Encriptado y CryptoLocker

Utilización del encriptado simétrico con DPAPI

Microsoft propone varios métodos de encriptado de datos. Una de las maneras más utilizadas, ya que es muy sencilla y confortables, es DPAPI (Data Protection Application Programming Interface). Los otros métodos de encriptado simétrico son simplemente la puesta en marcha de algoritmos de encriptado por .NET (System.Security.Cryptography).

En un caso normal de encriptado simétrico, es necesario tener una clave que servirá para encriptar y desencriptar. Esto significa que para encriptar una contraseña de una aplicación, hay que disponer de una clave de encriptado.

Para encriptar:

Contraseña > clave de encriptado 1 > contraseña encriptada

Para desencriptar, es el mismo principio:

Contraseña encriptada > clave de encriptado 1 > contraseña desencriptada

Esto induce la dificultad para almacenar una contraseña para un departamento, una tarea o una aplicación que desearía poder acceder a la contraseña de manera reversible. Se debe esconder esta clave de encriptado/desencriptado en claro en el código, en un archivo, en el registro o porque no cortarla en trozos y almacenar las partes en distintos lugares. Pero no es una solución adecuada ya que se asimila a dejar la llave debajo del felpudo.

Una manera más segura sería derivar la clave de encriptado desde variable particulares del equipo o del usuario, como crear un hash de la dirección MAC de la tarjeta de red, del SID del usuario y del número de serie del equipo, para utilizarla como clave simétrica. Esto permite no tener la clave desencriptada, pero poder reconstruirla dinámicamente. En este caso el algoritmo de construcción debe ser secreto, y si uno de los elementos cambiase, la clave no sería por lo tanto válida y no podría restaurarse.

Utilización del encriptado asimétrico con certificados

El encriptado asimétrico permite dar la clave de encriptado a todo el mundo conservando bien protegida la clave que permite el desencriptado. Es el principio de una infraestructura de clave pública que explicamos un poco más en detalle en la sección Contramedidas tratando de poner en marcha una autoridad de certificación.

Para simplificar, tenemos una clave única que abre los candados de una misma serie. Si desea recibir un paquete de manera segura, envía el candado al expedidor, que guardará sus elementos en una caja que cerrará con su candado. Será por lo tanto el único que pueda abrir el paquete, ya que es el único que dispone de la llave del candado. Dispone de la enorme ventaja de poder pedir a cualquiera que securice algo por usted, sin que pueda abrir otros paquetes destinados a usted. Este no es el caso al usar una clave simétrica.

EFS encripta un archivo usando una clave simétrica. La clave simétrica se protege después utilizando un certificado de usuario así como el certificado de un agente de certificación, si existe.

cipher.exe C:\temp\test.txt /e
 

cipher.exe C:\temp /e
 

FileInfo f = new FileInfo(@"c:\temp\test.txt"); 
f.Encrypt();
 

$fs = Get-ChildItem c:\temp -rec; 
 foreach($f in $fs) 
 {   
  ...

Cryptoware

Un cryptoware debe encriptar el conjunto de documentos y archivos sensibles, incluyendo los archivos en red y los presentes en medios extraíbles. Lo ideal es encriptar los archivos permitiendo al usuario acceder normalmente como lo hace EF. Esto permite infectar también las eventuales copias de seguridad. Sin embargo, esto deja la clave para desencriptar provisionalmente accesible al usuario.

certutil -f -user -p "pass" -importpfx c:\cert.pfx NoRoot
 

Ejemplo de encriptado con EFS, certificado y DPAPI

El siguiente código permite probar el encriptado y desencriptado usando EFS, certificados y DPAPI. La compilación puede realizarse usando Visual Studio o la línea de comandos.

Los prerrequisitos son los siguientes:

Cada etapa de este código encripta y desencripta uno o los dos archivos anteriores. Tome tiempo de controlar el contenido de los archivos en cada etapa. El código se puede descargar desde la página Información.

Creemos ahora la aplicación:

csc -r:System.Security.dll -out:c:\test.exe c:\cifrado.cs
 

El código:

using System;  
using System.IO;  
using System.Security.Cryptography;  
using System.Security.Cryptography.Pkcs;  
using System.Security.Cryptography.X509Certificates;  
using System.Text;  
  
namespace TestEncriptado  
{  
    class Program  
    {  
        static void Main(string[] args)  
        {  
            String Folder = @"c:\temp";  
            String pfxPass = "password";  
  
            Console.WriteLine("Antes de continuar, asegúrese   
que existe la carpeta "+Folder);  
            Console.WriteLine("y que contiene un archivo test1.txt y  
test2.txt");  
            Console.WriteLine("Un certificado cert.cer y un cert.pfx deben 
existir en la carpeta " + Folder);  
            Console.WriteLine("Cada etapa encripta y desencripta uno 
o el conjunto de estos archivos de la carpeta");  ...