viernes, 16 de noviembre de 2012

PROCEDIMIENTOS PARA ASEGURAR UN SISTEMA OPERATIVO


5 PROCEDIMIENTOS DISTINTOS PARA ASEGURAR EL SISTEMA OPERATIVO.
1.-Servicios
Nivel de importancia (alto)
En servicios de Windows podemos habilitar o deshabilitar los servicios que no se utilicen para un mejor  rendimiento del equipo.
Cuantos  servicios están habilitados


En esta pantalla podemos ver cómo es que se hace el proceso de iniciar o detener un servicio  esto lograra mejor administración del sistema


2.-Permisos de Carpetas
Nivel de importancia ( alto)
 Permisos de carpetas las carpetas, es así como Windows nos da la alternativa de que tipo de  permiso tienen una carpeta al ser compartida,
1.-en esta primera pantalla se visualiza a que usuarios darles  permiso.
2.- En esta pantalla se visualiza los permisos de que se puede hacer con la carpeta ejemplo, solo lectura, escritura. 


  3.-Opciones de Internet
Nivel de importancia (crítico)
Windos tambien cuenta con la seguridad en caunto a las paginas que deben bloquear al entrar a internet
1.- esta pantalla nos muestra como es que se pueden bloquear desde  el equipo asi como que tipo de paginas estan permitidas
2.- Es esta pantalla se agrega la página que no  debe ejecutarse al abrir internet



4.-Conexiones Inalámbricas
Nivel de importancia ( alto)
En cuanto a la red Windows nos permite seleccionar la tecnología dar click en propiedades



 En esta pantalla se habilita o deshabilita la tecnología


 5.-Firewall
Nivel de importancia (crítico)
Es  esta pantalla se activa o desactiva el firewall



En esta pantalla solo seleccionamos activar o desactivar firewall


6.-Usuarios
Nivel de importancia ( alto)
En esta pantalla podemos crear cuentas de usuarios para darle los permisos a cada uno de los  usuarios



En esta pantalla activamos o desactivamos al usuario invitado y que permisos se otorgamos

miércoles, 14 de noviembre de 2012

IMPACTOS EN LA SEGURIDAD DE LAS REDES EN LAS ORGANIZACIONES



CAMBIAR EL CENTRO DE DATOS ACTUAL A TRAVÉS DE LA NUBE
Como bien se sabe la demanda de información hoy en día va creciendo más y más, a su vez el tamaño de la misma va aumentando paulatinamente.
Ahora bien la explotación de la información a través de data warehouse es  muy conveniente pero el hecho que ya no se debe tener en un solo lugar la información es aún  más sorprendente para las organizaciones ya que todavía se desconfía o no se tiene la idea de cómo mantener la información en varios servidores y no en uno solo.
La nueva tendencia llamado cómputo en la nube es una nueva tecnología que apenas se está desarrollando pero los especialistas en el tema aseguran que esta nueva tecnología facilitara el trabajo de todos ya que habrá disponibilidad en cualquier parte y con cualquier dispositivo conectado al Internet, dejando  atrás a los  Data Center




DOMINAR EL BIG DATA
En 2015 la información acumulada pasará a poco más de 7,900 exabytes; o sea, 7.9 veces su tamaño de 2010, representa un reto para los CIO, por los cambios que necesitan hacer en la estrategia organizacional, desde el almacenamiento y análisis de los datos (inteligencia de negocios), hasta la seguridad requerida para los diferentes tipos de información.
Hay especialistas que no solo ven el “Big Data” como el crecimiento en los datos, sino que también se refieren al aumento de la velocidad, complejidad y variedad de los tipos de información disponible, teniendo así también la obligación de crear nuevas tecnologías y arquitecturas que faciliten más este trabajo.

El Big Data es otro de las tendencias que acelerarán el negocio, ya que debido al gran crecimiento de la información en la red hace que los creadores de las nuevas TI se vean obligados a buscar una solución apropiada y en el menor tiempo posible para asegurar a los usuarios una fácil integración a estas tendencias y con la certeza que sus datos estarán seguros e íntegros en todo momento.

VIRTUALIZAR PARA PODER HABILITAR EL “CROWDSOURCING”

La virtualización, esta al igual que las anteriores a tenido una aceptación favorable aunque debido al gran crecimiento de dispositivos móviles como los smartphones y las tablets existen los riesgos de ser atacados con fines maliciosos lo que lleva a las organizaciones proveedoras de estas tecnologías a desarrollar aplicaciones que brinden la seguridad de la información que se maneja en los dispositivos móviles, como el caso de BB que reconoce cuando un usuario esta en modo personal o de negocio brindando así una conexión segura y privada.

AVANZAR HACIA LA ANALÍTICA DE PRÓXIMA GENERACIÓN

La próxima generación de computadoras se llama “smart computing” la cual tiene como objetivo el máximo aprovechamiento la capacidad del procesamiento de cómputo para optimizas además de la toma de decisiones los datos en inteligencia accionable, pudiendo así interpretar en tiempo real la información y obtener una toma de decisiones automatizada.

ABRIR LA PUERTA A LA ERA POST-PC
Es un hecho que la comunicación entre sistemas móviles es más utilizable.
Es una etapa que girará en torno a la movilidad y los actuales y futuros dispositivos móviles, que eliminará lo estático de los procesos y en la que las relaciones son menos formales, porque se dan en cualquier espacio. En la era post-PC se reducen las distancias y las interacciones se dan mediante la manipulación táctil de las pantallas.
Y siguiendo la línea de los principales proveedores de redes, las soluciones de comunicación ya no estarán centradas en los equipos de escritorio, como la PC, sino en las personas para que tengan la capacidad de colaborar en cualquier momento, lugar y dispositivo.

Conclusiones

Es un hecho que  en la actualidad vivamos ya en un mundo más digitalizado,  y que la información no esté en un solo lugar.
El computo en la nube es una tecnología que ayuda a la organizaciones  a ser más eficientes y más productivas.

Esta nueva tecnología es una de las tendencias con mayor importancia dentro de las TI ya que los servicios que ofrece ayudan mucho tanto a las organizaciones como a los usuarios que dependen de ella o  que solicitan su información.

sábado, 13 de octubre de 2012

Ley Federal de Protección de Datos Personales


Datos personales
Cualquier información concerniente a una persona física identificada o identificable.

Datos personales sensibles
Aquellos datos personales que afecten a la esfera más íntima de su  titular, o cuya utilización indebida pueda dar origen a discriminación o conlleve un riesgo grave  para éste. En particular, se consideran sensibles aquellos que puedan revelar aspectos como  origen racial o étnico, estado de salud presente y futuro, información genética, creencias  religiosas, filosóficas y morales, afiliación sindical, opiniones políticas, preferencia sexual. 

Derechos ARCO

Los denominados derechos ARCO son el conjunto de acciones a través de las cuales una persona física puede ejercer el control sobre sus datos personales. Estos derechos se regulan en el Título III de la Ley Orgánica de Protección de Datos (LOPD) y en el Título III de su Reglamento de Desarrollo, y son cuatro: Acceso, Rectificación, Cancelación y Oposición.

Se trata de derechos cuyo ejercicio es personalismo  es decir, que sólo pueden ser ejercidos por el titular de los datos, por su representante legal o por un representante acreditado, de forma que el responsable del fichero puede denegar estos derechos cuando la solicitud sea formulada por persona distinta del afectado y no se acredite que actúa en su representación.
El ejercicio de estos derechos se debe llevar a cabo mediante medios sencillos y gratuitos puestos a disposición por el responsable del fichero y que están sujetos a plazo, por lo que resulta necesario establecer procedimientos para su satisfacción. Si la persona reclamante cree que sus derechos no han sido atendido en forma y plazo según la LOPD y su reglamento, puede acudir a la tutela de la Agencia Española de Protección de Datos (AEPD).

Derecho de Acceso
El derecho de acceso es el derecho del afectado a obtener información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se esté realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos.
Justificación:  no es necesaria, salvo si se ha ejercitado el derecho en los últimos doce meses.
Plazos: El responsable del fichero resolverá sobre la solicitud de acceso en el plazo máximo de un mes a contar desde la recepción de la solicitud. El acceso podrá hacerse efectivo durante 10 días hábiles tras la comunicación de la resolución.
Denegación: debe motivarse e indicar que cabe invocar la tutela de la AEPD. Son motivos de denegación que el derecho ya se haya ejercitado en los doce meses anteriores a la solicitud (salvo que se acredite un interés legítimo al efecto) y que así lo prevea una Ley o una norma de derecho comunitario de aplicación directa o cuando éstas impidan al responsable del tratamiento revelar a los afectados el tratamiento de sus datos.

Derecho de Rectificación
Derecho del afectado a que se modifiquen los datos que resulten ser inexactos o incompletos.
Justificación: debe indicarse a qué datos se refiere y la corrección que haya de realizarse aportando documentación.
Plazo: 10 días hábiles.
Denegación: debe motivarse y procede indicar que cabe invocar la tutela de la AEPD.

Derecho de Cancelación
Derecho del afectado a que se supriman los datos que resulten ser inadecuados o excesivos.
Justificación: debe indicarse el dato a cancelar y la causa que lo justifica, aportando documentación.
Plazo: 10 días hábiles.
Denegación: debe motivarse y procede indicar que cabe invocar la tutela de la AEPD. La cancelación no procederá cuando los datos de carácter personal deban ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado que justificaron el tratamiento de los datos.

Derecho de Oposición
Derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los supuestos en que no sea necesario su consentimiento para el tratamiento, que se trate de ficheros de prospección comerciales o que tengan la finalidad de adoptar decisiones referidas al interesado y basadas únicamente en el tratamiento automatizado de sus datos.
Justificación: concurrencia de motivos fundados y legítimos relativos a su concreta situación personal.
Plazo : 10 días hábiles.
Denegación: debe motivarse e indicar que cabe invocar la tutela de la AEPD.

Aviso de Privacidad
Documento físico, electrónico o en cualquier otro formato generado por el responsable que es puesto a disposición del titular, previo al tratamiento de sus datos personales.

El responsable tendrá la obligación de informar a los titulares de los datos, la información que se recaba de ellos y con qué fines, a través del aviso de privacidad.

Aviso de privacidad
El Aviso de Privacidad es el primer paso para cumplir con las obligaciones exigidas por Ley.
El Aviso de Privacidad es un documento generado por la persona física (profesionista, médico, consultor, etc) o moral (empresa o negocio de carácter privado) responsable de la recopilación y tratamiento adecuado de datos personales y debe ser puesto a disposición del titular de los datos (Ej. Pedro Ramírez).

El Aviso de Privacidad puede ser:
  • Fisico : Ej. escrito en papel
  • Electronico: Ej. pagina o sitio web
  • Sonoro: Ej. Grabación telefónico

El Aviso de Privacidad debe ser sencillo, de fácil comprensión y debe incluir información clara y específica sobre los siguientes aspectos:
  • Quien recopila los datos
  • Que datos recopila (sensibles o no)
  • Con que finalidad los recopila
  • Como limitar su uso o divulgación
  • Como revocar su uso
  • Cual es el procedimiento que tiene el titulara para ejercer sus derechos de acceso, rectificación, corrección y oposición
  • La forma en que se comunican cambios al aviso de privacidad
  • Aceptación o negativa para autorizar la transferencia de tos a terceros
Quienes garantizan estos derechos

Todos debemos proteger los datos personales, es un esfuerzo conjunto: Tú exigiendo tus derechos, quienes posean datos personales, observando lo establecido por la Ley y el IFAI, garantizando ese derecho.

El IFAI es la autoridad garante en materia de protección de datos personales. La Ley le ha otorgado la facultad de difundir el conocimiento de este nuevo derecho entre la sociedad mexicana, de promover su ejercicio y vigilar su debida observancia por parte de los entes privados que posean datos personales.

El Instituto podrá llevar a cabo inspecciones a los sistemas de bases de datos de las empresas a fin de corroborar el debido cumplimiento de las disposiciones contenidas en la Ley.

Si no estás satisfecho con lo que la empresa te respondió al ejercer tu derecho de acceso, rectificación, cancelación u oposición, o bien, no obtuviste respuesta, puedes acudir al IFAI. Mediante un procedimiento sencillo y expedito, el Instituto atenderá tu solicitud.

Con el propósito de coadyuvar con el Instituto en la debida aplicación de la Ley, dependencias de la Administración Pública Federal colaborarán con el IFAI en la emisión de la regulación que corresponda. Entre ellas están las secretarías de Economía, Salud, Comunicaciones y Transportes, Hacienda y Crédito Público y Educación, las cuales deberán emitir normas específicas para la protección de los datos personales en los sectores económico, de salud, telecomunicaciones, financiero y educativo.

Son importantes

Para evitar que los datos sean utilizados para una finalidad distinta para la cual la proporcionaste, evitando con ello se afecten otros derechos y libertades, por ejemplo que se utilice de forma incorrecta cierta información de salud lo que podría ocasionar una discriminación laboral, entre otros supuestos.

Referencias

miércoles, 10 de octubre de 2012

ATAQUE A RSA


El ataque a la RSA se produjo a través de un 0 day en Flash

El pasado 18 de marzo RSA confesó que había sufrido un ataque dirigido en el que le robaron información relativa a su famoso producto SecurID. En estos momentos ya se sabe cómo accedieron a la información los atacantes y, de paso, que RSA tardó varios días en hacer público el incidente.

En una entrada oficial llamada "anatomía de un ataque" RSA explica cómo ocurrió un grave incidente de seguridad en su compañía. Si bien explica muy bien el ataque, se centra en buena medida en explicar que las APT (Advanced Persistent Threat, amenazas avanzadas y persistentes sobre una misma compañía) son muy complejas, que ocurren en las mejores familias y que ellos hicieron lo correcto. Parece que es así, pero lo interesante es centrarse en los errores para poder aprender de este tipo de situaciones.

Cómo empezó

Según la RSA, el atacante envío dos correos en un periodo de dos días, a dos pequeños grupos de empleados. RSA concreta que "no se consideraría a estos usuarios particularmente de perfil alto u objetivos valiosos". ¿Quiere decir con esto, que se encontraban menos protegidos que el resto? Dentro de una organización de este calibre, todos los usuarios con acceso a la red deberían ser considerados de alto riesgo y protegidos por igual. Se les envió un correo con el asunto "2011 Recruitment Plan" con un Excel del mismo nombre adjunto. Uno de los usuarios, incluso, rescató el email de la carpeta de correo basura. Según RSA, es porque el correo estaba muy bien construido. Una buena política de seguridad debería prohibir y entrenar expresamente a los usuarios para no abrir archivos no solicitados, sin excusas.

El Excel contenía en su interior un fallo no conocido hasta el momento en Flash, que permitía la ejecución de código. De hecho, Adobe anunció el 14 de marzo que sabía que una vulnerabilidad desconocida estaba siendo aprovechada para atacar sistemas. Si bien no hacía mención explícita a RSA, parece que la vulnerabilidad apareció a causa de este ataque. Adobe ya lo ha solucionado con un parche emitido fuera de su ciclo habitual.

De esto se deduce que, aunque RSA hubiera mantenido todo su software actualizado, el atacante hubiese igualmente conseguido ejecutar código. En estos casos, es en los que se echa de menos el uso de herramientas como DEP o ASLR o cualquier otro software que prevenga los desbordamientos de memoria. Es irrelevante el uso de Office, LibreOffice o Flash... si los atacantes han tenido acceso a un 0 day en Flash... podrían haberlo conseguido de cualquier otro programa.

Una vez dentro

Luego los atacantes instalaron una variante del conocido RAT (herramienta de administración remota) Poison Ivy y crearon una conexión inversa hacia un servidor propio del atacante. RSA afirma que "esto lo hace más difícil de detectar", pero no es del todo cierto. Lo que hace más difícil de detectar estas conexiones es el hecho de que suelen estar cifradas, ofuscadas y en puertos estándares que no levantan sospechas, no el hecho en sí de que sean "inversas". En realidad, esto está asumido como estándar. La opción contraria, establecer una conexión desde fuera a la máquina infectada está descartado desde un primer momento en la mayoría de los escenarios y es una opción que los atacantes serios ni siquiera contemplarían. En este punto hubiesen sido necesarios inspectores de tráfico e IDS, aunque es cierto que el nivel de éxito de esta medida podría ser menor si los atacantes realmente se lo proponen.

Según la RSA, el ataque fue detectado por su Computer Incident Response Team mientras se estaba produciendo. Insiste en que, en muchos otros casos, el ataque se desarrolla durante meses antes de ser detectado. Sin embargo, los atacantes tuvieron tiempo de hacerse una idea de la red interna y buscar usuarios con más privilegios que los infectados inicialmente. Llegaron a comprometer cuentas de administrador.

El atacante más tarde transfirió muchos ficheros RAR protegidos por contraseña desde el servidor de la RSA hacia un tercero externo y comprometido. Descargó la información, la borró de ese servidor... y se quedó con ella.

RSA sigue sin aclarar qué fue lo robado exactamente, aunque explica bien cómo funcionó el ATP y, extrayendo la información adecuada de su mensaje, podría servir como experiencia en la que apoyarse para prevenir incidentes futuros.

Más información


0 day en Adobe Flash, Reader y Acrobat
http://www.hispasec.com/unaaldia/4524

Anatomy of an Attack
http://blogs.rsa.com/rivner/anatomy-of-an-attack/

Comprometen la seguridad de RSA y roban información sobre el producto SecurID
http://www.hispasec.com/unaaldia/4528/

jueves, 13 de septiembre de 2012

La Máquina Enigma

Vamos ahora al año 1918 en el que el inventor alemán Arthur Scherbius y su íntimo amigo Richard Ritter fundaron la compañía Scherbius y Ritter, una innovadora empresa de ingeniería que englobaba todo, desde turbinas hasta almohadas eléctricas. Uno de los proyectos de Scherbius era sustituir los inadecuados sistemas de criptografía empleados en la Primera Guerra Mundial. En lugar de utilizar lápiz y papel había que sacar partido a la tecnología de la época, y con esa idea desarrolló la máquina Enigma. 


Arthur Scherbius



Chiffriermaschinen Aktien Gesellschaft


Fue una obra maestra de la ingeniería. Es casi imposible explicarla por completo, pero sí se puede tener una idea de su funcionamiento. Básicamente, tenemos un teclado para escribir el texto que queremos cifrar, una unidad modificadora y un tablero expositor para mostrar el resultado de la codificación. La parte más interesante es esa unidad modificadora. En la figura siguiente vemos una de las ruedas que la componían pero con un alfabeto de seis letras para simplificar el dibujo (en minúsculas, el texto sin cifrar; en mayúsculas, el texto cifrado): 



Para codificar el texto plano, el operador pulsa una letra y el el grueso disco de goma plagado de cables hace una función que la transforma antes de salir en el tablero. En este caso, el mensaje “café” sería codificado como “DBCE”. Si fuera sólo así, tendríamos una codificación de sustitución y ya sabemos cómo descifrarla. 

La idea de Scherbius era que cada vez que se codificara una letra, esa rueda girase un sexto de vuelta (un veintiseisavo de revolución para un alfabeto completo de 26 letras). Al dar ese sexto de vuelta, la codificación de la siguiente letra será diferente y no la que tenía al principio. En nuestro caso, la primera vez que codificáramos la b obtendríamos la A, pero justo después, el modificador gira y si volvemos a codificar la b obtendremos la C; y la siguiente vez obtendremos la E (observar los cables que las unen). 



Problema: a la que se hayan puesto 6 letras, el ciclo vuelve a empezar y volvemos a tener la posición inicial. Tenemos un cifrado de Vigenère con una clave de 6 letras (en el caso real de 26 letras): una clave demasiado pequeña. 

Para resolver este problema, Scherbius puso un segundo disco modificador de modo que, cuando el primer disco daba una vuelta completa, el segundo giraba una posición. Aquí os muestro dos posiciones con dos modificadores en que el segundo modificador está en la misma posición, pero la del primero ha cambiado: 



Ahora, en lugar de tener 6 posibles cambios de letra, tenemos 6*6=36 cambios. Recuerdo que el 6 era a modo simple y para simplificar; en realidad, hemos pasado a una clave de 26 a 26*26=676 posiciones. No contento con ello, Scherbius añadió un tercer modificador: cuando el segundo disco había dado una vuelta, el tercero avanzaba una posición. Así que tenemos 26*26*26=17.576 disposiciones diferentes de los modificadores, o sea, un cifrado de Vigenère con una clave de longitud 17.576. 

Y fijaos en la gracia de la máquina: no sólo tenemos un buen cifrado sino que, además, la clave va en función de la posición inicial de los tres rotores; si variamos la posición inicial de los rotores el cifrado es totalmente diferente. Aunque descubriéramos la posición inicial un día, podían cambiarla al día siguiente y volveríamos a estar en el mismo problema. 

Por fin, hay un añadido más que es el Reflector (ahora explico su utilidad) antes de llegar al tablero. 



Para codificar un mensaje, necesitábamos un operador con una máquina Enigma que lo introducía y cada vez que pulsaba una letra los discos se movían y daba el mensaje cifrado en el tablero. 

Posteriormente, el mensaje cifrado ilegible para el enemigo llegaba al destino donde tenían otra máquina Enigma esperando con los rotores puestos en la misma posición de partida que la máquina que lo generó. Acto seguido, se introducía el mensaje cifrado y, gracias al reflector, reproducía el mensaje original. ¿No os parece un invento fantástico? 

Lo potente de esta máquina es que, aunque el enemigo fuera capaz de tener una, no podía hacer nada sin conocer las posiciones iniciales de los modificadores. Si alguien interceptaba un mensaje y tenía una Enigma, tenía que ir probando alguna de las 17.576 posiciones iniciales de los modificadores y ver si salía algún mensaje inteligible; si no, probar una segunda y así sucesivamente. Si el descifrador pudiera probar una combinación por minuto y trabajar día y noche le llevaría dos semanas averiguar el mensaje. ¿Imposible de descifrar en un tiempo aceptable? 

Aun así, Scherbius no quedó satisfecho. Podría haber añadido más modificadores, ya que cada uno de ellos aumentaba la dificultad multiplicando por 26, pero esto hubiera agrandado el tamaño de la máquina. Así que añadió dos nuevos rasgos. El primero fue que los modificadores fueran intercambiables, es decir, que podía poner, por ejemplo, el tercer rotor en primer lugar, el segundo en tercer lugar, etc. Hay seis maneras de poner tres modificadores, de manera que el número de claves aumenta. El segundo rasgo fue la introducción de un clavijero que podía intercambiar letras en grupos de 6. 

Resumiendo: tenemos 26*26*26=17.576 posibles combinaciones de los tres modificadores y si añadimos las 6 formas de poder poner los modificadores y el clavijero con el que podemos intercambiar 6 pares de letras entre 26 posibles tenemos del orden de billones de claves posibles. 

Ya habréis notado que la parte que más contribuye al número de claves es el clavijero. ¿Por qué no poner simplemente un clavijero? Pues porque, por sí mismo, hace de sustitución monoalfabética y mediante un análisis de frecuencia sería cazado rápidamente; pero combinando dicho clavijero con los modificadores, los análisis de frecuencia no nos sirven. 

Scherbius obtuvo una patente en 1918. Los alemanes concluyeron que era la mejor solución para sus comunicaciones. A partir de 1925 y durante las dos décadas siguientes, el ejército alemán compró más de 30.000 máquinas Enigma, lo que les proporcionó el sistema de cifrado más seguro del mundo. Al estallar la Segunda Guerra Mundial sus comunicaciones estaban protegidas por un nivel de codificación sin precedentes. 



El talón de Aquiles era que acabaran descubriendo la clave, así que los alemanes optaron por cambiarla cada día. Los aliados, por tanto, tenían un día para averiguarla. Al empezar el día siguiente, vuelta a empezar de cero. Por supuesto, las claves de cada día tenían que ser conocidas tanto por emisor como por receptor. Para ello, tenían un libro de códigos que decía las diferentes posiciones iniciales de los modificadores así como los cambios de pares de letras del clavijero. 

Y por si todo ello no fuera suficiente, tomaron la precaución de transmitir una nueva clave para cada mensaje. O sea, aprovechando la clave del día se transmitían una nueva clave. Imaginemos, por ejemplo, que la clave del día de los modificadores era QCW. Pues utilizando esa posición se transmitían PGHPGH (lo hacían dos veces para asegurarse que se recibía correctamente la nueva clave) y el receptor recibía, por ejemplo KIVBJE (recuerdo que las letras cambiaban a cada pulsación). En ese momento, ambos cambiaban los modificadores a la nueva posición PGH y empezaba el mensaje cifrado real. 

Tal y como los franceses dieron la batalla del desciframiento por perdida, los polacos no. Su Biuro Szyfrów organizó un curso de criptografía e invitó a 20 matemáticos que sabían hablar alemán. Les tomaron juramento y escogieron a tres de ellos por sus aptitudes. El que más destacó fue un joven de 23 años llamado Marian Rejewski. Era tímido, con gafas pero trabajando totalmente solo, con una Enigma en sus manos y con la información que os he dado fue capaz de descifrar los mensajes de los alemanes. 

¿Que cómo hizo eso? 


Descifrando Enigma 

Mientras países como Francia, Inglaterra, Estados Unidos, etc. se resignaron asumiendo que Enigma era inviolable Polonia continuo investigando como descifrar los mensajes de Enigma ya que estaban seguros de que seria vital en la guerra que se avecinaba. Enseguida se dieron cuenta de que las maquinas Enigma que utilizaban los alemanes no eran versiones comerciales sino que tenían el cableado cambiado. El organismo polaco encargado de estos temas era el Biuro Szyfrow. 


Biuro Szyfrow


Gracias a un alemán Hans-Thilo Schmidt que participó en la I Guerra Mundial y más tarde fue expulsado debido a los recortes presupuestarios, los polacos pudieron conseguir los planos de la máquina enigma que utilizaban los militares alemanes. Hans-Thilo Schmidt le pidió trabajo a su hermano, que trabajaba en el organismo alemán encargado de las comunicaciones cifradas. Schmidt, que estaba resentido con el gobierno de su país, no tardó en vender información secreta a cambio de dinero a otros países. 

Se construyeron réplicas de las Enigmas alemanas y se empezaron a guardar el mayor número de mensajes alemanes posible. Marian Rejewski, que trabajaba en el Biuro Szyfrow, fue el encargado de estudiar el diseño de las Enigmas alemanas y intentar descifrar las comunicaciones a partir de los mensajes captados. 



Marian Rejewski


Marian Rejewski hizo un gran descubrimiento, sabía que cuando se enviaba un mensaje se pasaba primero la secuencia de los rotores con la configuración inicial (puestos a cero). Esta secuencia se pasaba por duplicado. Rejewski hizo un catálogo con todas las posibles configuraciones de los rotores (105.456), tardo un año. 

* Si en un día podían elaborar una tabla de correspondencias suficientemente grande, podrían identificar la secuencia de los rotores en el catálogo que Rejewski había hecho. 

Ejemplo: 


+ Mensaje 1: BJGTDN 
+ Mensaje 2: LIFBAB 

+ Mensaje 3: ETULZR 
+ Mensaje 4: TFREII 
+ Deducimos que(con la configuración inicial del rotor, rotores puestos a cero): 



# B->(+ 3 movs. rotor)->T 

# L->(+ 3 movs. rotor)->B 

# E->(+ 3 movs. rotor)->L 
# T->(+ 3 movs. rotor)->E 





Más tarde Rejewski se dio cuenta que los alemanes añadían pequeñas modificaciones y esto conllevaba a hacer catálogos nuevos. Esto significaba que mientras se hacía un catálogo nuevo (se tardó un año en hacer uno) no se podía descifrar ningún mensaje. 

Rejewski mecanizó la forma de encontrar la secuencia de rotores. Básicamente como sabía que había 6 maneras distintas de colocar los rotores en los huecos, puso a trabajar a 6 adaptaciones de la máquina enigma en paralelo. Este nuevo invento detectaba la secuencia de los rotores en unas 2 horas. Unos dicen que a este ingenio se le conoció con el nombre de bomba por el ruido que hacía la máquina cuando estaba trabajando tic-tac y otros a que a Rejewski se le ocurrió mientras comía una bomba, un helado típico con forma de esfera. 

A principios del 1.939 los alemanes introdujeron nuevas modificaciones a la máquina de forma que echaron abajo la capacidad polaca de descifrar mensajes. Introdujeron más clavijas par intercambiar letras y pusieron más rotores, todo esto elevaba las posibles combinaciones muchísimo. 

El jefe del Biuro Szyfrow decidió que todo el trabajo que se había hecho no debía perderse, llamó a los servicios secretos de Francia y Inglaterra, una semana antes de que empezara la guerra, para mostrarles los descubrimientos que había hecho y enseñarles la "bomba" (la máquina que diseñó Rejewski). Ingleses y franceses se quedaron sorprendidos pues habían asumido la inviolabilidad de Enigma. 


Bomba de Turing


Los ingleses continuaron con el trabajo de los polacos en Bletchley Park y conseguian descifrar los mensajes alemanes. 


Bletchley Park


El gobierno ingles llamó a un prestigioso matemático, Alan Turing, y le "invitó amablemente" a ir a Bletchley Park en vez de ponerlo a trabajar descifrando a diario fue puesto a "pensar". Los ingleses sabían que cuando los alemanes se dieran cuenta dejarían de mandar dos veces la secuencia de los rotores y entonces ellos no podrían descifrar el código. 

Turing consiguió idear una forma de descifrar el código sin utilizar la repetición de la secuencia de rotores que se enviaba al principio del mensaje. Descifraba el código sabiendo que tipo de mensajes enviaban, por ejemplo por la mañana a las 6 se mandaba un parte meteorológico en el que iria la palabra "wetter" (tiempo en alemán) entonces la máquina buscaba posibles combinaciones para descifrar el mensaje. A esta máquina la llamaron "bomba" en honor a la primera máquina polaca. 

La primera máquina de Turing podía llegar a tardar una semana en descifrar el código, entonces ideó otra más eficiente. En poco tiempo había más de 15 "bombas" descifrando mensajes alemanes. Más tarde llego "Colosus", Sir Thomas Flowers fue el creador de esta máquina, utilizando tecnología que había desarrollado mientras fue empleado de la British Telephone Establishment. 


Sir Thomas Flowers



Máquina Colossus


El diseño de Colosus comenzó en Marzo de 1.943 y en Diciembre del mismo año la máquina estaba terminada y programada. Al finalizar la guerra el gobierno clasificó la Colosus bajo la Ley de Secretos Oficiales de Inglaterra, su existencia no fue conocida hasta finales de la década de 1.970 por lo que se conoce a ENIAC como la primera máquina electrónica programable.