Aspectos a tener en cuenta en proyectos de Gestión de Identidades

El acceso a la información es de primordial importancia. Tras muchos años intentando facilitar y automatizar el acceso a la información, también se han generado otra clase de problemas:

• Accesos no permitidos a información confidencial.
• Usuarios activos eternamente en los sistemas.

Los sistemas aumentan y el número de usuarios también. Pero no solo aumentan en número sino también en diversidad.

• Se diversifican los sistemas de control de privilegios de accesos, mecanismos de seguridad, repositorios e interfaces.
• La diversificación de usuarios y sistemas provoca, entre otros:
•  un aumento en la plantilla de IT para la administración y mantenimiento de los sistemas,
• experiencias poco satisfactorias de los usuarios al tener credenciales distintas en sistemas distintos.
• Se tiene que conseguir homogeneizar los mecanismos de control de acceso a la información.

En la actualidad las entidades, ante los nuevos avances y requisitos de interconexión, se encuentran con:

• Sus usuarios necesitan múltiples contraseñas para acceder a sus aplicaciones.
• Otros proveedores deben permitir el acceso a los usuarios de las entidades.
• El tiempo medio para que un empleado empiece a trabajar con los sistemas internos es 5 días. (en el mejor de los casos).
• La información de los usuarios está distribuida en multitud de repositorios.
• Los sistemas se vuelven complejos y heterogéneos.
• Aumentan los costes de los departamentos de IT.

Problemática a resolver:

• Disminución de costes de administración IT.
• Mejora de la visión de seguridad de nuestros sistemas.
• Flexibilidad en la interacción con otros proveedores.
• Mejora de la satisfacción de los usuarios/clientes al interactuar en nuestros sistemas.
• Robustez en la arquitectura de seguridad.
• Disminución de los costes de desarrollo de nuevas aplicaciones de negocio.

Los objetivos de un marco de gestión de identidades deben estar basados en un enfoque de seguridad centrado en los procesos que identifican, crean, capturan y mantienen el valor de la seguridad en la compañía.

Ahora el objetivo de un sistema de gestión de identidades es cubrir:

• Autenticación
• Control de acceso
• Gestión de usuarios
• Repositorio central de usuarios 

Este marco da respuesta a la siguiente ecuación: Usuarios + Gestión de Identidades + Aplicaciones

• Usuarios= Externos, Proveedores, Empleados
• Gestión de identidades= Autenticación, Control de acceso, Gestión de Usuarios, repositorio de usuarios
• Aplicaciones= ERP, WEB, CRM, Legacy, Correo electrónico

Elementos de la ecuación:

    1. Autenticación: Algo que sé, algo que tengo, algo que son

• Autenticación de factor único:
• Identificador de usuario y contraseña.
• Contraseñas robustas.
• PINs.
• Autenticación multi-factor (autenticación fuerte):
• Contraseñas de un sólo uso.
• Dispositivos hardware de autenticación (smartcards, tokens).
• Certificados Digitales (PKI).
• Sistemas desafío-respuesta.
• Dispositivos Biométricos (de reconocimiento de huella dactilar, reconocimiento de retina e iris, reconocimiento de voz, escáner facial, escáner de la palma de la mano, escáner de firma).
• Combinaciones de los anteriores.

•  Enfoque tradicional:
• Cada aplicación ha de contemplar mecanismos de autenticación
• Los controles sobre contraseñas no son homogéneos entre aplicaciones
• La definición del concepto usuario no corresponde con el de identidad
• Soporta un único esquema de autenticación

• Gestión de identidades:
• Proporciona capacidades de Single-Sign-On (web)
• El nivel de autenticación varía en función de la criticidad de la información
• Soporta múltiples esquemas de autenticación
• Los accesos se gestionan entorno al concepto identidad

   2. Control de acceso:

• Una Infraestructura que posibilita un enfoque común para la autenticación y autorización entre múltiples plataformas.
• Proporciona Single Sign-On para aplicaciones Web (y otras aplicaciones).
• Permite varias aproximaciones de control de acceso: basadas en usuarios (ACLs, control de acceso por reglas o de niveles de seguridad jerárquicos), en roles y en políticas.
• Reduce los costes de operación asociados con el control de acceso de usuario.
• Reduce los costes de desarrollo de nuevas aplicaciones y agiliza su implantación.

•  Enfoque tradicional:
• La definición del control de acceso es propio de cada aplicación
• Existen múltiples herramientas de control de acceso
• Nivel de acceso no homogéneo
• Altos costes de administración

• Gestión de Identidades:
• El control de acceso se independiza de las aplicaciones
• Se reduce el tiempo y coste necesario para la incorporación de nuevas aplicaciones
• Los controles y perfiles definidos son aplicables a múltiples aplicaciones

   3. Gestión de Usuarios

• Workflows automatizados para la creación y modificación de usuarios y perfiles con los derechos de acceso a los usuarios y aprovisionamiento de los elementos necesarios
• Eliminación automática de los derechos de acceso cuando un usuario deja la organización o cambia de funciones
• Posibilita el uso de capacidades de autoservicio (autoregistro de usuarios, modificación de información de identidad e inicialización de contraseñas) y administración delegada

• Enfoque tradicional:
• Costes aumentan más que proporcionalmente
• El modelo no escala bien al aumentar el número de aplicaciones o usuarios
• Se acumulan usuarios en desuso
• No responde ante cambios organizativos o de funciones

• Gestión de identidades:
• Aprovisionamiento de usuarios
• Automatización del proceso a través de workflow

   4. Repositorio de Usuarios

• Repositorio centralizado, seguro y fiable para los perfiles de usuario
• Capacidad de escalabilidad a millones de usuarios
• Posibilidad de integración mediante el uso de estándares con gran número de aplicaciones
• Se consiguen tiempos de respuesta razonables con peticiones concurrentes

Hoja de ruta de la Gestión de Identidades:

• Repositorio corporativo de identidades
• Definición e integración de fuentes autoritativas
• Definición de roles y políticas
• Establecimiento de mecanismos de control de acceso
• Automatización del aprovisionamiento de cuentas
• Implementación de mecanismos de autenticación robusta
• Portal del empleado (Self-provisioning)
• Federación de identidades
• Seguridad integrada (física y lógica)

Beneficios:

• Reducción de Costes
• Incremento de la Seguridad
• Cumplimiento Legal
• Mejoras para usuario final
• Incremento de Productividad
• Escalabilidad y Flexibilidad

Protección de datos: La verdad sobre la sentencia del Tribunal Supremo

La reciente sentencia del Tribunal Supremo que anula el artículo 10.2.b del Real Decreto 1720/2007 ha hecho saltar todas las alarmas en los medios de comunicación. Titulares como “Barra libre para el trato de datos de carácter personal” o “El fin de la privacidad de las personas” han aparecido en la prensa generalista o en diversos blogs. Sin embargo, ¿qué hay de cierto detrás de estas noticias?

Analizando las primeras noticias que aparecieron en la prensa, una empresa podía pensar que a partir de ahora era posible tratar los datos de las personas a su antojo, sin que ello supusiera incumplir con la normativa aplicable en materia de protección de datos. Sin embargo, para tranquilidad de muchos y perjuicio de otros este hecho es totalmente falso, basta con leer cómo queda el famoso artículo 10 del Real Decreto 1720/2007 tras la sentencia del Tribunal Supremo.

Sin pretender entrar en temas demasiado técnicos, cabe desmentir de forma categórica las noticias que han aparecido, continúa siendo necesario contar con el consentimiento de las personas para cualquier tratamiento de sus datos de carácter personal. Lo único cierto del tema es que se ha eliminado una de las condiciones necesarias para constituir una excepción a dicha norma general, que establecía que dichos datos debían figurar en fuentes accesibles al público.

Más allá del contenido del artículo anulado, lo importante es saber que para que no sea necesario el consentimiento del afectado, deben coincidir una serie de restricciones que continúan siendo válidas, y que correspondientes al artículo 10.2.a). Básicamente exigen que dicho tratamiento esté amparado por una norma con rango de ley o de derecho comunitario, que corresponda al interés legítimo del responsable del tratamiento o cesionario (no basta con alegar interés comercial), y siempre que este interés no prevalezca a los derechos fundamentales de las personas (tales como el honor de las personas y su intimidad).

De hecho, la propia Agencia Española de Protección de Datos ya publicó una nota informativa donde analizaba este hecho, dejando claro su posicionamiento al respecto, incluso antes de que se pronunciase el propio Tribunal Supremo. La propia Agencia establece que atendiendo a las restricciones que permanecen vigentes, la sentencia no supone una modificación sustancial a los principios de la protección de datos de carácter personal.

Con todo ello es fácilmente comprobar que los titulares que se sucedieron a raíz de la mencionada sentencia partían de un análisis erróneo o exagerado y que en la práctica dicha sentencia no afecta sustancialmente a la mayoría de tratamientos que puedan realizarse.

Wifi: La amenaza invisible

Las redes inalámbricas o redes wifi están presentes en la mayor parte de las organizaciones hoy día. Es más, muchos comercios, hoteles, bares y restaurantes lo ofrecen de forma gratuita a sus clientes. La moda de las redes wifi abiertas pasó y la gran mayoría ya usan protocolos como los WEP (Wired Equivalent Privacy) o WPA/WPA2 (Wi-Fi Protected Access) para proteger el acceso. La gente se siente segura detrás de contraseñas interminables y complejas de números, símbolos, mayúsculas y minúsculas. Pero ¿estamos realmente seguros? ¿Qué pasaría si alguien pudiera travesar esta barrera de protección?

Crackeo de Wifis

Los protocolos más comunes de cifrado wifi son WEP y WPA/WPA2. El algoritmo WEP se rompió hace años. Por eso, obviando los métodos o detalles técnicos, una red wifi WEP con clientes haciendo uso de ella se tardaría desde segundos (claves por defecto de operador), a una hora como máximo en descifrar. Cuando una contraseña WEP es la única barrera de protección a la red interna la organización tiene definitivamente un problema.

Existen métodos para el crackeo de redes WPA/WPA2, aunque dependen en gran medida de la fortaleza y longitud de la contraseña. Es preferible tomar las recomendaciones típicas sobre políticas de contraseñas y cambiarla cada cierto tiempo.

Algunos de los métodos para conseguir contraseñas WPA/WPA2 agilizan el proceso con el uso de clústers y GPUs, ya que el crackeo se puede realizar offline, es decir, fuera del alcance de la red, una vez capturados los datos necesarios (WPA handshake).

Segmentación e independencia

Otros de los factores que debemos analizar son la información, servicios y recursos a los que pueden acceder los usuarios una vez obtienen acceso. Se debe tener en cuenta por dos razones: por los distintos roles de usuarios que pueden acceder a dicha red y por los usuarios no legítimos que puedan obtener la contraseña (crackers, curiosos, antiguos empleados, etc.).

No es lo mismo un Director General de una empresa accediendo por wifi a los archivos confidenciales de una empresa que un empleado externo o un invitado accediendo a internet. Se debe ser riguroso con el control y acceso a las redes y cuidadoso con la asignación de permisos para los distintos roles de usuario.

Cada vez es más importante diseñar una estructura de red que mantenga una arquitectura con dos o más redes separadas o incluso segmentadas internamente a través de redes virtuales VLANs.

Por otro lado, imaginemos por un momento que alguien de forma fraudulenta o un antiguo empleado accede a la red wifi corporativa. ¿Sabemos con seguridad a qué recursos tendría acceso? ¿Se auditan o monitorizan estas acciones de forma regular? ¿Cuándo fue la última vez que se cambió la contraseña de las redes wifi? La contraseña de la red inalámbrica no puede ser nunca la única forma de protección.

Sniffing de tráfico

Todos los datos/paquetes que se envían por redes inalámbricas, pueden ser interceptados por tarjetas en modo monitor. En los protocolos WEP y WPA/WPA2 los datos interceptados están cifrados, pero en el protocolo abierto (sin contraseña), los datos transmitidos pueden ser capturados y leídos tal como son emitidos.

Lo que mucha gente no sabe, es que conociendo la clave de una wifi puede descifrarse el tráfico entre emisores y receptores. La prueba de concepto siempre sorprende, y el nivel de seguridad al que se está expuesto dependerá del protocolo de red usado. Si se usan FTPS, HTTPS, ssh, nuestros datos siempre estarán más seguros que con los protocolos FTP, HTTP o telnet en los que pueden verse en texto plano datos y contraseñas. En resumen, alguien que supiera la contraseña de la red, no sólo podría campar a sus anchas en la red, sino que podría recopilar credenciales de la organización.

Para estas pruebas de concepto, existen programas como Firesheep (addon de Firefox -http://codebutler.github.com/firesheep/) o Faceniff (Aplicación de Android http://faceniff.ponury.net/) que sorprenden por su facilidad de uso, y por los resultados obtenidos. Existen herramientas de uso más complejo que consiguen resultados más sofisticados y exhaustivos .

Medidas de seguridad adicionales

Existen varias medidas complementarias a una simple contraseña:

• Filtrado de MAC: en grandes entornos puede ser complicado gestionarlo, pero es un método de control simple pero efectivo. Debemos tener en cuenta que existen técnicas sencillas de mac-spoofing (http://www.govannom.org/seguridad/14-wifi-wireless-redes/154-como-hacer-mac-spoofing.html) y también es cierto que algunos Access Point pueden detectar el mac-spoofing. Tal como la contraseña, no puede ser la única medida de seguridad.
• SSID oculta: Medida que sirve básicamente para evadirse del punto de mira de curiosos. Cualquiera con los conocimientos y herramientas necesarias puede obtener fácilmente el SSID (también conocido como nombre de la red). La seguridad por oscuridad se convierte en un sencillo paso más en el crackeo de la red y más cuando el atacante sabe qué se busca.
• SSID distinto: Una medida de seguridad sencilla es renombrar la wifi con un SSID que no identifique la empresa.
• Otras: a medida que crecen las organizaciones, la complejidad de sus redes y la concienciación en la seguridad de la información se usan soluciones más sofisticadas como pueden ser NAC, UAC, Radius o portales cautivos por poner algunos ejemplos. Todas son herramientas que mejoran de forma sustancial la seguridad de las redes inalámbricas.

En Conclusión:

Para evitar la intrusión de usuarios maliciosos y garantizar la confidencialidad de los datos es recomendable seguir las siguientes instrucciones:

• Las redes wifi deben considerar la encriptación WPA2 preferentemente, con una contraseña compleja y larga (mínimo 12 caracteres).
  
• Debe existir una segmentación de red adecuada para los tipos de usuarios que se conectaran a la red inalámbrica.
• Crear una red de invitados separada de la red interna, para conceder únicamente conexión a internet a los proveedores que lo requieran.
  
• No se puede confiar solamente en una contraseña, el uso de más medidas de seguridad es muy recomendable.
• Monitorizar la red y los equipos conectados a ella, ya sea de forma manual o automatizada para evitar ataques.

Es posible que alguno piense que estas medidas son muy básicas, pero nuestra experiencia nos dice que no siempre se siguen estas recomendaciones. Para ilustrarlo, desde nuestras oficinas, se puede ver una red inalámbrica con el SSID que es el nombre de una organización que utiliza una clave WEP. Esperamos por su bien, que sea una red de invitados bien gestionada. Aunque desafortunadamente, creo que eso sería mucho esperar.