Sistemas de control de acceso

Sistemas de control de acceso

Sistemas de control de acceso. Son esenciales para proteger la confidencialidad, integridad y disponibilidad de la información, el activo más importante de una organización, pues permiten que los usuarios autorizados accedan solo a los recursos que ellos requieren e impide que los usuarios no autorizados accedan a recursos.

Introducción a los sistemas de control de acceso

El vertiginoso desarrollo alcanzado en las nuevas tecnologías de la informática y las comunicaciones ha llevado a la sociedad a entrar en lo que se ha dado en llamar “era de la información”. La información puede existir en muchas formas, impresa o escrita en papel, almacenada digitalmente, transmitida por correo postal o utilizando medios digitales, presentada en imágenes o expuesta en una conversación.

Cualquiera sea la forma que adquiere la información es un recurso que, como el resto de los activos importantes tiene un gran valor, siendo a veces incalculable, por contener la “vida” de una organización; es por eso que debe ser debidamente protegida independientemente de los medios por los cuales se distribuye o almacena. En esta “sociedad de la información” persisten las razones y motivos para mantener mecanismos de control de acceso sobre las áreas (seguridad física) y la información (seguridad lógica) que se desea proteger.

La seguridad física describe las medidas que previenen o detienen a intrusos antes de que accedan a una instalación, recurso o información almacenada en medios físicos. Inicialmente los controles de acceso físico se basaban esencialmente en el trabajo de los vigilantes, en el mejor de los casos asistidos por equipos de circuito cerrado de televisión (CCTV). Posteriormente, fueron incorporados los códigos electrónicos a las entradas de los locales y actualmente las tecnologías destinadas al control de acceso físico han tenido una importante evolución debido a la incorporación de las aplicaciones sustentadas en la biometría.

Los controles de acceso físico tienen una gran importancia puesto que si alguien que desee atacar un sistema tiene acceso físico al mismo, el resto de las medidas de seguridad implantadas se convierten en inútiles. Muchos ataques serían entonces triviales, como por ejemplo los de denegación de servicio; si es posible apagar un servidor que proporciona un servicio es evidente que nadie podrá utilizarlo. Otros ataques se simplifican enormemente, por ejemplo es más fácil obtener información copiando los ficheros o robando directamente los discos que los contienen, que acceder remotamente a los mismos. Incluso dependiendo el grado de vulnerabilidad del sistema es posible tomar el control total del mismo, por ejemplo reiniciándolo con un disco de recuperación que permita cambiar las claves de los usuarios.

Luego de ver como un sistema puede verse afectado por la falta de seguridad física, es importante recalcar que la mayoría de los daños que puede sufrir una organización no será sobre los medios físicos sino contra la información. La seguridad de la información, como se definió anteriormente, es la preservación de las siguientes características: confidencialidad, integridad y disponibilidad y se logra implementando un conjunto adecuado de controles, que abarcan políticas, prácticas, procedimientos, estructuras organizacionales y funciones del software. Entre las medidas de protección de la información esenciales para una institución se encuentra el control de acceso lógico a los recursos. A continuación se abordarán los conceptos fundamentales y las técnicas de control de acceso que pueden emplearse para proteger los sistemas informáticos.

Conceptos fundamentales

Un concepto técnico o lógico de acceso es la interacción entre un sujeto y un objeto que resulta en un flujo de información de uno al otro. El sujeto es la entidad que recibe o modifica la información o los datos contenida en los objetos, puede ser un usuario, programa, proceso, etc. Un objeto es la entidad que provee o contiene la información o los datos, puede ser un fichero, una base de datos, una computadora, un programa, una impresora o un dispositivo de almacenamiento. Estos roles de sujeto y objeto pueden intercambiarse en dos entidades que se comunican para cumplir una tarea, como pueden ser un programa y una base de datos o un proceso y un fichero.

Control de acceso es el proceso de conceder permisos a usuarios o grupos de acceder a objetos, tales como ficheros o impresoras en la red. El control de acceso está basado en tres conceptos fundamentales: identificación, autenticación y autorización.

El control de acceso incluye autenticar la identidad de los usuarios o grupos y autorizar el acceso a datos o recursos. Los controles de accesos son necesarios para proteger la confidencialidad, integridad y disponibilidad de los objetos, y por extensión de la información que contienen, pues permiten que los usuarios autorizados accedan solo a los recursos que ellos requieren para realizar sus tareas.

Técnicas de identificación y autenticación

Se denomina identificación a la acción por parte de un usuario de presentar su identidad a un sistema, usualmente se usa un identificador de usuario. Establece además que el usuario es responsable de las acciones que lleve a cabo en el sistema. Esto está relacionado con los registros de auditorias que permiten guardar las acciones realizadas dentro del sistema y rastrearlas hasta el usuario autenticado.

Autenticación es la verificación de que el usuario que trata de identificarse es válido, usualmente se implementa con una contraseña en el momento de iniciar una sesión. Existen cuatro tipos de técnicas que permiten realizar la autenticación de la identidad del usuario, las cuales pueden ser utilizadas individualmente o combinadas (autenticación de varios factores):

• Algo que solamente el individuo conoce: por ejemplo una contraseña.
• Algo que la persona posee: por ejemplo una tarjeta magnética.
• Algo que el individuo es y que lo identifica unívocamente: por ejemplo las huellas digitales.
• Algo que solo el individuo es capaz de hacer: por ejemplo los patrones de escritura.

La fortaleza de la autenticación es mayor mientras más factores se adicionen, generalmente solo se utilizan hasta 3 factores:

• 1 factor = contraseña
• 2 factores = contraseña + token
• 3 factores = contraseña + token + biometría
• 4 factores = contraseña + token + biometría + localización geográfica (GPS)
• 5 factores = contraseña + token + biometría + localización geográfica + perfil de usuario

Sistemas basados en algo conocido: Contraseñas

Una contraseña o clave es una forma de autenticación que utiliza información que solamente el individuo conoce, o sea secreta, para controlar el acceso hacia algún recurso protegido. Está compuesta por un código alfanumérico y en ocasiones solamente numérico (PIN). Mientras que las contraseñas crean una seguridad contra los usuarios no autorizados, el sistema de seguridad sólo puede confirmar que la contraseña es válida, y no si el usuario está autorizado a utilizar esa contraseña. Esa es la razón por la que las contraseñas normalmente deben mantenerse en secreto ante aquellos a quien no se le permite el acceso.

Como en todas las técnicas de autenticación, existe una relación entre seguridad y conveniencia (facilidad de uso). Es decir, si algún recurso está protegido por una contraseña, entonces la seguridad se incrementa con la consecuente pérdida de conveniencia para los usuarios. No existe un método que sea el mejor para definir un balance apropiado entre seguridad y conveniencia.

La seguridad de las contraseñas se ve afectada por diversos factores que se mencionarán a continuación:

• Fortaleza de la contraseña: deben ser largas, normalmente más de 7 caracteres, y se deben usar combinaciones de letras mayúsculas y minúsculas, números y símbolos. Ejemplos de contraseñas fuertes serían las siguientes: tastY=wheeT34, pArtei@34! y #23kLLflux.

• Formas de almacenar las contraseñas: se debe usar un algoritmo criptográfico irreversible (o función resumen), los más comunes son MD5 y SHA1.

• Método de retransmisión de la contraseña: deben ser transmitidas mediante algún método criptográfico, en el caso de las redes locales se usa con mucha frecuencia Kerberos.

• Longevidad de la contraseña: deben ser cambiadas con cierta periodicidad.

Sistemas basados en algo poseído: Token de seguridad o de autenticación

Distinto a una contraseña, un token de seguridad es un objeto físico, o sea, un pequeño dispositivo de hardware que los usuarios cargan consigo para autorizar el acceso a un servicio de red. El dispositivo puede ser en forma de una tarjeta inteligente o puede estar incorporado en un objeto utilizado comúnmente, como un llavero.

Existe más de una clase de Token de autenticación, están los bien conocidos generadores de contraseñas dinámicas (one time password) y los que comúnmente se denominan tokens USB, los cuales no solo permiten almacenar contraseñas y certificados digitales, sino que permiten llevar la identidad digital de la persona.

Los token proveen un nivel de seguridad adicional utilizando el método conocido como autenticación de dos factores: el usuario tiene un número de identificación personal (PIN), que le autoriza como el propietario del dispositivo; luego el dispositivo despliega un número que identifica en forma única al usuario ante el servicio, permitiéndole ingresar.

Sistemas de autenticación biométrica

A pesar de la importancia de la criptografía en cualquiera de los sistemas de identificación y autenticación de usuarios vistos, existen otra clase de sistemas en los que no se aplica esta ciencia, o al menos su aplicación es secundaria. Parece que en un futuro no muy lejano estos serán los sistemas que se van a imponer en la mayoría de las situaciones en las que se haga necesario autenticar un usuario.

Estos sistemas son más amigables para el usuario, no va a necesitar recordar contraseñas o números de identificación complejos, y como se suele decir, el usuario puede olvidar una tarjeta de identificación en casa, pero nunca olvidará una parte de su cuerpo. Son mucho más difíciles de falsificar que una simple contraseña o una tarjeta magnética; las principales razones por la que no se han impuesto ya en la actualidad es su elevado precio, fuera del alcance de muchas organizaciones, y su dificultad de mantenimiento.

Los sistemas antes mencionados son los denominados biométricos, que se basan en rasgos personales distintivos con capacidad de identificar a una persona. Se clasifican en:

• Fisiológicos: huella dactilar, iris, retina, cara, geometría de la mano, huella palmar, estructura de la venas, estructura de la oreja, termografía facial.

• Conductuales: voz, escritura, firma manuscrita, modo de teclear, modo de andar.

Autorización. Modelos de control de acceso

La autorización es el procedimiento para determinar si el usuario o proceso previamente identificado y autenticado tiene permitido el acceso a los recursos. Se implementa con uno de los siguientes modelos de control de acceso.

Control de acceso obligatorio (MAC)

En este modelo es el sistema quién protege los recursos, comparando las etiquetas del sujeto que accede frente al recurso accedido, o sea, la autorización para que un sujeto acceda a un objeto depende de los niveles de seguridad que tengan, ya que estos indican que permiso de seguridad tiene el sujeto y el nivel de sensibilidad del objeto. Todos los sujetos y objetos del sistema tienen una etiqueta de seguridad que se compone de:

• Una clasificación o nivel de seguridad como un número en un rango, o un conjunto de clasificaciones discretas (Desclasificado, Confidencial, Secreto y Sumamente Secreto).

• Una o más categorías o compartimentos de seguridad como Contabilidad, Ventas, I+D...etc.

Lo anterior se conoce como política de seguridad multinivel pues sigue el modelo de clasificación de la información militar donde la confidencialidad de la información es lo más relevante. Por ejemplo los militares clasifican los documentos en Confidencial, Secreto y Sumamente Secreto, similarmente un individuo puede recibir permisos de seguridad Confidencial, Secreto y Sumamente Secreto y puede acceder a documentos clasificados con un nivel igual o inferior a su nivel de seguridad. Por ejemplo: si a un usuario se le asigna un permiso de seguridad Secreto, este puede acceder a todos los recursos clasificados como Secretos y Confidenciales, pero no podrá acceder a los Sumamente Secretos.

El modelo MAC no ha salido habitualmente del entorno militar, donde la clasificación de la información es lo más relevante.

Control de acceso discrecional (DAC)

El modelo DAC se ha venido usando profusamente en sistemas operativos de propósito general con clasificación de seguridad TCSEC1 C1 o superior, y en virtualmente todos los sistemas de bases de datos y sistemas de comunicaciones de propósito comercial. En este modelo un usuario bien identificado, típicamente el creador o propietario del recurso, decide cómo protegerlo estableciendo cómo compartirlo, mediante controles de acceso impuestos por el sistema. Lo esencial es que el propietario del recurso puede cederlo a un tercero.

En sus inicios estos sistemas eran excesivamente simples, al permitir un conjunto limitado de operaciones posibles sobre un recurso (rwx por propietario, grupo o resto de usuarios, como en Unix), pero rápidamente se añadieron las famosas listas de control de accesos (ACLs), listas de usuarios y grupos con sus permisos específicos.

Ejemplo: El dueño de un recurso, o alguien que tenga asignado privilegios para hacerlo, configura los permisos que determinarán quienes y con que nivel de acceso accederán a ese recurso, ya sea directamente o de forma remota como es el caso de compartir carpetas por la red. Aquí es necesario tener en cuenta proporcionar solo el nivel de privilegio mínimo para que el usuario pueda realizar su trabajo.

Los modelos DAC y MAC por sí solos son inadecuados para cubrir las necesidades de la mayor parte de las organizaciones. El modelo DAC es demasiado débil para controlar el acceso a los recursos de información de forma efectiva, en tanto que el MAC es demasiado rígido. El modelo de control de accesos basado en roles (RBAC), es un intento de unificar los modelos clásicos DAC y MAC, consiguiendo un sistema que impone el control de accesos, pero sin las restricciones rígidas impuestas por las etiquetas de seguridad.

Control de acceso basado en roles (RBAC)

En este modelo a los usuarios le son asignados uno o varios roles mientras que los permisos y privilegios se asignan a estos roles. Por tanto, las políticas de control de accesos basado en roles regulan el acceso de los usuarios a la información en términos de sus actividades y funciones de trabajo (roles), representándose así de forma natural la estructura de las organizaciones. Este modelo permite la construcción jerárquica de estas políticas de acceso, por herencia o especialización, por ello tiene el potencial de reducir la complejidad y el coste de la administración de seguridad en entornos heterogéneos.

Dada la alta integración entre los roles y las responsabilidades de los usuarios, se pueden seguir los principios del mínimo privilegio y de la separación de responsabilidades. Estos principios son vitales para alcanzar el objetivo de integridad, al requerir que a un usuario no se le otorguen mayores privilegios que los necesarios para efectuar su trabajo

El uso de RBAC para administrar los privilegios de los usuarios en un sistema o aplicación es ampliamente aceptado como una practica recomendada. Algunos sistemas como Microsoft Active Directory, SELinux, Solaris, Oracle DBMS, PostgreSQL, y otros, lo implementan de alguna forma.

Fuentes

• Artículo: Seguridad informática. Control de acceso Disponible en: "www.mygnet.com" Consultado: 23 de enero de 2012.

• Rodríguez Berzosa, Luís. Control de accesos: De la era mainframe a las PKI. Disponible en: "www.mygnet.com". Consultado: 23 de enero de 2012.