Hola Sebastian, en realidad es conocimiento que he adquirido de muchos años, leyendo cosas de aquí, otras de allá, en realidad leo bastante, así que no te podría dar una fuente única, sin embargo, si quieres aprender todo este conocimiento que me tomó más de 10 años compactado en un solo libro, te recomiendo mi libro de Introducción a la arquitectura de software.

Bueno… de los algoritmos de llaves simétricas yo diría que si.

De nada, me da gusto que sea de utilidad y te invito a que te suscribas al blog para que recibas las actualizaciones.

Aaah ya, si se soluciona mi duda, si mas que nada por eso preguntaba, si algun atacante intercepta mi mensaje, lo interceptaria tal cual , esto le permitiria ver las credenciales, y no me serviria de nada poner una superclave si al final esta seria visible.

Ahora bien, si esta encriptado como me comentas, esto ayudaria a que no pueda ver la informacion que estoy enviando y si agrego informacion de validacion (cadena original, y cadena md5) por si el mensaje fue modificado , tambien podria darme cuenta si el mensaje ha sido interceptado y modificado, y ya no recibirlo y mandar algun mensaje de error o alerta.

Si ya quedo mucho mas claro, ahora veo por que esta esa cadena original en las facturas electronicas del Hacienda /SAT , entre otros casos D:

Esta es una muy buena respuesta.

Recuerda que el echo de que uses usuario y password no significa que tu información vaya protegida, lo que si es un echo es que si un atacante logra interceptar tu mensaje podrá ver absolutamente todo el contenido, esto incluye datos y credenciales.

Esto no significa que no debemos usar usuario y password mas bien hay que entender que las credenciales están ligas a otro tema muy distinto a la Integridad,Autenticidad y Confidencialidad, las credenciales van ligadas a la Autenticación y Autorización, las credenciales las utilizaras únicamente cuando el mensaje aya llegado su destino para validar que el usuario es valido y que tiene los privilegios para ver la información.

Algunos de los puntos importantes a tomar en cuanta cuando mandamos credenciales son las siguientes:
*El cliente que invoca al servicio tendrá que pasar su password por un algoritmo de digestión como MD5,SHA-1, este algoritmo no es reversible por lo que tu tendrás que validar su password de la misma manera cuando llegue a su destino. De esta forma si el intruso logra interceptar el mensaje si podrá hacer ataques enviando las mismas credenciales sin embargo no conocerá el password como para hacer otro tipo de ataques.
*Para solucionar el problema anterior siempre es recomendable mandar los mensajes por un canal seguro como https el cual hará muy difícil que el intruso pueda recuperar el mensaje a demas que esto es sumamente fácil de configurar.

Con respecto a la información, una buena estrategia para protegerla es incriptar el mensaje para que solo el receptor sea capas de descifrar el mensaje, la Criptografia asimétrica es perfecta para estos casos.

Espero que esta información te sea de utilidad, si tienes alguna otro duda no dudes en preguntar.
Saludos.

Es comun, utilizar un ‘usuario’ y ‘contraseña’ cuando expones un Web service?

Digamos, expones un web service que regresa una lista de productos, a algun cliente, y quieres que solo ese cliente lo vea, asi que le das un user/pass, que se enviara en la llamada al WS.

Esto es comun? es incorrecto? supongo que esa llamada al WS puede ser interceptada y tomar los datos de usuario y contraseña? o si es seguro?

=D

Muchas gracias amigo 🙂