control de acceso - universidad técnica federico santa maría€¦ · •ejemplos de estos tipos...

Control de Acceso

Profesor: Víctor Cárdenas Schweiger

2016

Introducción

• El profesional de la seguridad informática debe ser conscientedel control de acceso requisitos y sus medios deimplementación que aseguren la disponibilidad de unsistema, confidencialidad e integridad. En el mundo de la redde computadores, este profesional debe comprender el usodel control de acceso en distribución, así como centralizada ensus diferentes arquitecturas.

• El profesional también debe entender las amenazas,vulnerabilidades y riesgos que son asociados con lainfraestructura del sistema de información, la prevención ymedidas de detectives que están disponibles para hacerlesfrente.

2

Control de Acceso

• La razón fundamental. Controlar el acceso a sistemas deinformación y redes asociadas, esto es necesario para lapreservación de su confidencialidad, integridad ydisponibilidad.

• La confidencialidad asegura que la información no searevelada a personas no autorizadas o procesos.

3

Control de Acceso

• La integridad aborda los siguientes tresobjetivos:

• Prevención de la modificación de lainformación por usuarios no autorizados.

• Prevención de la modificación noautorizada o involuntaria de informaciónpor los usuarios autorizados.

• La preservación de la coherencia internay externa.

4

La preservación de la coherencia interna y externa.

A. La Consistencia interna asegura que los datosinternos sean coherentes. Ejemplo una base dedatos.

B. Consistencia externa asegura que los datosalmacenados en la base de datos este enconsonancia con el mundo real.

5

La Razón Fundamental

• Esta política es una declaración de alto nivel de intenciónde la administración en materia del control de acceso a lainformación y el personal que están autorizados a recibiresa información.

• Hay tres cosas que deben ser consideradas para laplanificación e implementación de acceso:

• Mecanismos de control para evitar las amenazas haciael sistema.

• La vulnerabilidad del sistema a estas amenazas

• El riesgo de que la amenaza se materialice.

6

Definiciones

• Amenaza. Un evento o una actividad que tieneel potencial para causar daño a los sistemas deinformación o redes.

• Vulnerabilidad. Una debilidad o la falta de unagarantía, que puede ser explotada por unamenaza, causando daños a los sistemas deinformación o redes.

• Riesgo. El potencial daño o pérdida de unsistema de información o de la red, laprobabilidad de que una amenaza se materialice. 7

Controles

• Los controles se implementan para mitigar el riesgo yreducir el potencial de pérdida. Los controlespueden ser de carácter preventivo, de detección ocorrección.

8

Controles

• Los controles preventivos se ponen en marcha parainhibir sucesos dañinos.

• Los controles de detección se han establecido paradescubrir ocurrencias perjudiciales.

• Los controles correctivos se utilizan para restaurar lossistemas que son víctimas de ataques dañinos.

• Para aplicar estas medidas, los controles pueden ser decarácter administrativo, lógico o técnico, y físico.

9

Controles Administrativos

Los controles administrativos incluyen:

• Políticas y procedimientos.

• Verificaciones de antecedentes.

• Pautas de trabajo

• Una revisión del historial de vacaciones, y elaumento de supervisión.

10

Controles Lógicos o Técnicos

• Los controles lógicos o técnicos implican larestricción del acceso a los sistemas y laprotección de la información.

• Ejemplos de estos tipos de controles son elcifrado, tarjetas inteligentes, listas de control deacceso y protocolos de transmisión.

11

Controles Físicos

• Los controles físicos incorporan losguardias de seguridad y construcción engeneral, como el bloqueo de las puertas, laobtención de acceso a las salas deservidores o computadores portátiles, laprotección de los cables, la separación defunciones, y la copia de seguridad dearchivos.

12

Modelos para controlar el acceso

Para controlar el acceso de un sujeto (una entidad activa, comoindividuo o proceso) a un objeto (una entidad pasiva, como unarchivo) implica el establecimiento de reglas de acceso. Estasreglas pueden pueden clasificar en tres categorías o modelos:

• Control de Acceso Obligatorio.

• Control de Acceso Discrecional.

• Control de Acceso No-Discrecional.

13

Control de Acceso Obligatorio

• La autorización de acceso de un sujeto a un objeto esdependiente de etiquetas, que indican dependencia delsujeto, y la clasificación o sensibilidad del objeto. Porejemplo, en el ejército. Por lo tanto, los documentosdeben ser necesarios para que esa persona puedacompletar una tarea asignada. Incluso si el individuo seborra para un nivel de clasificación de información, amenos que exista una necesidad de saber, el individuo nodebe tener acceso a la información.

14

Control de acceso discrecional

• El sujeto tiene la autoridad, dentro de ciertos límites,para especificar qué objetos pueden ser accesibles.Por ejemplo, las listas de control de acceso pueden serutilizadas. Este tipo de control de acceso se utiliza ensituaciones en las dinámicas locales, donde los sujetosdeben tener la discreción para especificar qué recursosestán autorizados para que accedan ciertos usuarios.Cuando un usuario, dentro de ciertas limitaciones,tiene el derecho de modificar el control de acceso aciertos objetos, esto se denomina como dirigido por elusuario de control de acceso discrecional.

15

Control de acceso no discrecional

• Una autoridad central determina qué materias puede teneracceso a ciertos objetos sobre la base de la política deseguridad de la organización. El acceso, los controles puedenestar basados en el papel del individuo en la organización(basado en roles) o en las responsabilidades del sujeto yobligaciones (basado en tareas). En una organización dondehay cambios frecuentes de personal, no discrecional decontrol de acceso es útil porque los controles de accesos sebasan en el papel del individuo o el título dentro de laorganización. Estos controles de acceso no tiene que sercambiado cada vez que una nueva persona se hace cargo deque papel.

16

Combinaciones de ControlMediante la combinación de controles preventivos y

de detección, la técnica administrativa, (lógico), y los mediosfísicos de aplicación, se obtienen las siguientes parejas:

• Preventiva/administrativa

• Preventiva/técnica

• Preventiva/física

• Detective/administrativa

• Detective/técnica

• Detective/física

Estas seis parejas y de los elementos clave que estánasociados con su control son los mecanismos que se discutena continuación.

17

Preventiva/Administrativa

En este emparejamiento, se hace hincapié en los mecanismosque apoyan el control de acceso .

• Estos mecanismos incluyen las políticas de organización yprocedimientos, antes del empleo.

• Verificación de antecedentes

• Prácticas estrictas de contratación, los acuerdos de empleo,procedimientos por término de contratos.

• La programación de vacaciones

• Etiquetado de materiales sensibles

• El aumento de la supervisión, la formación, la conciencia deseguridad, el comportamiento, sensibilización

• Registrar los procedimientos para obtener acceso a lossistemas de información y las redes. 18

Preventiva/Técnica

• Utiliza la tecnología para hacer cumplir las políticas decontrol de acceso. Estos controles técnicos son conocidostambién como controles lógicos y pueden serincorporados en el sistema operativo, puede seraplicaciones de software, o puede ser hardware. Algunosde los controles típicos de prevención / técnicas sonprotocolos de cifrado, tarjetas inteligentes, biometría(para la autenticación), locales y remotos acceso apaquetes de software de control,los sistemas de call-back, las contraseñas, las interfacesde usuario, los menús limitados y el software dedetección de virus. 19

Preventiva/Técnica

Algunos ejemplos son:

• Protocolos de cifrado.

• Tarjetas inteligentes

• Biometría (para la autenticación),

• Acceso Local y remoto a controles de software.

• Los sistemas de call-back

• Las contraseñas, las interfaces de usuario, losmenús limitados y el software de detección devirus. 20

Preventiva/Física

• Muchas de las medidas preventivas / física sonintuitivas. Estas medidas están destinadas arestringir el acceso físico a las áreas con sistemasque contienen información sensible. La área ozona a proteger está definido por un perímetrode seguridad circular que se encuentra bajocontrol de acceso.

21

Preventiva/Física

• Los controles preventivos / física incluyen vallas, chapas,puertas múltiples (una el hombre-trampa que consiste en dospuertas separadas físicamente de forma que un individuopuede ser "Atrapado" en el espacio entre las puertas despuésde entrar en una de las puertas), tarjetas de banda magnéticaspara el ingreso, biometría (para la identificación), guardias,perros, el control ambiental sistemas (temperatura, humedad,y así sucesivamente), y la creación y el diseño de área deacceso. Las medidas preventivas / físico también se aplican alas zonas que se utilizan para el almacenamiento de losarchivos de datos de copia de seguridad.

22

Detective/Administrativa

• Se superponen con los controles preventivos / administrativaporque se puede aplicar para la prevención de futurasviolaciones de directiva de seguridad o para detectarviolaciones existentes. Ejemplos de estos controles son laspolíticas de organización y procedimientos, verificaciones deantecedentes, la programación de las vacaciones, eletiquetado de productos sensibles, una mayor supervisión, lacapacitación acerca de la seguridad, el comportamiento y laconciencia. Ejemplos son la rotación de puestos, elintercambio de responsabilidades, y las revisiones de losregistros de auditoría.

23

Detective/Técnica

• Tienen la intención de revelar las violaciones de lapolítica de seguridad, utilizando los medios técnicos.Estas medidas incluyen la detección de intrusiones a lossistemas y generados automáticamente. Los informes deviolación de la información en base a auditorías. Estosinformes se pueden indicar las variaciones defuncionamiento "normal" o detectar acceso noautorizados.

24

Detective/Técnica

• Por ejemplo, el registro de los intentos de conexión en unaestación de trabajo. Por lo tanto, tres o mas intentos por unindividuo en una estación de trabajo se informa como unaviolación, lo que elimina la necesidad de revisar el log-normalde los errores de entrada. Debido a la importancia de lainformación de auditoría, los registros de auditoría deben serprotegidos en el más alto nivel de sensibilidad en el sistema.

25

Detective/Física

• Por lo general requieren un ser humano para evaluar laentrada de los sensores o cámaras para determinar si existeuna amenaza real. Algunos de estos tipos de control sondetectores de movimientos, detectores térmicos y cámaras devideo.

26

Identificación y Autenticación

Son las piedras angulares de la mayoría de los sistemas decontrol de acceso. La identificación es el acto de un usuarioprofesando una identidad a un sistema, generalmente en formade un registro un ID para el sistema. La identificación seestablece la rendición de cuentas de usuario para las acciones enel sistema. La autenticación es la comprobación de que laidentidad declarada del usuario es válida y normalmente seimplementa a través de una contraseña de usuario en el registroen el tiempo.

27

Identificación y Autenticación

La autenticación se basa sobre los tipos de factores los tressiguientes:

• Tipo 1. Algo que sabes, como un PIN o contraseña.• Tipo 2. Algo que tiene, como una tarjeta ATM o una tarjeta

inteligente.• Tipo 3. Algo de lo que son (físicamente), como una huella

digital o escáner de retina.

A veces, un cuarto factor, algo que se hace, se añade a esta lista.Algo que se hace se puede escribir el nombre o otras frases en unteclado. Por el contrario, algo que no puede ser consideradocomo algo que usted es. Autenticación de dos factores se refiereal acto de exigir dos de los tres factores que utilizado en elproceso de autenticación. Por ejemplo cajero automático,requiere la tarjeta y el PIN.

28

Identificación de Usuarios

• Se define como el conjunto de cualidades únicase irrepetibles que le permiten distinguir de otros.

• Los identificadores de los usuarios pueden serintrínsecos o extrínsecos.

29

Identificadores Intrínsecos

• Del ADN de la Persona.

• Fondo del Ojo.

• Iris.

• Huellas dactilares.

• Fisonomía de las manos.

• Rasgos faciales.

• Timbre de voz.

• Cinemática de la Firma Manuscrita.

• Olor corporal.

30

Identificadores Extrínsecos

• PIN’s.

• Contraseñas (Passwords).

• Firma manuscrita.

• Número de cuenta bancaria.

• Tarjeta inteligente.

• Terminal desde el que se conecta el usuario.

31

Identificación de Usuarios

Los elementos utilizados para identificar a unusuario pueden ser:

• Lo que sabe: contraseñas(passwords),PIN’s

• Lo que se posee (token): tarjeta de crédito,tarjeta inteligente, teléfono móvil, llaveUSB(pendrive).

• Lo que es: características biométricas delindividuo.

• Lo que sabe hacer: firma manuscrita.32

Contraseñas• Las contraseñas pueden ser comprometidas y deben

ser protegidas. En el caso ideal, una contraseña sólodebe usarse una vez. Este "One-Time Password"proporciona la máxima seguridad porque una nuevacontraseña se requiere para cada nuevo inicio desesión.

• Una contraseña que es la misma para cada inicio desesión se llama contraseña estática.

• Una contraseña que cambia con cada inicio desesión se denomina una contraseña dinámica.

33

Contraseñas

• El cambio de contraseñas también puede caer entreestos dos extremos.

• Las contraseñas pueden ser obligadas a cambiar demanera mensual, trimestral o en otro intervalos,dependiendo de la criticidad de la información quenecesita protección y las frecuencia de uso decontraseña.

• Obviamente, cuanto más veces se utiliza una contraseña,la probabilidad aumenta el compromiso de la seguridad.

34

Contraseñas

Estos tipos de fichas son ejemplos de algo que usted tiene. Unatarjeta de cajero automático es un elemento que almacena suinformación específica. Las tarjetas inteligentes proporcionan unacapacidad aún más por la incorporación de potencia deprocesamiento adicional en la tarjeta. Los siguientes son loscuatro tipos de las tarjetas inteligentes:

• Tokens de contraseñas estáticas.

• Tokens contraseña dinámica síncrona.

• Tokens asíncronos contraseña dinámica

• Challenge-response tokens

35

Tokens de contraseñas estáticas.

• El propietario o se autentica en el token.

• El símbolo autentica al propietario a un sistema de información.

36

Tokens contraseña dinámica síncrona• El símbolo genera un nuevo valor de contraseña única en el

intervalo de tiempo (la contraseña puede estar cifrada conuna clave secreta).

• La única contraseña se introduce en un sistema oestación de trabajo junto con el PIN de un propietario.

• La entidad o la autenticación en un sistema o estación detrabajo conoce la clave secreta de un propietario y su PIN, y laentidad verifica que la contraseña introducida es válida y quese ha introducido en la ventana de tiempo válido.

37

Tokens asíncronos contraseña dinámicaEste esquema es similar al esquema de contraseña dinámicasincrónica, a excepción de la nueva contraseña se generan demanera asincrónica y no tienen que ajustarse a una ventana detiempo para la autenticación.

38

Desafío-respuesta tokens

En todos estos esquemas, un dispositivo de autenticación defront-end y un back-end de autenticación por el servidor, que daservicio a varias estaciones de trabajo o la Parte anfitriona, puederealizar la autenticación. Un ejemplo es la tecnología GSM que laclave esta almacenada en la SIM. Otro ejemplo es un acceso a unsitio web que no tiene permiso de acceso el usuario anonymous.

39

Biométricos

Una alternativa al uso de contraseñas para la autenticación en elacceso lógico o técnico al control, es la biometría. Biometría sebasan en el mecanismo de autenticación Tipo 3 - algo que ustedes. Biometría se define como un medio automático deidentificación o autenticar la identidad de una persona vivasobre la base fisiológica o de comportamiento, características.

40

Biométricos

En la biometría, la identificación es un "uno-a-muchos" labúsqueda de características de un individuo en una base dedatos de imágenes almacenadas. Autenticación en la biometríaes un "One to - one "búsqueda para verificar un reclamo de unaidentidad hecha por una persona. Biometría se utiliza paraidentificación en los controles físicos y para la autenticación delos controles lógicos.

41

Biometría

• Reconocimiento de Voz

Los sistemas basados en el reconocimiento de voz son bastantesconocidos. Ya sea para dictar trabajos al computador comoViaVoice de IBM. O para dar ejecución de comandos a losteléfonos móviles de hoy en día.

42

Reconocimiento de Voz

• Este sistema se basa en el reconocimiento de voz. Utiliza latécnica de análisis espectral de las ondas sonoras que emiteun individuo.

• Para una mejor grabación debe existir un ambiente libre deruido.

• Se puede adulterar la voz y hackear (replay attack) el sistemacon un dispositivo llamado magnetófono o también un celularmoderno.

43

Biometría

• Reconocimiento de firma manuscritas

No solo se limitan a reconocimiento de verificación estática. Sinotambién otros aspectos como:

• Tiempo empleado por la persona.

• Número de veces que se separa el bolígrafo del papel.

• Ángulo que se realiza en cada trazo.

• Presión ejercida en los cambios de sentidos.

44

Reconocimiento de Firma Manuscrita• En este sentido ya se ha creado un lápiz biométrico, creado

por la compañía Secure Signature Systems. El cual incorporavarios sensores capaces de registrar y comparar de la formaque realiza la firma.

45

Biometría

• Huellas Dactilares

La huella dactilar de una persona ha sido un patrón bastante buenopara determinar su identidad.

Cada huella se compone de:

• Segmentos curvos.

• Arcos.

• Remolinos(más conocidos como minucias).

46

Tipos de Lectores

47

48