Control de acceso

Control de acceso

Control de Acceso. Es el proceso de conceder permisos a usuarios o grupos de acceder a objetos tales como ficheros o impresoras en la red. El control de acceso está basado en tres conceptos fundamentales: identificación, autenticación y autorización.

Definición

En términos técnicos o lógicos el acceso es la interacción entre un sujeto y un objeto que resulta en un flujo de información de uno al otro. El sujeto es la entidad que recibe o modifica la información o los datos contenidos en los objetos, puede ser un usuario, programa, proceso, etc. Un objeto es la entidad que provee o contiene la información o los datos, puede ser un fichero, una base de datos, una computadora, un programa, una impresora o un dispositivo de almacenamiento.

Incluye autenticar la identidad de los usuarios o grupos y autorizar el acceso a datos o recursos. Los controles de accesos son necesarios para proteger la confidencialidad, integridad y disponibilidad de los objetos, y por extensión de la información que contienen, pues permiten que los usuarios autorizados accedan solo a los recursos que ellos quieren para realizar sus tareas.

Técnicas de identificación y autenticación

Identificación es la acción por parte de un usuario de presentar su identidad a un sistema, usualmente se usa un identificador de usuario. Establece que el usuario es responsable de las acciones que lleve a cabo en el sistema. Esto está relacionado con los registros de auditorías que permiten guardar las acciones realizadas dentro del sistema y rastrearlas hasta el usuario autenticado.

Autenticación es la verificación de que el usuario que trate de identificarse es válido, usualmente se implementa con una contraseña en el momento de iniciar una sección. Existen 4 tipos de técnicas que permiten realizar la autenticación de la identidad del usuario, las cuales pueden ser utilizadas individualmente o combinadas (Autenticación de varios factores):

1. Algo que solamente el individuo conoce: ejemplo una contraseña.
2. Algo que una persona posee: ejemplo un tarjeta magnética.
3. Algo que el individuo es y que lo identifica unívocadamente: ejemplo las huellas digitales.
4. Algo que solamente el individuo es capaz de hacer: ejemplo los patrones de escritura.

Sistemas basados en algo conocido: contraseña

Las contraseñas crean una seguridad contra los usuarios no autorizados, el sistema de seguridad solo puede confirmar que la contraseña es válida, y si no el usuario está autorizado a utilizar esa contraseña. Es la razón por la que normalmente deben mantenerse en secreto ante aquellos a quien no se le permite el acceso.

La seguridad de las contraseñas se ve afectadas por diversos factores:

1. Fortaleza de la contraseña: deben ser largas, normalmente más de 7 caracteres, y se deben usar combinaciones de letras mayúsculas y minúsculas, números y símbolos.
2. Forma de almacenar las contraseñas: se debe usar un algoritmo criptográfico irreversible (u función resumen), los más comunes son MD5 y SHA1.
3. Método de retransmisión de la contraseña: Deben ser transmitida mediante algún método criptográfico, en el caso de las redes locales se usa con mucha frecuencia Kerberos.
4. Longevidad de la contraseña deben ser cambiada con cierta periodicidad.

Sistemas basados en algo poseído: token de seguridad o de auntenticación

El dispositivo puede ser en forma de una tarjeta inteligente o puede estar incorporando en un objeto utilizado comúnmente, como un llavero.

Existe más de una clase de token de auntenticación, están los bien conocidos generados de contraseñas dinámicas (one time password) y los que comúnmente se denominan tokens USB, los cuales no solo permiten almacenar contraseñas y certificados digitales, sino que permiten llevar la identidad digital de la persona.

Los tokens proveen un nivel de seguridad adicional utilizando el método conocido como auntenticación de dos factores.

Sistemas de auntenticación biométrica

Estos sistemas son más amigables para el usuario, no va a necesitar recordar contraseñas o números de identificación complejos, y como se suele decir, el usuario puede olvidar una tarjeta de identificación, pero nunca olvidará una parte de su cuerpo. Son mucho más difíciles de falsificar que una simple contraseña o una tarjeta magnética.

Se clasifican:

1. Fisiológicos: huella dactilar, iris, retina, cara, geométrica de la mano, huella palmar, estructuras de las venas, estructura de la oreja, termografía facial.
2. Conductuales: Voz, escritura, firma manuscrita, modo de teclear, modo de andar.

Fuentes

• "Control de accesos: de la era mainframe a las PKI", Luis Rodríguez Berzosa, IEC
• "Autenticación a Usuarios", IRIS-CERT, Rediris
• "Seguridad Informática. Capítulo 4 Control de acceso", Martin R. Mondragón Sotelo, Mygnet