Programa Grupos de Trabajo Junio 2000

Agenda

El grupo de trabajo de Seguridad IRIS-CERT se realizara el día 2 de Junio a las 9:30 horas, con el siguiente programa:

1. Resumen de Operación de IRIS-CERT
(transparencias y comentarios en formato )

Estadísticas, causas, tendencias
Modo de Operación ante incidentes de seguridad, problemas.
Repaso "top-ten" a los problemas de seguridad más importantes gestionados.
Reuniones y citas de seguridad

Este punto es sobre todo un resumen de la gestión de incidentes de seguridad desde el ultimo grupo de trabajo, un recordatorio sobre la información a enviar, etc.
Además se comentarán cuales fueron las vulnerabilidades más utilizadas en los ataques gestionados (cuando se ha podido comprobar, o hay indicios), que medidas se pueden tomar en algunos casos tanto a nivel de equipo como a nivel de Red para evitar estos ataques,etc.
También comentaremos, aunque muchos ya lo conoceréis una pequeña charla sobre como se produjeron los ataques de denegación de servicio distribuidos, etc. Las transparecencias de esta charla, en formato "Powerpoint" Microsoft están en un fichero aparte, ya se emplearon también para una charla en Marzo a unos alumnos de la UPM.
Estos dos puntos, al igual que el resto, nos gustaría que fueran sobre todo un debate entre los asistentes y ver de que forma se podría llegar a difundir mejor por parte de RedIRIS información sobre estos problemas.

Por ultimo os informaremos de los acuerdos y grupos de trabajo que a nivel internacional se han ido desarrollando.

2. PGP y Servidores de Claves (transparencias)

Estadísticas de uso, funcionamiento del servicio
Resumen reunión de servidores de claves
Firma de claves PGP (II)

Comentaremos algunas estadísticas sobre el servidor de claves y la reunión a la que asistimos hace poco sobre servidores de claves PGP y que creemos bastante interesante el realizar algunas ideas o desarrollos empleando PGP.
La firma de claves PGP, tras la realizada en Oviedo en las Jornadas técnicas se vuelve a realizar esta vez, aunque esta vez se va a realizar de la forma que en Ingles denominan "PGP Key signing Non Party". En esta formato de reunión de firmas PGP, lo que se suele hacer, es nombrar a una o varias personas que actúan como "introductores válidos" y que comprueban las claves PGP y la identidad de los usuarios, de forma que no hay que ir nombrando a cada uno de los asistentes.
Este enfoque presenta la ventaja de que elimina "tiempos muertos" y se simplifica la necesidad de "listar" todas las claves y repartirlas entre los asistentes, aunque por otro lado hay que confiar en las personas que realizan la verificación ;-).
Los asistentes que quieran presentar su clave PGP en la reunión tendrán que llevar un papel donde se especifiquen los datos de la clave (KeyID, Fingerprint, Identificadores, etc.), algún documento de identificación valido (DNI, pasaporte, etc..) e indicar donde esta la clave PGP, en caso de no estar en un servidor de claves, y si quieren que su clave sea firmada por todos los participantes o solo los "introductores validos", 8-(aunque esto es solo a título informático ya que no se puede evitar que alguien firme una clave PGP ).

Firma de claves PGP

Los pasos a seguir en esta reunión PGP serían:

1. Explicar el proceso ;-)
2. Ver quienes de entre asistentes están interesados en participar como introductores válidos.
3. Los asistentes que tengan claves PGP durante los descansos e interrupciones de los GT se acercan a los "introductores y se identifican.
4. Una vez acabada la reunión los "Introductores", se encargan de recoger las claves del servidor de claves, junto con las que algún participante presente y de hacer los anillos que después se dejan en unas páginas para que el resto de participantes las firme.

Nuevas actuaciones.
(transparencias y comentarios en formato )

Funcionamiento del sistema de auditorías.
Discusión pública en CERT-ES de las recomendaciones de seguridad.
Colaboración con Centros Universitarios para la realización de proyectos fin de carrera.
Proyecto de CA-PGP.
Encuesta sobre seguridad en los centros.
validación automática de correos a listas.
Mas ideas ?

Este apartado, junto con el siguiente es sobre todo una exposición de nuevos proyectos e ideas que desde RedIRIS consideramos interesantes, algunos como la puesta en marcha del procedimiento de auditoría básica de seguridad para las instituciones se ha comentado en otras ocasiones ya en otros grupos de trabajo, otros puntos, como la creación de una certificación basada en PGP", o el realizar una encuesta sobre seguridad en los centros afiliados son ideas nuevas que comentaremos.

Ruegos y Preguntas.

Tanto en este punto y el anterior, como en todo el grupo en general, esperamos vuestra activa participación para el desarrollo de la reunión, para que el grupo sea de interés.

Si tenéis alguna otra idea sobre algún tema que os gustaría exponer o tratar enviarnos un correo a cert@rediris.es, para ver si es posible incluirlo dentro de la agenda. Iremos poniendo en esta página las referencia a algunos de los puntos que se trataran en la reunión.