Seguridad en Redes. Módulo 1 Control de acceso. Carlos A. Rojas Kramer UCC

Transcripción

1 Seguridad en Redes Módulo 1 Control de acceso Carlos A. Rojas Kramer UCC

2 Agenda Identificación y autenticación. Autorización, derechos y permisos. Modelos de control de acceso. Técnicas y dispositivos para control de acceso. Ataques comunes y medidas defensivas. 2

3 Control de acceso En un sistema de información y redes asociadas, el control de acceso es necesario para preservar la integridad, la confidencialidad y la disponibilidad. La idea fundamental es permitir las operaciones en el sistema únicamente a las entidades autorizadas (personas o programas). 3

4 Identificación y autenticación 4

5 Identificación Identificación es el acto que realiza un usuario al manifestar una identidad ante el sistema. Usualmente se realiza proporcionando al sistema un logon id. Establece al usuario responsable ante sus acciones en el sistema. 5

6 Autenticación Autenticación es la verificación de que la identidad que el usuario ha manifestado es válida. Usualmente se implementa mediante una contraseña requerida para el acceso. 6

7 Factores de autenticación Hay tres tipos de factores de autenticación: Tipo 1. Algo que el usuario conoce, como una contraseña o un PIN. Tipo 2. Algo que el usuario posee, como una tarjeta bancaria o una smartcard. Tipo 3. Algo que el usuario es (físicamente), como una huella digital o un patrón de retina. 7

8 Autenticación por 2 factores La autenticación por dos factores se refiere al acto de requerir dos de los tres factores para realizar el proceso de autenticación. Ejemplo: para retirar dinero en un cajero automático se requiere de la tarjeta y del PIN. 8

9 Autorización, derechos y permisos 9

10 Derechos o permisos Son permisos o derechos los privilegios concedidos a un sujeto para realizar acciones definidas sobre uno o más objetos. Los permisos deben expresar de manera fiel la política de seguridad a ser aplicada. Deben corresponder adecuadamente con la naturaleza de los objetos y sujetos. 10

11 Autorización Es el acto mediante el cual se entrega a un sujeto el permiso oficial para ser o hacer algo. Los mecanismos de control de acceso son responsables de verificar que los sujetos tienen los permisos requeridos para realizar las acciones, e impedirlas en caso de no satisfacer esta condición. 11

12 Modelos de control de acceso 12

13 Controles Los controles son implementados para mitigar riesgos y reducir el potencial de pérdida o daño. Dan al usuario responsabilidad por sus acciones, aplicando identificación y autenticación, y deben instrumentarse mediante mecanismos precisos y acordes con las políticas de seguridad. 13

14 Clasificación estratégica Pueden definirse tres diferentes estrategias de control: 1) Controles Preventivos: su finalidad es evitar eventos dañinos. 2) Controles Detectivos: se establecen para descubrir eventos dañinos. 3) Controles Correctivos: utilizados para recuperar sistemas víctimas de ataque. 14

15 Implementación de controles La instrumentación de los controles puede dividirse en tres formas básicas: 1) Administrativa: incluye procedimientos y políticas, concientización, revisiones y supervisión. 2) Lógica (o técnica): restricciones de acceso y protección de la información, como smartcards, encriptamiento, ACLs, protocolos, etc. 3) Física: incluye guardias y protección a edificios, puertas de seguridad, etc. 15

16 Modelos de control de acceso Existen tres modelos básicos, que difieren en la forma en que se definen las reglas: 1) Control de acceso obligatorio. 2) Control de acceso discrecional. 3) Control de acceso no discrecional. 16

17 C. de A. obligatorio Objetos y sujetos son etiquetados. Las etiquetas definen el nivel de autorización para los sujetos y el nivel clasificación (o sensitividad) para los objetos. Se definen reglas de correspondencia para estas etiquetas, acordes con la política de seguridad. Se aplican restricciones basadas en las necesidades (need to know). Típicamente es basado en reglas. 17

18 C. de A. discrecional Un usuario puede, dentro de ciertos límites, especificar qué objetos pueden ser accesibles. Típicamente es regulado por ACLs. Es útil en situaciones dinámicas. Puede ser: dirigido al usuario, dirigido al objeto, o híbrido. 18

19 C. de A. no discrecional Una autoridad central determina qué sujetos pueden accesar qué objetos, en base a la política de seguridad de la organización. Suelen ser de uno de tres tipos: 1) Basado en roles. 2) Basado en tareas. 3) De rejilla. 19

20 Técnicas y dispositivos para control de acceso 20

21 Mecanismos de C. de A. Passwords Challenge response Smart cards Biometría Single Sign-On Tickets 21

22 Passwords Las passwords pueden verse comprometidas. Deben protegerse. Caso ideal: usar una sola vez = password dinámica. Caso opuesto: password estática. En el punto medio: cambios periódicos. Passphrase => convertida por el sistema en una password virtual. 22

23 Recomendaciones Si han de usarse passwords estáticas: Evitar passwords cortas. Usar mayor alfabeto posible. Evitar palabras de diccionario. Cambiar con frecuencia. Nunca escribirlas!! 23

24 Challenge response Opera en tres pasos simples: 1) El sistema entrega al usuario un valor distinto cada vez (este valor puede ser aleatorio). 2) El usuario realiza una operación usando este valor y su contraseña, y lo entrega al sistema. 3) El sistema autentica en base al resultado. 24

25 Challenge response (cont) Satisface dos objetivos específicos: 1) La contraseña nunca es entregada. 2) Es resistente a ataques de réplica. Es seguro para usarse en sistemas en red. Ejemplo: CHAP. 25

26 Smart cards También conocidas como tokens, las hay de 4 tipos: 1) De password estático. 2) De password dinámico síncrono. 3) De password dinámico asíncrono. 4) De respuesta a reto (challenge response). 26

27 Biometría Autenticación basada en algo que el usuario es (tipo 3). Biometría = medio automático para autenticar a una persona en base a características fisiológicas o conductuales. 27

28 Ejemplos de biometría Huella dactilar. Reconocimiento de retina. Reconocimiento del iris. Reconocimiento de la voz. Palma de la mano. Geometría de la mano. Morfología facial. Dinámica de la escritura. 28

29 Medidas de performance Hay tres medidas básicas del performance de sistemas biométricos: 1) False Rejection Rate (FRR) 2) False Acceptance Rate (FAR) 3) Crossover Error Rate (CER) 29

30 Single Sign-On Single Sign-On o autenticación única permite a un usuario que se ha autenticado ante un componente del sistema (o red de sistemas) accesar otros componentes o sistemas relacionados sin autenticarse cada vez. 30

31 Pros y contras de SSO Ventajas: Mayor facilidad para el usuario. Administración más simple. Desventaja principal: Si un atacante logra acceso a un sistema o componente, gana acceso a los otros. 31

32 Tickets Los usuarios son autenticados por una entidad central y especializada. La entidad emite tickets que permiten a otros sistemas validar la identidad del usuario sin requerir un repositorio local de información para ello. Son ejemplos los sistemas Kerberos, SESAME y KriptoKnight. 32

33 Ataques comunes y medidas defensivas 33

34 Ataques comunes Existen diversos métodos de ataque, siendo los más comunes: 1) Fuerza bruta. 2) Negación de servicio (DoS). 3) Spoofing. 4) Sniffing. 34

35 Fuerza bruta El atacante intenta una a una las posibles combinaciones de contraseña hasta que encuentra la correcta. Romper una contraseña es simple cuestión de tiempo!! Una forma específica son los ataques de diccionario. 35

36 Negación de servicio El objetivo del atacante no es ingresar al sistema, sino impedir que otros lo hagan. Considere el siguiente caso: Un sistema, a fin de dificultar ataques de fuerza bruta, bloquea automáticamente una cuenta para la que se ha excedido cierto número de intentos de accesos fallidos. El atacante bloquea con facilidad todas las cuentas que conoce. 36

37 Spoofing Spoofing consiste en una falsa identificación. Un sistema de control de acceso que basa la autenticación exclusivamente en un dispositivo (llave, gafete, tarjeta) es vulnerable a este tipo de ataque. La solución es simple: control de acceso de multinivel (ejemplo: tarjeta y password). 37

38 Sniffing Sniffing consiste en espiar el medio, lo cual constituye un ataque pasivo. Los sistemas que transmiten passwords en claro (sin encriptar) son vulnerables ante este tipo de ataque. Algunas aplicaciones populares adolecen de este defecto. Ejemplos: telnet y FTP. 38

39 Medidas defensivas Para lograr una buena defensa hay que entender las estrategias de ataque y anticipar adecuadamente aún aquello que no podemos imaginar. 39

40 Métodos de defensa Tres estrategias deben aplicarse en conjunto para lograr la mejor defensa: 1) Aplicar mecanismos de control de acceso adecuados para el sistema, la red y la política de seguridad. 2) Establecer sistemas de detección de intrusiones, para descubrir expeditamente los casos donde los controles han fallado. 3) Realizar pruebas de los controles. 40

41 IDS IDS = Intrusion Detection System. Un IDS es un mecanismo de monitoreo. Observa y registra eventos en la red y los sistemas. Tiene la capacidad de generar alarmas cuando un evento viola la política de seguridad. 41

42 IDS (cont) Hay dos tipos de IDS: HIDS = Host-based IDS NIDS = Network-based IDS Los NIDS son generalmente menos especializados, pero pueden servir para una multitud de sistemas en una red. 42

43 Penetration testing Es una forma de poner a prueba los controles de acceso. Consiste en ubicarse en la posición del atacante (por ejemplo: desde la internet, conociendo relativamente poco), y realizar intentos esmerados por violar los controles de acceso. Ayuda a identificar deficiencias de seguridad antes que los atacantes lo hagan. 43

44 Security Assesment Similar a penetration testing, pero la información conocida para realizar el ataque es más amplia. Incluso, el ataque puede realizarse con acceso pleno a todos los sistemas clave. Se consideran los casos de pérdida de seguridad, y lo que interesa más es identificar controles adicionales requeridos. 44

45 Bitácoras y auditorías La revisión regular de las bitácoras es una práctica que permite identificar situaciones que revelan ineficacia de los controles, así como fuentes de ataque (exitosas o no). Las auditorías tienen un propósito que va más allá: evaluar si las políticas de seguridad son adecuadas o no. 45