Single Sign On y Federaciones en las Universidades. Noviembre 2012

Transcripción

1 Single Sign On y Federaciones en las Universidades Noviembre 2012

2 Single Sign On Una interpretación, muy resumida: Sistema en el cual las aplicaciones delegan la autenticación de los usuarios a un servicio externo a ellas, dentro de su misma institución. Federación Concepto semejante al SSO, pero entre distintos dominios (instituciones). La autenticación, en resumen, sirve para comprobar que un usuario es quien dice ser, o que pertenece a un determinado colectivo, a efectos de proporcionarle determinados servicios. Los mecanismos de SSO presentan muchas ventajas en el entorno local, como veremos. Las federaciones, en este mundo en el que los servicios cada vez más se proporcionan a distancia o de unas instituciones a otras, proporcionan una solución al control de acceso a estos servicios.

3 Algunas ventajas de un sistema de Single Sign On Una única pantalla (IdP/AuthenticationServer/...) donde autenticar a los usuarios Eso les proporciona mayor sensación de seguridad, nos permite centrar los mayores esfuerzos de seguridad y protección en este punto, así como implementar sólo aquí formas diversas y avanzadas de autenticación como usuario/clave, certificados, DNIe, etc. Las aplicaciones que requieren autenticación no tienen acceso a las claves Una aplicación que solicita usuario y clave tiene acceso a estos datos. En el caso de aplicaciones programadas y/o mantenidas por personas ajenas esto es un peligro potencial. Con sistemas de SSO, este peligro desaparece. Envío de atributos junto con la aserción de autenticación Muchas aplicaciones no sólo necesitan saber que quien accede es usuario de la institución, sino también otros datos como su nombre o el colectivo al que pertenece, para permitirle una acciones u otras. Algunos sistemas de SSO sólo permiten garantizar la autenticación y no el envío de atributos a las aplicaciones. Así se evita también que la aplicación tenga que acudir a LDAP para obtener otros datos del usuario.

4 Un único punto accede a bases de datos de información de usuarios Para entregar a las aplicaciones datos del usuario como hemos mencionado antes, el punto de autenticación debe ser autorizado a acceder a bases de datos y/o directorios corporativos. Si es un único servicio el que debe ser autorizado, la seguridad y el mantenimiento ante cambios mejora sensiblemente. Posibilidad de pasar aserciones de autenticación a otros dominios En sistemas de SSO multidominio, como las federaciones, aplicaciones alojadas en una institución pueden ser utilizadas por usuarios autenticados en otra. Los usuarios no necesitan autenticarse en cada acceso a una nueva aplicación Puesto que el IdP normalmente recuerda, mediante cookies, que en la misma sesión del navegador del usuario éste ya se ha autenticado previamente, puede responder a peticiones de autenticación sin necesidad de pedir de nuevo al usuario que se autentique. Esto es lo que se suele considerar la principal ventaja de estos sistemas, pero no deja de ser una comodidad para los usuarios, al contrario que los puntos anteriores que suponen ventajas funcionales y de seguridad.

5 Resumen de proceso típico En el primer acceso a una aplicación (~SP) ésta genera una redirección del navegador al IdP, incluyendo en esta URL un parámetro que indica la URL de vuelta. En éste, si se trata del primer acceso, se pedirá autenticación (formulario de usuario/clave, etc.) Se vuelve a redirigir al navegador a la URL de vuelta de la aplicación. Ésta recibe suficientes garantías de que el IdP ha autenticado al usuario y le deja entrar. El primer acceso a otra aplicación provoca redirección al IdP, pero no muestra ya pantalla de login y reenvía a la aplicación. El usuario apenas es consciente de estas redirecciones. Las garantías se obtienen de información que intercambian, criptografía, previo intercambio de certificados o claves públicas, etc.

6 Componentes principales IdP (Identity provider) Presenta al usuario el formulario para introducir su usuario/clave, y/o permite otras formas de autenticación, com certificado digital, DNIe, etc. Normalmente esto ocurre como consecuencia de que el usuario ha intentado acceder a un servicio restringido. Tras autenticar al usuario, redirige a su navegador al servicio al que intentaba acceder, presentando a éste garantías de que ha comprobado su identidad. SP (Service provider) Más o menos equivalente a las aplicaciones Las aplicaciones típicamente sustituyen los campos de entrada usuario/clave por un botón 'Iniciar sesión' El usuario vuelve autenticado y recibimos el username y posiblemente otros atributos

7 Usuarios de la institución o remotos / usuarios de la aplicación El IdP entrega al SP, con la redirección del navegador del usuario tras su autenticación, el username que ha usado para ésta (y opcionalmente otros atributos). La aplicación puede tener que hacer una serie de cosas: Mapear esos usuarios a los internos si no son iguales Puede que tenga que crear una entrada en su base de datos local de usuarios si no existe. Muchas aplicaciones mantienen esta base de datos para almacenar las preferencias del usuario, por ejemplo.

8 Ejemplos de federación en Universidades CONFIA Federación constituida por las 10 universidades públicas andaluzas. Se basa en SAML. Usos: Campus Andaluz Virtual SICA (Sistema de Información Científica de Andalucía) Acceso remoto a aulas de docencia Sistema de videoconferencia Primer caso de uso: Campus Andaluz Virtual: Acceso de estudiantes de una universidad a asignaturas impartidas en otra El IdP pasa a la universidad que imparte el curso la/s asignatuas/s de ella en la que está matriculado. Enroll del usuario en el Aula Virtual de la universidad que imparte el curso

9 Ejemplos de federación en Universidades SIR Federación nacional coordinada por RedIRIS. Utiliza tanto PAPI como SAML. Algunos usos: Acceso a servicios proporcionados por RedIRIS delegando la autenticación a los usuarios autorizados a cada institución (ejemplo: SCS) Proporcionar servicios que monte una universidad a usuarios de cualquier institución afiliada a RedIRIS (por ejemplo, la Consigna de la Universidad de Córdoba) Acceso a servicios proporcionador por proveedores de bases de datos y revistas científicas, en lugar del control de acceso por dirección IP que era lo habitual. Multitud de servicios proporcionados por empresas, como DreamSpark de Microsoft a los que pueden acceder usuarios de las instituciones conectadas a SIR.

10 Software, estándares y protocolos SSO Al ser un servicio local a la institución, no es necesario que esté basado en estándares o protocolos ampliamente extendidos o estandarizados. Hay distintas implementaciones: CAS, PAPI, SAML, Federaciones En este caso se trata de establecer conexiones con otras instituciones, por lo que conviene usar protocolos estandarizados. En este caso el que predomina es SAML Al formar parte de una federación podemos conectar nuestro sistema de SSO con ella, o montar algo distinto, pasarelas, etc. Afortunadamente hay muchas opciones a elegir, aunque el tema puede ser complejo.

11 Aún más allá Los sistemas de SSO son eminentemente de alcance local a una institución. Las federaciones permiten el acceso a muchos servicios entre instituciones y/o empresas proveedoras de servicios, pero cualquier conexión requiere acuerdos y configuraciones previas. En este mundo de redes sociales y la necesidad de acceder a recursos de unos servicios desde otros, eso no es lo suficientemente flexible. Han surgido recientemente tecnologías que complementan (no sustituyen) a las que hemos visto, entre ellas:

12 OpenID En cierto sentido deja la autenticación en manos del usuario, que puede elegir entre diversas formas y proveedores de identidad. Más que proporcionar una identificación del usuario, proporciona con ciertas garantías una forma de correlacionar acciones de una persona (sólo quien se creó tal cuenta en Facebook puede permitir que otros servicios pongan informacón en su muro o tengan acceso a fotos que haya puesto allí) oauth Proporciona una forma de que un servicio pueda acceder a cierta información que proporciona otro. Por ejemplo, un servicio como Flickr pueda accder a las fotos que el usuario tiene en su cuenta de Facebook, pero no a sus mensajes, contactos, etc.)

13 Seguridad y Privacidad Los acuerdos previos, intercambio de certificados, el uso de SSL y firma digital de las transacciones garantiza un alto nivel de seguridad en todas las interacciones. El IdP sólo transmite a los SP/aplicaciones los datos que necesita del usuario. En muchos casos, como la consigna, la aplicación no recibe el username del usuario en su institución, sólo un identificador opaco, único para cada usuario, que permitiría trazar abusos del servicio, lo que únicamente sería posible con la participación de dos instituciones: la que presta el servicio y la de origen del usuario. Consentimiento informado: En las federaciones es habitual implementar un mecanismo por el cual el usuario, tras autenticarse en su IdP y antes de volver al SP, es informado de los datos suyos que se van a transmitir y se le presenta la opción de aceptar o no.

14