Please enable JavaScript.

Coggle requires JavaScript to display documents.

TEMA 60 : ACCESO REMOTO A SISTEMAS CORPORATIVOS : GESTIÓN DE IDENTIDADES,…

- - - - Consistencia e integridad de los datos
      - Escalabilidad
  - - - Microsoft Active Directory: almacén centralizado de información de uno o más dominios de la organización
      - Apache Directory Server: desarrollado en Java con licencia Apache, soporta protocolos de red como Kerberos y NTP
      - Novell Directory Services: corre en diversas plataformas
      - Open DS : es open source, desarrollado en Java y multiplataforma
    - - Funciona mediante reglas de gobierno, que deben ser establecidas previamente en función de las fuentes de información, analizando los datos de la organización, contando con los administradores de todos los productos a conectar y con un analista de sistemas capaz de diseñar un conjunto de reglas eficaz.
      - Productos
        
        IBM Tivoli Directory Integrator :sincroniza datos genéricos y de identidad de la organización que residen en directorios heterogéneos. Soporta múltiples proveedores de infraestructuras TIC. Soporta estándares XML, JDBC, LDAP, JMS, JNDI, HTTP/REST o servicios web
        
        Ganymede :publicado bajo licencia GNU GPL. Escrito en Java
    - - Características
        
        Automatización en la propagación de cambios: los cambios en los perfiles de usuario en un sistema autorizado deben de activar las actualizaciones automáticas en los perfiles de los sistemas administrados
        
        Flujos de trabajo :las solicitudes de cambio presentadas por los usuarios deben poder ser enviadas automáticamente a los usuarios con la autoridad o privilegios necesarios para su aprobación o rechazo. Los cambios aprobados se aplicarán también automáticamente a los sistemas gestionados
        
        Delegación :a los administradores de seguridad departamentales se les debe conceder acceso limitado a la gestión de algunos usuarios, en algunos sistemas, a través de la consola de administración de seguridad única
      - Productos
        
        Softerra Adaxes : solución basada en Microsoft AD, que permite automatizar y asegurar el aprovisionamiento de usuairos
        
        Prometheus Account Provisioning :solución basada en OpenLDAP y desarrollada por la Universidad de Edimburgo
  - - - Gestión de la identidad del ciclo de vida de la misma
      - Federación de identidades, compartición de información de atributos de confianza entre aplcaciones de servicios web
      - Control centralizado y gestión de las políticas de seguridad a través de múltiples aplicaciones y usuarios
    - - Permite la gestión del ciclo de vida de la identidad, autoservicio de contraseñas, administración de usuarios módulos de integración para :
        
        Microsoft AD, y Windows NT
        
        Lotus Notes, Microsoft Exchange
        
        Novell eDirectory y otros LDAP v3
- - - - Inicialmente desarrollado por el MIT, es un protocolo de autenticación de redes de ordenador que permite a dos computadoras de una red insegura demostrarse su identidad mutuamente y de manera segura
      - Funcionamiento
        
        Se basa en criptografía de clave simétrica y requiere un tercero de confianza denominado centro de distribución de claves, el cual consta de dos partes lógicas separadas
        
        Servidor de autenticación
        
        Servidor emisor de tickets
        
        Kerberos trabaja sobre la base de tickets , los cuales sirven para demostrar la identidad de los usuarios
        
        Mantiene una base de datos de claves secretas; cada entidad en la red comparte una clave secreta conocida únicamente por él y Kerberos, que sirve para probar la identidad de la entidad. Para una comunicación entre dos entidades kerberos genera una clave de sesión (ticket), que pueden usar para asegurar sus interacciones
      - Kerberos como SSO: consiste en que una vez mostrado el usuario sus credenciales, obtiene un ticket emisor de tickets (TGT)
        
        Las aplicaciones del usuario que requieren autenticación usan el TGT para adquirir "tickets de servicios", que acreditan la identidad del usuario para dichas aplicaciones.
        
        El usuario tiene un programa cliente en su ordenador que se ocupa de guardar los tickets y solicitarlos cuando el cliente vaya a acceder a un determinado servicio
    - - Funcionan rellenando automáticamente la información de autenticación del usuario. Existen muchos productos comerciales con diferentes características y funcionalidades
      - 2 maneras posibles de operar
        
        A través de ficheros scripts personalizados para cada aplicación, que toman las credenciales del usuario y lanzan la aplicación
        
        A través de aplicación desktop, que se encarga de monitorizar continuamente las interacciones del usuario, y actúa directamente cuando ocurre un evento de autenticación
      - Ejemplos
        
        IBM Tivoli Access Manager Enterprise SSO :permite planificar, diseñar un SSO corporativo para proporcionar una solución de inicio de sesión automático, y cambiar la contraseña de un gran nº de aplicaciones empresariales
        
        Novell Secure Login : funciona para aplicaciones heredadas, aplicaciones web y servidores windows. La aplicación dliente desktop guarda las identidades y contraseñas de forma encriptada. Requiere de dicha aplicación en cada uno de los puestos de trabajo
    - - Las peticiones del clientes son http o https desde un navegador y el proceso que tiene lugar es el siguiente
        
        1. Initial request: el navegador intenta acceder a una página foo.example.com a través de una petición http
        
        2. Redir to login Server :el servidor foo.example.com comprueba que dicho usuario no está autenticado y solicita un http redirect para redirigir al usuario al servicio de autenticación
        
        3. Login request :el servicio de autenticación solicita al usuario que presente sus credenciales y el usuario se autentifica
        
        4. Redirect to web Server + cookie :una vez autenticado, el servidor de autenticación le envía una petición http redirect y le añade una cookie de sesión
        
        5. Request + cookie :el navegador de usuario presenta una petición http y lleva incrustada la cookie de sesión
        
        6. Response :el servidor foo.example.com comprueba que la cookie de sesión es válida y no ha expirado, por lo que presenta su información al usuario
      - Ataques de seguridad: las cookies poseen ciertas vulnerabilidades y pueden sufrir ataques maliciosos
        
        Robo de cookies :durante el funcionamiento normal, las cookies se envían de un extremo a otro entre el servidor y el ordenador del usuario. Si se envían sobre sesiones http son visibles a todos los usuarios que puedan escuchar la red utilizando un sniffer de paquetes.
        
        Se puede solventar mediante el uso de https, que invoca seguridad de la capa de transporte para cifrar la conexión
- - - - Consiste en una serie de especificaciones para construir, intercambiar e interpretar información de autenticación y autorización cuya validez sobrepasa las fronteras entre redes autónomas
      - Elementos
        
        Assertions :son paquetes XML que contienen información de identidad, autentificación y autorización sobre un sujeto determinado.Se definen mediante un esquema XML. Transportan 3 tipos de Statements (declaraciones) :
        
        Authentication Statement :expedidas por la entidad que ha llevado a cabo el proceso de autentificación del usuario. Recoge quien la ha emitido, el sujeto autentificado, el periodo de validez de la misma.etc
        
        Attribute Statements :contienen detalles específicos sobre el usuario como nombre, correo electrónico, rol, grupo al que pertenece, etc
        
        Authorization Statements :recogen datos sobre lo que le está o no permitido hacer al usuario en cuanto a utilización de recursos o aplicaciones
        
        Protocols :definen las peticiones de las assertions y las respuestas a las mismas. Poseen su propio esquema XML
        
        Authentication Request Protocol :generalmente es una solicitud emitida por un proveedor de servicios y contestada por un proveedor de identidad tras haber completado con éxito un proceso de autentificación de usuario
        
        Assertion Query and Request Protocol :se definen una serie de métodos para obtener aserciones SAML ya existentes.
        
        Existen otros protocolos...
        
        Bindings :especifican cómo los mensajes de los protocolos SAML pueden transportarse usando protocolos de más bajo nivel, como HTTP o SOAP
        
        Profiles :los protocolos, bindings y assertions de SAML se combinan para formar perfiles. que es un conjunto de elementos e interacciones entre ellos que son necesarios para satisfacer un caso concreto de utilización de SAML
        
        Web Browser SSO Profile :especifica cómo se puede proporcionar un servicio de SSO mediante un navegador web, utilizando mensajes del Authentication Request Protocol en combinación con los bindings HTTP Redirect, HTTP Post y HTTP Artifact
        
        Assertion Query/Request Profile :define cómo el protocolo SAML del mismo nombre hace uso del SAML SOAP binding
        
        Artifact Resolution Profile :define cómo el Artifact Protocol utiliza SOAP binding
        
        Identify Provider Discovery Profile :define los medios para que un Proveedor de Servicios descubra qué Proveedores de Identidad está utilizando determinado usuario
      - Seguridad en SAML
        
        SAML está diseñado para integrarse con XML Encryption y SML Signature, estándares cuya finalidad es incrustar información cifrada y firmas digitales, respectivamente en un documento XML.
        
        XML Signature se utiliza para proveer autentificación, es decir, detemrinar la identidad de la otra parte en una transacción, así como la integridad de los datos (que no ha sufrido alteraciones)
        
        XML Encryption proporciona confidencialidad de forma que solo los destinatarios originales del mensaje podrán leer el contenido cifrado que contenga
      - Implementaciones
        
        OpenSAML :conjunto de librerías open source programadas en C++ y Java que permiten el desarrollo de funcionalidades definidas en el estándar SAML
        
        SimpleSAMLPHP :aplicación open source escrita en PHP que permite implementar funcionalidades de un Proveedor de Identidad y Proveedor de Servicios SAML
        
        Shibboletth :arquitectura e implementación open source de identidades federadas basadas en SAML, desarrollada para entornos de universidad
    - - WS-Federation :define los mecanismos para permitir que , dominios diferentes, puedan negociar información sobre las identidades, los atributos de identidad y autenticación
      - WS-Security, WS-Trust y WS-SecurityPolicy : proporcionan un modelo básico de federación entre los proveedores de identidad y las diferentes partes involucradas que confían
      - Windows CardSpace :tecnología capaz de seleccionar identidades. Almacena referencias de las identidades digitales de los usuarios, presentando dichas referencias como tarjetas de información visual. Proporciona una interfaz de usuario que permite a las personas utilizar fácilmente las identidades de las aplicaciones y sitios web en las que se aceptan
        
        Cuando una aplicación (proveedor de servicios) que permite usar CardSpace desea obtener información sobre el usuario, presenta una solicitud de identificación con el conjunto de datos que le reclama a éste. En el ordenador del usuario aparecen las tarjetas con las diferentes identidades (InfoCards).
        
        El usuario selecciona la que desea emplear y la aplicación solicita al proveedor de identidad de la tarjeta señalada un token de identidad (XML firmado ). Una vez recibido permite el uso de la aplicación
        
        Es complementario con SAML u OpenID.
        
        Se basa en la pila de protocolos basados en XML, WS-Security, WS-Trust, WS-MetadataExchange, WS-SecurityPolicy
      - Implementaciones : SourceID y Windows CardSpace
  - - - Los usuarios solo necesitan disponer de un identificador creado en un servidor que verifique OpenID, llamado proveedor de identidad, que puede confirmar la identificación OpenId del usuario a un sitio que soporte este sistema
- - - - Cl@ve complementa los actuales sistemas de acceso mediante DNI-e y certificado electrónico, y ofrece la posibilidad de realizar firma en la nube con certificados personales custodiados en servidores remotos.
      - Cl@ve permite que las aplicaciones de administración electrónica puedan definir el nivel de aseguramiento en la calidad de la autenticación que desean, en base a los datos que tratan y a la clasificación de seguridad siguiendo las recomendaciones del Esquema Nacional de Seguridad
      - El ciudadano usuario de los servicios de administración electrónica puede entonces escoger el identificador que desea usar entre los disponibles para el nivel de aseguramiento requerido por la aplicación.
      - Sistemas de identificación permitidos
        
        Claves concertadas
        
        **Cl@ve ocasional ( Cl@ve PIN )**: sistema de contraseña de validez muy limitada en el tiempo, orientado a usuarios que acceden esporádicamente a los servicios, que se corresponde con el sistema PIN24H de la AEAT
        
        **Cl@ve permanente :** sistema de contraseña de validez duradera en el tiempo, pero no ilimitada, orientado a usuarios habituales. Se corresponde con el sistema de acceso mediante usuario y contraseña, reforzado con claves de un solo uso por SMS, a los servicios de Seguridad Social. Este sistema será además el que permitirá el acceso al ciudadano a la firma en la nube
        
        Certificados electrónicos
      - Adicionalmente, Cl@ve está preparada para incorporar en el futuro, conforme se vayan integrando en el sistema de reconocimiento transfronterizo de identidades electrónicas previsto en la legislación europea, mecanismos de identificación de otros países de la Unión Europea.
      - Elementos del sistema
        
        Proveedores de servicios de administración electrónica (SP): Entidades que proporcionan servicios electrónicos a los ciudadanos y utilizan la plataforma para la identificación y autenticación de los mismos.
        
        Proveedores de servicios de identificación y autenticación (IdP): Entidades que proporcionan mecanismos de identificación y autenticación de los ciudadanos para ser utilizados como medios comunes por otras entidades.
        
        Pasarela / Gestor de Identificación: Sistema intermediador que posibilita el acceso de los proveedores de servicios a los distintos mecanismos de identificación y la selección de éstos por parte del usuario.
      - Los proveedores de servicios únicamente tienen que integrarse con el Gestor de Identificación, encargándose éste de establecer las relaciones pertinentes con los distintos sistemas de identificación. Para ello se establecen relaciones de confianza entre los distintos actores que se integran entre sí, soportadas por el intercambio de certificados electrónicos y el envío de mensajes firmados entre ellos, que garantizan la transmisión segura de la información durante todo el proceso de identificación y autenticación.
  - - - Usabilidad :el sistema debe ser seguro, que garantice la privacidad del usuario y permitir el uso de acuerdo con los intereses y sensibilidades domésticas
      - Identificación fuera de línea :cada Estado miembro debería ser capaz de identificar a los usuarios dentro de sus fronteras, si desea que disfruten del acceso a servicios de gestión de identidad que estén en el extranjero
      - Identificación en línea :cada Estado miembro tendría que emitir los mecanismos necesarios a sus usuarios, para que estos puedan identificarse y autenticarse electrónicamente, como condición para tener acceso a servicios de gestión de identidad cuando estén en el extranjero
      - Apoderamientos y autorizaciones :cada Estado miembro debería ofrecer los mecanismos para gestionar las competencias y capacidades de los usuarios identificados dentro de sus fronteras, siempre que estas autorizaciones no se encuentren legalmente sujetas a aprobación por las autoridades del otro Estado miembro
      - Validación en línea :cada Estado miembro tendría que ofrecer servicios en línea de validación de las entidades, competencias y autorizaciones, si desea ofrecer servicios de gestión de identidad
      - Consenso :hay que establecer un consenso de alto nivel entre los Estados miembros sobre la terminología de gestión de identidad para garantizar la interoperabilidad conceptual y semántica.
    - - Ser federado en un sentido político
      - Ser multinivel, con diversos niveles de seguridad
      - Confiar en fuentes de información auténtica
      - Permitir una aproximación basada en sectores o contextos diferentes
      - Permitir el desarrollo del mercado privado
    - - Consiguió desplegar una plataforma de interoperabilidad de identidades electrónicas europeas que permite a los ciudadanos establecer nuevas relaciones electrónicas transfronterizas, simplemente presentando su credencial de identidad electrónica nacional, así como un marco de referencia sostenible a nivel paneuropeo
      - Utilizando este marco como base, los ciudadanos españoles pueden utilizar sus DNI electrónicos nacionales u identificadores similares en otros Estados Miembros, y los ciudadanos extranjeros pueden relacionarse con la administración española utilizando sus identificadores electrónicos de origen.
      - Los resultados obtenidos en STORK están teniendo su continuidad en el proyecto STORK 2.0, también ejecutado dentro del Programa CIP. Como novedad respecto a STORK, STORK 2.0 prevé abordar la representación, tanto de personas físicas como jurídicas, en un entorno electrónico, incluyendo facilidades para gestionar mandatos y poderes, bajo los principios de transferencia segura de atributos, elevada protección de datos, y control del usuario.
- - - - Permite a los usuarios conectarse a su propio escritorio mientras están físicamente lejos de su ordenador.
      - Los sistemas que soportan XWindows System, basados en Unix tienen esta capacidad incorporada. Las versiones de Windows cuentan con una solución incorporada para el acceso remoto bajo la forma de Remote Desktop Protocol
      - Defecto : inhabilidad para trabajar fuera de un solo ambiente
    - - Se basa en un protocolo de túnel, que cifra los datos que se transmiten desde un lado de la VPN al otro