El mito de la seguridad por diseño: ¿Es suficiente con aplicar principios básicos?

```html Criptografía para CISSP: Lo que sí preguntan (y sin ecuaciones) Vale, vamos a hablar de criptografía. Tranquilo, no vamos a meternos en movidas matemáticas raras. El CISSP quiere que entiendas los conceptos, no que seas un experto en criptografía. Lo importante es saber cómo funcionan las cosas a nivel general y qué implica para la seguridad. Cifrado Simétrico vs. Asimétrico Esto es clave. Cifrado simétrico: usas la misma llave para cifrar y descifrar. Piensa en una caja fuerte con una sola llave. Es rápido, eficiente... pero ¿cómo compartes la llave de forma segura? Ahí entra el cifrado asimétrico. Cifrado asimétrico: tienes una llave pública y otra privada. Cualquiera puede cifrar con la pública, pero solo tú puedes descifrar con la privada. Como una carta sellada: cualquiera puede meterla en un buzón, pero solo el destinatario tiene la llave para abrirla. Simétrico: AES, DES (ojo con este último, ya está obsoleto), Blowfish. Asimétrico: RSA, ECC (especialmente importante en móviles). Esto es típico de examen: te ponen un escenario y tienes que decir si necesitas simétrico o asimétrico. Funciones Hash No cifran, pero son importantes. Una función hash toma un dato y genera una huella digital de tamaño fijo. Es unidireccional: no puedes volver a obtener el dato original a partir de la huella. SHA-256, SHA-3: Las más comunes. MD5: ¡Ni lo uses! Ya está roto. Sirven para verificar que los datos no han sido tocados. Si el hash cambia, algo ha ido mal. Certificados Digitales y PKI Aquí se junta todo. Un certificado digital es como una credencial electrónica que te identifica. Está firmado por una Autoridad de Certificación (CA). PKI (Infraestructura de Clave Pública) es el sistema que gestiona todo: las CA, los certificados, la revocación... Esencial para HTTPS y otras cosas. Ataques Criptográficos Comunes Ojo con estos: Ataque de fuerza bruta: Probar todas las llaves posibles. La longitud de la llave es importante para evitarlo. Ataque de diccionario: Probar contraseñas comunes. Usa contraseñas largas y aleatorias, ¡siempre! Ataque de canal lateral: Explotar información que se filtra durante el cifrado (tiempo, consumo de energía...). Ataque Man-in-the-Middle (MitM): Interceptar y modificar la comunicación entre dos partes. HTTPS ayuda a prevenir esto. Modos de Operación ¿Sabes que AES no solo cifra bloques? Los modos de operación (CBC, CTR, GCM) definen cómo se aplica la llave a diferentes bloques. GCM es el más moderno y eficiente, ¡mira de aprenderlo bien! En resumen: no necesitas ser un genio de las matemáticas, pero sí entender los conceptos básicos y cómo se aplican. ¡Con esto ya estás bastante bien para el CISSP! ```

```html Cifrado, Hashes y PKI: Lo Esencial para el CISSP A ver, vamos a repasar esto. No te agobies, que es más intuitivo de lo que parece. Esencial para el examen, eh. Cifrado: Protegiendo la Información El cifrado es básicamente transformar datos en algo ilegible. Así, si alguien intercepta la información, no entiende nada. Cifrado simétrico: Una sola clave para encriptar y desencriptar. Rápido, pero ¿cómo compartes la clave de forma segura? Ahí está el problema. AES y DES son ejemplos comunes. Cifrado asimétrico: Par de claves: una pública (para encriptar, la das a todo el mundo) y otra privada (para desencriptar, esa es tuya). Más lento que el simétrico, pero soluciona el problema de la clave. RSA es el rey aquí. La clave está en: Entender las diferencias de velocidad y seguridad entre ambos. En la práctica, a menudo se usan juntos. Hashes: Verificando Integridad Los hashes son diferentes. No cifran, sino que crean una "huella digital" única de los datos. ¿Para qué sirve? Para verificar si un archivo ha sido modificado. Si el hash cambia, ¡algo está mal! Ojo con: Los hashes son unidireccionales. No puedes recuperar los datos originales a partir del hash. MD5 ya no se usa, es inseguro. SHA-256 y SHA-3 son tus amigos. Esto es típico de examen: Te preguntarán sobre colisiones (cuando dos archivos diferentes generan el mismo hash). Es raro, pero posible. PKI: La Confianza Digital La Infraestructura de Claves Públicas (PKI) es el sistema que hace posible la confianza en internet. Certificados digitales: Son como DNI para sitios web y personas. Verifican la identidad. Autoridades de Certificación (CA): Son las que emiten y firman los certificados. Tienes que confiar en ellas, claro. Cadena de confianza: Un certificado a menudo se basa en otro, formando una cadena hasta una CA raíz. Es importante entender cómo funciona esta cadena. Esto es típico de examen: Te preguntarán sobre revocación de certificados (cuando un certificado ya no es válido). OCSP y CRL son importantes. En resumen: PKI permite que uses HTTPS, firmes correos electrónicos y mucho más. Es la base de la seguridad en internet. Y con esto, ya tienes una buena base para el examen. ¡A darle! ```