Segundo Factor de Autenticación en la USAL LATCH

Transcripción

1 Segundo Factor de Autenticación en la USAL LATCH AUTORES: Inmaculada Bravo García Reyes Hernández Rodríguez INSTITUCIÓN: Unidad de Servicios de Red Servicios Informáticos C.P.D. UNIVERSIDAD DE SALAMANCA

2 Agenda: Situación actual en la Universidad de Salamanca Contraseñas expuestas a riesgos Solución planteada Opciones evaluadas y solución adoptada LATCH: descripción, uso e integración en adas RoadMap Resumen Preguntas

3 Situación actual en la USAL Gestión de credenciales en el Directorio Corporativo Acceso a la mayoría de los recursos a través de nuestro SSO

4 Situación actual Acceso a todos los recursos a través del par Usuario/contraseña Recursos sensibles: Actas de notas, correo... rf822mailmember: usuario userpassword: e1ntsef9vdnvuegrsg5vn2xpuxpv... CONTRASEÑAS EXPUESTAS A RIESGOS

5 Pasos previos en protección de las contraseñas Securización del directorio OpenLDAP Proyecto OpenLDAP Baseline Security Analyzer Presentado en las JT-RedIRIS de 2009 en Santiago de Compostela Ampliado y generalizado en el grupo GT-Identidad Implementamos una Política de contraseñas Promovimos y financiamos el desarrollo de un software Libre de SSO: adas Presentado en las JT-RedIRIS de 2010 en Córdoba

6 Contraseñas continúan expuestas a riesgos: Contraseñas débiles, no cambiadas desde hace años, reutilización de contraseñas para otros servicios... Ataques de Phishing Virus, troyanos, keylogers, USB infectados... etc. No podemos garantizar, y tener la absoluta tranquilidad de que las contraseñas de nuestros usuarios no estén comprometidas. PROBLEMA: Contraseñas robadas.

7 Consecuencias del robo de contraseñas: Envío de SPAM desde su cuenta (ser listados en RBL, etc) el año pasado bloqueamos mas de 300 cuentas Suplantación de Identidad Robo o modificación de datos (p.e. leer el correo, cambiar actas) Sensación de inseguridad e incertidumbre de los usuarios Mala imagen de la Universidad y del C.P.D. Posibles reclamaciones Litigios Etc.

8 Solución planteada: Securizar el proceso de Autenticación a través de un Segundo Factor de Autenticación Proporcionar una herramienta fácil y cómoda de utilizar, que sea bien acogida por el usuario Que funcione en cualquier tipo de equipo, sin necesidad de dispositivos especiales como lectores de tarjetas Compatible con el sistema actual de autenticación Fácil de implementar y mantener Informar al usuario si alguien ha intentado utilizar sus credenciales correctas, es decir su contraseña esta comprometida Que el usuario se sienta implicado en la seguridad de su Identidad Digital

9 Opciones evaluadas: EDNI: autenticación soportada en adas. Realidad: No se utiliza. Carné universitario: la complejidad, la imposibilidad de utilizar desde cualquier dispositivo. Certificados: la complejidad, además el usuario utiliza sus servicios digitales desde múltiples dispositivos: donde almacenaría su certificado privado de manera segura. Token OTP: a través de SMS, una buena opción, pero requiere el esfuerzo extra de incorporar el código cada en autenticación, o si se almacena un equipo como seguro, desde él no se vuelve a solicitar, punto de inseguridad. LATCH

10 Solución adoptada: Cumple nuestros requisitos iniciales Aporta el nivel extra de seguridad que buscamos Fácil y cómodo de utilizar para el usuario, se maneja con un simple gesto en su móvil y no precisa dispositivos especiales Compatible con nuestro SSO adas Fácil de implementar y de mantener gracias a las herramienta que nos proporciona ElevenPath: Plugins y SDKs y soporte técnico Panel de control con estadísticas de uso Herramienta de soporte, desbloqueos manuales Latch Satellite: servidor Latch en local para agilizar las consultas Anonimato de nuestros usuarios en la nube de LATCH Disminuimos notablemente los riesgos asociados a las contraseñas de nuestros usuarios

11 LATCH Descripción Como se utiliza Integración en adas

12 Qué es LATCH? La idea principal es limitar el tiempo de exposición de los servicios Los servicios están activos 24x7x365 Solo usamos nuestras identidades un breve espacio de tiempo Las cuentas deberían poder apagarse ( pestillo en inglés) es una app para smartphones, desarrollada por ElevenPaths una start-up de Telefónica Digital. Permite bloquear el acceso a aplicaciones o planificar el bloqueo durante ciertas horas al día. Un intento de acceso a una aplicación bloqueada, con credenciales correctas, se deniega el acceso y se envía una alerta al smartphone del usuario para que tome las medidas adecuadas. También permite opcionalmente configurar OTP(One Time Password) a cada servicio.

13 Como se utiliza 1º El usuario PAREA su identidad en la USAL con LATCH PASO 1: Obtener una cuenta de Latch PASO 2: Descargar la aplicación en su móvil y solicitar un nuevo código PASO 3: Introducir este código en la aplicación de la USAL MisDatos

14 Como se utiliza 2º Gestionar los bloqueos de sus aplicaciones Deslizando el interruptor de bloqueo Programar autobloqueo tras un periodo de tiempo programar el bloqueo durante ciertas horas al día

15 Como se utiliza 3º Recibir alertas En de un intento de acceso a una aplicación bloqueada, se deniega el acceso y el usuario recibirá esta alerta en su smartphone

16 Integración de Latch en adas 1º En ElevenPaht: Utilizamos el SDK para PHP para integrar Latch en adas Creamos una cuenta de desarrollador de LATCH Añadimos la aplicación idusal Incluimos 4 operadores uno por cada aplicativo a proteger independientemente (Correo, MiUSAL, MisDatos, Studium)

17 Integración de Latch en adas 2º En MisDatos: Es una aplicación interna de la USAL, en php, donde el usuario accede a los datos de su perfil, puede modificar alguno, cambiar su contraseña, acceder a informes de sus accesos y seguimiento de correos enviados y recibidos. Incluimos la capacidad para que el usuario conecte o bien desconecte su identidad de la USAL con Latch Se programan las funciones necesarias usando el SDK para php de Latch

18 Integración de Latch en adas 3º En OpenLDAP: Incluir nuevo atributo usallatch, en el esquema personalizado usal.schema. Qué ocurre durante el proceso de Pareado en el sistema? El servidor de Latch envía a la aplicación MisDatos el LATCH del usuario es un hash de 64 caracteres. Se almacena en el directorio como un atributo más del usuario.

19 Integración de Latch en adas 4º En adas Opción de programar callback, para recuperar y tratar atributos en cada llamada de autenticación o autorización. Utilizando las librerías SDK para php de Latch, programamos una función para que enviando el atributo usallatch, en caso de que este exista, recuperar el estado de la operación para ese usuario. Módulo de autorización: que utilizamos para permitir o denegar el acceso dependiendo del estado devuelto.

20 El usuario gestiona desde su móvil el estado de sus aplicaciones. Cuando el usuario accede a una aplicación protegida con Latch, adas comprueba si esta pareado y si lo está, solicita su estado en la nube de Latch.

21 Integración de Latch en adas 5º Comunicación y Ayuda de Latch: Web de ayuda Vídeo tutorial Manual paso a paso, creado por ElevenPath Se publicó en el boletín institucional Se hizo una presentación a los técnicos de aulas y al CAU, ya que son el colectivo mas cercano al usuario final Se enviará mail personalizado al PDI cuando inicie el proceso de gestión de actas

22 RoadMap Delegar en nuestro CAU la gestión de los latches de los usuarios Incluir la opción para que el usuario configure un OTP en el acceso a sus aplicaciones, además del bloqueo o desbloqueo Integrar el correo de la USAL migrado a Google, hasta el momento hemos migrado a los alumnos Integrar servidores OpenLDAP, destinados al servicio de correo, con Latch para permitir bloquear también el correo POP Instalar en la USAL un servidor Satellite de Latch, para agilizar las consultas al realizarse en local Continuar la política de comunicación a los usuarios para conseguir que lo utilicen masivamente.

23 EN RESUMEN: La Universidad de Salamanca ha implementado LATCH en su servicio de autenticación, para proporcionar al usuario que lo requiera, un nivel extra de seguridad en su identidad digital, aportándole mayor control y tranquilidad.

24 Alguna pregunta? Muchas gracias por vuestra atención Inmaculada Bravo García, Reyes Hernández Rodríguez, Tf: ext 1347 Servicios de red, Servicios Informáticos, C.P.D. Universidad de Salamanca