MÉTODO Y SISTEMA PARA REALIZAR ALMACENAMIENTO SEGURO DE DATOS DE INFORMACIÓN.

Método y sistema para realizar almacenamiento seguro de datos de información.

En el método de la invención, dicha información se intercambia entre un dispositivo de usuario y un proveedor de almacenamiento de datos de terceras partes en forma de flujos de datos y dichos flujos de datos se interceptan por un interceptador de cifrado.

Está caracterizado porque comprende cifrar flujos de datos ascendentes y descifrar flujos de datos descendentes en un módulo de proveedor de seguridad con una clave de cifrado de sesión recuperada de dicho dispositivo de usuario, habiéndose identificado previamente dicho dispositivo de usuario por dicho módulo de proveedor de seguridad analizando al menos parte de dichos flujos de datos ascendentes, proporcionándose dichos flujos de datos ascendentes y descendentes a dicho módulo de proveedor de seguridad por dicho interceptador de cifrado y generándose dicha clave de cifrado de sesión en dicho dispositivo de usuario por medio de un módulo de identidad de abonado, o SIM, de dicho dispositivo de usuario.

El sistema está dispuesto para implementar el método de la invención.

Método y sistema para realizar almacenamiento seguro de datos de información.

Campo de la técnica La presente invención se refiere, en general, en un primer aspecto, a realizar almacenamiento seguro de datos de información, intercambiándose dicha información entre un dispositivo de usuario y un proveedor de almacenamiento de datos de terceras partes en forma de flujos de datos, interceptándose dichos flujos de datos por un interceptador de cifrado que permite la interceptación de comunicaciones cifradas y reside en un nodo de acceso de una red, y más particularmente a un método que comprende cifrar flujos de datos ascendentes y descifrar flujos de datos descendentes en un módulo de proveedor de seguridad con una clave de cifrado de sesión recuperada de dicho dispositivo de usuario, habiéndose identificado previamente dicho dispositivo de usuario por dicho módulo de proveedor de seguridad analizando al menos parte de dichos flujos de datos ascendentes, proporcionándose dichos flujos de datos ascendentes y descendentes a dicho módulo de proveedor de seguridad por dicho interceptador de cifrado y generándose dicha clave de cifrado de sesión en dicho dispositivo de usuario por medio de un módulo de identidad de abonado, o SIM, de dicho dispositivo de usuario.

Un segundo aspecto de la invención se refiere a un sistema dispuesto para implementar el método del primer aspecto.

Estado de la técnica anterior

El auge de los servicios de Internet implica un aumento de la información privada y confidencial depositada por individuos y empresas en los proveedores de servicios. Los servicios web 2.0 se basan en que los usuarios proporcionan el contenido de los servicios, y gran parte de ese contenido es multimedia (imagen, sonido y/o vídeo) que es privado y los usuarios desearían tener un control sobre quién puede ver su contenido.

Existe un tipo especial de servicios en los que el contenido no debe estar disponible para cualquiera en Internet en cualquier caso, sino sólo para el usuario que carga el contenido en primer lugar, o el usuario y un grupoestrictamente controlado de usuarios. Éste es el caso de los servicios de planificación de personal, servicios de libreta de notas, y servicios de almacenamiento de archivos, tales como el que proporciona Google, Evernote, y Dropbox por nombrar unos pocos proveedores de servicios actuales.

Estos servidores presentan dos problemas de seguridad en cuanto a privacidad/datos:

- Los datos deben protegerse en tránsito frente a ataques de tipo snooping.

- Los datos deben protegerse en almacenamiento.

El primer problema se afronta habitualmente usando algún tipo de esquema de cifrado en tránsito, tal como SSL/TLS, tal como se mostrará en la figura 1. Pero el segundo problema o bien los proveedores no lo afrontan en absoluto, o bien dan una solución que cifra los datos en almacenamiento pero sigue dejando el control del sistema de almacenamiento y las claves de cifrado en las mismas manos, haciendo así que el cifrado sea casi irrelevante.

Obsérvese que esto hace que la decisión de usar el servicio sea difícil cuando los datos son de naturaleza muy privada o confidencial. En la práctica, dejar el control de las claves de cifrado y del sistema de almacenamiento en las mismas manos significa confiar completamente al proveedor de servicios de terceras partes con los datos personales o confidenciales.

Para paliar este problema, existen algunas soluciones, diseñadas para algunos servicios particulares, que cifran los datos antes de que salgan del dispositivo de usuario final, tal como se muestra en la figura 2.

Una de tales soluciones para Dropbox es usar EncFS (Encr y pted Filesystem) en el ordenador local para mantener dos vistas separadas de los mismos archivos:

- Una encriptada, que se cargará al servicio

- Una en texto sin cifrar, que se usará para trabar localmente con el mismo.

Adicionalmente, existe un producto de Navajo Systems denominado “Virtual Private SaaS” que usa un enfoque diferente: en lugar de cifrar los datos localmente, se cifran mediante un proxy de nivel 7 OSI (capa de aplicación) que se ejecuta en la red, tal como se mostrará en la figura 3.

La solución de Navajo Systems mantiene la misma clave para todos los usuarios del sistema en el proxy, y realiza una transformación de cifrado sobre los datos que permite que funcionen algunas operaciones (tal como búsqueda) localmente en el servidor de terceras partes.

Problemas con las soluciones existentes

- Las soluciones de cifrado local, tales como EncFS funcionan bien con archivos, pero requieren la instalación del mismo software y claves en todos los dispositivos con los que trabaje el usuario. Mientras que esto podría ser factible cuanto todos los sistemas son ordenadores personales, para la mayoría de teléfonos inteligentes el software no está disponible, y aún peor, la mayoría de ellos no permiten la instalación del tipo de software (controladores de sistema) requeridos para que funcione esta solución.

- La solución de Navajo Systems es un proxy de aplicación de nivel 7 y como tal requiere configuración de usuario. Además, presenta dos problemas adicionales:

1. El control de claves sigue estando centralizado. Hay un nodo central que tiene la clave de cifrado para todos los usuarios. Aún peor, la clave de cifrado es la misma para todos los usuarios.

2. Está confeccionado para funcionar en conjuntos de datos de tipo texto, y ejecuta un cifrado palabra por palabra de los textos. Esto hace que no sea adecuado para el cifrado de archivos, y al mismo tiempo disminuye la seguridad real de la solución.

Descripción de la invención Es necesario ofrecer una alternativa al estado de la técnica que cubra las lagunas encontradas en la misma, particularmente en relación con la falta de propuestas que realmente permitan el cifrado y descifrado transparente de datos personales y confidenciales enviados a los proveedores de almacenamiento de terceras partes.

Para ello, la presente invención proporciona en un primer aspecto un método para realizar almacenamiento seguro de datos de información, intercambiándose dicha información entre un dispositivo de usuario y un proveedor de almacenamiento de datos de terceras partes en forma de flujos de datos e interceptándose dichos flujos de datos por un interceptador de cifrado que permite la interceptación de comunicaciones cifradas y reside en un nodo de acceso de una red.

A diferencia de las propuestas conocidas, el método de la invención, de una manera característica comprende cifrar flujos de datos ascendentes y descifrar flujos de datos descendentes en un módulo de proveedor de seguridad con una clave de cifrado de sesión recuperada de dicho dispositivo de usuario, habiéndose identificado previamente dicho dispositivo de usuario por dicho módulo de proveedor de seguridad analizando al menos parte de dichos flujos de datos ascendentes, proporcionándose dichos flujos de datos ascendentes y descendentes a dicho módulo de proveedor de seguridad por dicho interceptador de cifrado y generándose dicha clave de cifrado de sesión en dicho dispositivo de usuario por medio de un módulo de identidad de abonado, o SIM, de dicho dispositivo de usuario.

Otras realizaciones del método del primer aspecto de la invención se describen según las reivindicaciones 2 a 14 adjuntas y en una sección posterior relativa a la descripción detallada de varias realizaciones.

Un segundo aspecto de la presente invención se refiere a un sistema para realizar almacenamiento seguro de datos de información, intercambiándose dicha información entre un dispositivo de usuario y un proveedor de almacenamiento de datos de terceras partes en forma de flujos de datos e interceptándose dichos flujos de datos por un interceptador de encriptado que permite la interceptación de comunicaciones encriptadas y reside en un nodo de acceso de una red.

En el sistema del segundo aspecto de la invención, a diferencia de los sistemas conocidos mencionados en la sección del estado de la técnica anterior, y de una manera característica comprende una entidad de proveedor de seguridad de almacenamiento de datos que cifra flujos de datos ascendentes y descifra flujos de datos descendentes con una clave de cifrado de sesión recuperada de dicho dispositivo de usuario, generándose dicha clave de cifrado de sesión en dicho dispositivo de usuario por medio de un módulo de identidad de abonado, o SIM, de dicho dispositivo de usuario y estando dicho proveedor de seguridad de almacenamiento de datos conectado a dicho interceptador de cifrado que proporciona dichos flujos de datos ascendentes y descendentes a dicho proveedor de...

1. Método para realizar almacenamiento seguro de datos de información, intercambiándose dicha información entre un dispositivo de usuario y un proveedor de almacenamiento de datos de terceras partes en forma de flujos de datos, interceptándose dichos flujos de datos por un interceptador de cifrado que permite la interceptación de comunicaciones cifradas y reside en un nodo de acceso de una red, caracterizado porque comprende cifrar flujos de datos ascendentes y descifrar flujos de datos descendentes en un módulo de proveedor de seguridad con una clave de cifrado de sesión recuperada de dicho dispositivo de usuario, habiéndose identificado previamente dicho dispositivo de usuario por dicho módulo de proveedor de seguridad analizando al menos parte de dichos flujos de datos ascendentes, proporcionándose dichos flujos de datos ascendentes y descendentes a dicho módulo de proveedor de seguridad por dicho interceptador de cifrado y generándose dicha clave de cifrado de sesión en dicho dispositivo de usuario por medio de un módulo de identidad de abonado, o SIM, de dicho dispositivo de usuario.

2. Método según la reivindicación 1, que comprende instalar en dicho dispositivo de usuario una aplicación de SIM ToolKit usada para realizar operaciones de envoltura y desenvoltura de claves, generando dicha aplicación de SIM ToolKit una clave de cifrado principal la primera vez que se usa dicha aplicación de SIM ToolKit y quedando dicha clave de cifrado principal almacenada en dicha SIM de dicho dispositivo de usuario.

3. Método según la reivindicación 2, que comprende:

- enviar, dicho interceptador de cifrado, flujos de datos ascendentes a dicho módulo de proveedor de seguridad, comprendiendo dichos flujos de datos ascendentes flujos de datos enviados desde dicho dispositivo de usuario a dicho proveedor de almacenamiento de terceras partes;

- analizar, dicho módulo de proveedor de seguridad, dichos flujos de datos ascendentes recibidos desde dicho interceptador de cifrado;

- cifrar, dicho módulo de proveedor de seguridad, dichos flujos de datos ascendentes con dicha clave de cifrado de sesión si dichos flujos de datos ascendentes contienen cualquier componente de datos;

- enviar, dicho módulo de proveedor de seguridad, flujos de datos ascendentes cifrados o dichos flujos de datos ascendentes a dicho interceptador de cifrado; y

- reenviar, dicho interceptador de cifrado, dichos flujos de datos ascendentes cifrados o dichos flujos de datos ascendentes a dicho proveedor de almacenamiento de terceras partes.

4. Método según la reivindicación 3, que comprende además realizar, dicho módulo de proveedor seguro, las siguientes etapas cuando se realiza dicho cifrado de dichos flujos de datos ascendentes si dichos flujos de datos ascendentes contienen cualquier componente de datos:

- extraer parte de los datos de dichos flujos de datos ascendentes;

- dividir dicha parte de los datos en bloques;

- cifrar cada bloque usando un algoritmo de cifrado simétrico con dicha clave de cifrado de sesión;

- concatenar un identificador de sesión con el primer bloque cifrado; y

- reescribir dichos flujos de datos ascendentes formando dichos flujos de datos ascendentes cifrados.

5. Método según la reivindicaciones 2, 3 ó 4, que comprende:

- enviar, dicho interceptador de cifrado, flujos de datos descendentes a dicho módulo de proveedor de seguridad, comprendiendo dichos flujos de datos descendentes flujos de datos enviados desde dicho proveedor de almacenamiento de terceras partes a dicho dispositivo de usuario;

- analizar, dicho módulo de proveedor de seguridad, dichos flujos de datos descendentes recibidos desde interceptador de cifrado;

- descifrar, dicho módulo de proveedor de seguridad, dichos flujos de datos descendentes con dicha clave de cifrado de sesión si dichos flujos de datos descendentes contienen cualquier componente de datos;

- enviar, dicho módulo de proveedor de seguridad, flujos de datos descendentes descifrados o dichos flujos de datos descendentes a dicho interceptador de cifrado; y

- reenviar, dicho interceptador de cifrado, dichos flujos de datos descendentes descifrados o dichos flujos de datos descendentes a dicho dispositivo de usuario.

6. Método según la reivindicación 5, que comprende además realizar, dicho módulo de proveedor seguro, las siguientes etapas cuando se realiza dicho descifrado de dichos flujos de datos descendentes si dichos flujos de datos descendentes contienen cualquier componente de datos:

- extraer una parte de los datos de dichos flujos de datos descendentes;

- comprobar si dicha parte de los datos contiene un identificador de sesión;

- realizar las siguientes etapas si dicha parte contiene dicho identificador de sesión:

- recuperar una clave de sesión para dicho identificador de sesión si no está ya disponible;

- dividir dicha parte de los datos en bloques;

- descifrar cada bloque usando un algoritmo de cifrado simétrico con dicha clave de cifrado de sesión; y

- reescribir dichos flujos de datos descendentes formando dichos flujos de datos descendentes descifrados.

7. Método según las reivindicaciones 5 ó 6 cuando dependen de las reivindicaciones 3 ó 4, que comprende realizar, dicho módulo de proveedor de seguridad, las siguientes etapas antes de cifrar dichos flujos de datos ascendentes o descifrar dichos flujos de datos descendentes si dicha clave de cifrado de sesión no se ha establecido ya:

- realizar un identificación de dicho dispositivo de usuario por medio de al menos una dirección IP de origen extraída de dicho análisis de dichos flujos de datos ascendentes; y

- recuperar de dicho dispositivo de usuario dicha clave de cifrado de sesión.

8. Método según cualquiera de las reivindicaciones anteriores 3 a 7, que comprende descifrar, dicho interceptador de cifrado, dichos flujos de datos ascendentes interceptados desde dicho dispositivo de usuario antes de enviar dichos flujos de datos ascendentes a dicho módulo de proveedor de seguridad y cifrar dichos flujos de datos ascendentes cifrados o dichos flujos de datos ascendentes después de recibirlos desde dicho módulo de proveedor de seguridad si se usa cifrado en tránsito.

9. Método según la reivindicación 8, que comprende dejar, dicho interceptador de cifrado, de cifrar y descifrar flujos de datos ascendentes y enviar flujos de datos ascendentes y/o descendentes a dicho módulo de proveedor de seguridad mediante la indicación de dicho módulo de proveedor de seguridad.

10. Método según la reivindicación 7, que comprende devolver, una entidad externa, una identificación de usuario única asociada a una consulta recibida, conteniendo dicha consulta recibida dirección IP de origen y puerto de origen y enviándose por dicho módulo de proveedor de seguridad cuando se realiza dicha identificación de dicho dispositivo de usuario.

11. Método según la reivindicación 10, que comprende asociar, dicho módulo de proveedor de seguridad, dicha identificación de usuario única con un dispositivo de usuario según una base de datos interna.

12. Método según las reivindicaciones 4 ó 6, que comprende generar, un submódulo de dicho módulo de proveedor de seguridad, dicho identificador de sesión, siendo dicho identificador de sesión un número aleatorio o un número secuencial y enviar dicho identificador de sesión a dicho dispositivo de usuario con el fin de realizar dichas operaciones de envoltura y desenvoltura de claves.

13. Método según la reivindicación 12, que comprende generar, dicho dispositivo de usuario, dicha clave de cifrado de sesión si dicho módulo de proveedor de seguridad solicita dicha clave de cifrado de sesión según la siguiente fórmula:

SK = E (MK, SI)

donde E es un cifrado simétrico o una transformación en un solo sentido;

MK es dicha clave de cifrado principal;

SI es dicho identificador de sesión; y

SK es dicha clave de cifrado de sesión.

14. Método según la reivindicación 13, que comprende enviar, dicho dispositivo de usuario, dicha clave de sesión a dicho módulo de proveedor de seguridad y dicho identificador de sesión si se solicita.

15. Sistema para realizar almacenamiento seguro de datos de información, intercambiándose dicha información entre un dispositivo de usuario y un proveedor de almacenamiento de datos de terceras partes en forma de flujos de datos, interceptándose dichos flujos de datos por un interceptador de cifrado que permite la interceptación de comunicaciones cifradas y reside en un nodo de acceso de una red, caracterizado porque comprende una entidad de proveedor de seguridad de almacenamiento de datos que cifra flujos de datos ascendentes y descifra flujos de datos descendentes con una clave de cifrado de sesión recuperada de dicho dispositivo de usuario, generándose dicha clave de cifrado de sesión en dicho dispositivo de usuario por medio de un módulo de identidad de abonado, o SIM, de dicho dispositivo de usuario y estando dicha entidad de proveedor de seguridad de almacenamiento de datos conectada a dicho interceptador de cifrado que proporciona dichos flujos de datos ascendentes y descendentes a dicha entidad de proveedor de seguridad de almacenamiento de datos.

16. Sistema según la reivindicación 15, que comprende además una aplicación de SIM ToolKit para su instalación en dicho SIM de dicho dispositivo de usuario con el fin de realizar operaciones de envoltura y desenvoltura de claves.

17. Sistema según las reivindicaciones 15 ó 16, en el que dicha entidad de proveedor de seguridad de almacenamiento de datos es un regrabador de paquetes de nivel 3 de OSI distribuido y está instalado en múltiples nodos de acceso de una red de operador.

18. Sistema según la reivindicaciones 15, 16 ó 17, en el que dicha entidad de proveedor de seguridad de almacenamiento de datos comprende los siguientes submódulos:

- un gestor de identidad para realizar una identificación de dicho dispositivo de usuario según al menos una dirección IP de origen contenida en dichos flujos de datos;

- un motor de cifrado para analizar dichos flujos de datos y realizar dicho cifrado de flujos de datos ascendentes y descifrado de dichos flujos de datos descendentes; y

- un controlador de claves para implementar la generación de claves de cifrado de sesión, usándose dicho controlador de claves como interfaz con dicho SIM de dicho dispositivo de usuario.

19. Sistema según cualquiera de las reivindicaciones 15 a 18, caracterizado porque comprende medios para implementar el método según cualquiera de las reivindicaciones 1 a 14, en el que dicha entidad de proveedor de seguridad de almacenamiento de datos constituye dicho módulo de proveedor de seguridad.

Figura 1

Figura 2

Figura 3

Figura 4

Figura 5

Figura 6