WEB, garantizando el acceso solamente a usuarios autorizados, que hacen uso de terminales (PCs) habilitadas, mediante el uso de firmas digitales.
CAPAS
Goliath provee una estructura de seguridad que cuenta con 10 capas, como se muestra en el siguiente gráfico
1. Firewalling
Goliath implementa de dos a tres filtros de Firewall, dependiendo del servidor WEB que se utilice, en el caso de IIS solo permite dos niveles de filtrado, en el caso de Apache, permite tres niveles de
filtrado. Los niveles de filtrado por Firewalling permiten realizar las siguientes operaciones:
Filtrar los IPs específicos de las terminales que son aceptadas.
Definir Rangos de IPs para redes internas los cuales no requieren de filtrado.
Denegar acceso a todos los IPs excepto a los registrados.
Restringir el acceso solo a determinados puertos (80/HTTP, 443/HTTPS, 25/SMTP, 110/POP3, 53/DNS), todos los demás paquetes serán eliminados (ECHO, PING, DHCP, etc.).
Bloqueo a todos los ataques externos (Flood, Cascade, Genocide, NukeGenocide, WinNuke, etc.).
Los niveles de Filtrado se realizan:
A nivel del Sistema Operativo,
A nivel del Protocolo de Red, y
A nivel del Servidor WEB.
2. Eliminacion de Caches en Proxies y Routers
Como es sabido, todos los ISPs proveen a sus usuarios locales un servicio de Proxy en cascada para acelerar las conexiones de Red, por consiguiente, la mayoría del tráfico que se realiza en Internet
queda almacenado en forma de un Cache o de un Historial ya sea en los Proxies o en los Routers. Es posible para algunos hackers el interceptar o acceder a dichos caches y por lo tanto, era vital para
la seguridad el impedir que cualquier parte del tráfico de información entre las terminales y el Servidor pudiesen ser interceptados de esta forma, por consiguiente, y siguiendo los
estándares proveídos por las especificaciones del protocolo HTTP y de las especificaciones de los Servicios de Proxy, se ha implementado el servicio de eliminación de caches en Proxies para
Goliath, haciendo este tipo de ataques absolutamente imposible. La eliminación de los caches no solo se hace a nivel del Header de HTTP, sino que se hace también utilizando un intrincado movimiento de
Expiracion y Revalidacion del contenido del Servidor, lo cual obliga a los Proxies a eliminar cualquier copia de la información traspasada a las terminales o hacia el servidor.
3. SSL (Secure Sockets Layer)
Todas las aplicaciones desarrolladas bajo Goliath corren bajo el protocolo y especificaciones del SSL, encriptando toda transmisión del o hacia el servidor con un par de llaves una publica y una privada, con
algoritmos de encriptación de 128 bits. Goliath permite la encriptación incluso hasta 4096 bits, sin embargo, tanto Internet Explorer como otros navegadores solo pueden brindar encriptación
hasta los 128 bits.
4. Separación Física de Redes
Tanto la Red Interna como la Red Externa no solo deben estar separadas lógicamente por un Firewall o por rangos de IPs, sino que se realiza una separación física de ambas redes mediante el uso de
dos tarjetas de red en el Servidor, ninguna de las cuales deberá estar conectada al mismo Hub o Switch, generalmente, se utiliza una conexión directa del Modem a la tarjeta de Red Externa y
por el otro lado la tarjeta de red interna se conecta al Hub de su LAN, por consiguiente, el Servidor o Firewall sirve de puente y de Gatekeeper (Guardián de acceso), impidiendo el acceso a su Red
Interna.
5. Firmas Digitales
Cada terminal requiere de una Firma Digital, desarrollada con algoritmos de encriptación propietarios de 4096 bits. Si una terminal que intenta acceder al sistema no tiene dicha firma
digital, simplemente no se le permite el acceso.
6. SSI (Server Side Includes)
Al contrario de las aplicaciones desarrolladas en PHP o ASP, que requieren que las páginas o scripts se encuentren en el directorio publicado en WEB, Goliath se ubica fuera de dicho directorio, de
hecho, aún si alguna persona lograse obtener un UserID o Password para la administracion del Servidor, tal como se ofrece en cualquier servidor WEB que brinda servicios de Hosting, dicha persona no podrá
encontrar ni una sola pieza de la aplicación y mucho menos, acceso a la base de datos.
7. Autenticación de Usuarios
Cada aplicación desarrollada con Goliath permite la implementación automática de niveles y perfiles de usuario distintos, por ejemplo, un cajero verá un menú de opciones distinto
al de un almacenero, y a su vez, existen diversos niveles de acceso a nivel administrativo, por ejemplo, un contador no podrá ver tanta información como un Administrador o Gerente, y a su vez, solo el
nivel de acceso DBA (Data Base Administrator) brinda un nivel de acceso completo a la aplicación y a la configuración de dicha aplicación. Por supuesto cada usuario para acceder al sistema deberá
tener no solo una clave, sino también un nombre de usuario único, solo la combinación de ambos permite el acceso a nuestras aplicaciones.
Las claves y nombres de usuario son guardados de manera segura, por ejemplo, ni aún el DBA puede visualizar las claves de los usuarios ya que estas se almacenan en forma de sumas de verificación
MD5, por consiguiente, incluso para los desarolladores resulta imposible el ingreso al sistema utilizando un nombre de usuario y una clave que no sean las que previamente se les asignó, y aún así,
toda operacion que realicen será almacenada en tres Historiales de Auditoria y Administración.
8. Permisos de Sistema (100% POSIX compliance)
Un usuario externo de la aplicación corre bajo un nombre de usuario y clave específicos los cuales le brindan determinados permisos dentro del sistema operativo y que son revisados por el
propio sistema operativo, por consiguiente, le es imposible tanto la eliminación de archivos como la modificación de archivos, e incluso, la visualización de archivos que no le pertenecen.
9. Verificacion de UserID y Password para la Conexion a la Base de Datos
La mayoría de las bases de datos (excluimos en parte a MsAccess debido a que su implementación de esta funcionalidad puede ser sobrepasada), implementan a su vez, un esquema de permisos de
usuario en base a un UserID (Nombre de Usuario) y Password (Clave), cada usuario tiene a su vez permisos específicos dentro de la base de datos, por ejemplo, solo conexión, solo consulta, solo
añadir, solo modificar, solo borrar, etc.. Por consiguiente, cada usuario solo puede realizar las operaciones que le fueron permitidas.
10. Verificacion del IP del Servidor de Aplicaciones hacia la Base de Datos
Goliath permite configurar su base de datos para que solo las aplicaciones que trabajan desde un servidor específico tengan acceso a conexiones hacia la base de datos, por ejemplo, solo se permite
registro de nuevas transacciones desde el Servidor A y no así desde el Servidor B, y solo se permiten consulta de determinados datos desde el Servidor B y no así desde el Servidor A.
Para tal efecto Goliath brinda un servicio de PlugIn que sirve de puente y filtro completamente personalizable en el Servidor de Bases de Datos.
SEGURIDAD ADICIONAL
Historial de la Aplicación
Cada acción de cada usuario en las aplicaciones queda almacenado en un historial administrativo de la Aplicación, por consiguiente, es posible revisar dicho historial para detectar cualquier tipo de
actos de mala fe realizados por sus propios operarios, cada transacción es almacenada con el nombre de usuario que la realizó, fecha de creación del registro y fecha de modificación del registro.
Analizando estos historiales, se determina tiempo de proceso de cada transacción, por ejemplo, se puede obtener un promedio del tiempo que tarda un cajero en registrar un depósito, un retiro, o una venta.
A su vez la propia base de datos almacena un historial de las transacciones realizadas, el cual puede ser revisado. Adicionalmente, especialmente en el caso del Servidor WEB Apache, se almacena un historial de todas las operaciones realizadas por cada uno de los usuarios, por ejemplo, que páginas o información intentó consultar, en que opción hizo click, etc.
