FEDERACION DE IDENTIDADES

1. Objetivos del documento

En el presente documento pretendo explicar, de forma muy somera, mi visión sobre la gestión de identidades, y mas concretamente sobre la problemática de la identificación de usuarios, los perfiles asociados y la administración que ello conlleva.

Intentaré evitar entrar en detalles técnicos, centrándome en los aspectos conceptuales que necesita conocer el ejecutivo en la planificación estratégica de la gestión de identidades.

Por supuesto, que este artículo lo escribo no desde la perspectiva doméstica –a la que también se le puede aplicar el concepto- sino desde el ámbito corporativo o institucional donde el usuario se identifica de forma robusta ante los sistemas internos de la empresa pero que además necesita identificarse ante múltiples sistemas externos con los que colabora su organización.

Abogaré por la identificación federada entre servidores basado en el principio de que nadie más capacitado para garantizar la identidad de los usuarios que aquél responsable de identificarlos en su propio entorno. El servicio y su organización, por estar más próximo al usuario, tiene la mayor capacidad como autoridad certificadora y/o de registro.

Utilizaré como ejemplo de aplicación, las necesarias conexiones del Departamento de Riesgos de una entidad financiera con empresas Gestoras, Tasadoras, Notarías, Registro, etc. No obstante, señalar:

• Es aplicable a cualquier otro proceso de colaboración entre empresas e instituciones
• La filosofía también es aplicable en el ámbito interno, a la relación entre los diferentes servicios y/o sistemas, lo que en su extremo nos llevaría al desarrollo de una de las posibles variantes del SSO (Single Sign On)
  

2. Factores Clave

Cada día es mas frecuente la colaboración empresarial restringida a acuerdos para proyectos concretos.

• Frente a la visión de la seguridad como “un temor” y una tentación de “cerrar todas las puertas con llave”, ésta se debe afrontar como una necesidad de “abrir la empresa” hacia todo tipo de entidades buscando nuevas oportunidades de negocio, el incremento de la productividad o una mejora de la eficiencia
• La gestión de identidades es esencial en estos escenarios
• Es importante permitir a los empleados de las diferentes empresas colaboradoras (proveedores, clientes, …) el acceso a la información que se necesita compartir, pero sin olvidar mantener la privacidad en lo relativo a la información personal de los empleados

Además es necesario securizar el canal de comunicación

La complejidad de la identificación individual de un mismo usuario ante múltiples servidores, aparte de ser ineficiente, presenta una previsión de crecimiento exponencial que supondrá una importante barrera en el futuro inmediato

¿Cuántas contraseñas tenemos que introducir cada día para, por ejemplo, poder realizar nuestro trabajo cotidiano?. Cada uno de nosotros tenemos decenas de acreditaciones para identificarnos y así poder acceder a determinados servicios o información.

Si a ello añadimos las contraseñas de acceso en Internet (sitios privados, banca electrónica, otros servicios de pago, etc.) la gestión es inmanejable, la seguridad se resiente y el riesgo se incrementa.

La gestión de estas nuevas identidades digitales crecerá de forma exponencial y exige herramientas y procesos adecuados

No debemos olvidar que la identidad no tiene que ser, necesariamente, solo de personas. En la medida en que introducimos nuevos dispositivos inteligentes en nuestras vidas, estos también necesitan una identidad digital que les permita acceder a determinados servicios de forma automática.


3. pero…… ¿qué es la gestión de identidades?

Para identificarnos a una aplicación o servicio se deben diferenciar dos aspectos totalmente independientes:

a) Identificación de usuario. Garantizar que alguien es quién dice ser

• Por medio de algo que “CONOCE”. Normalmente una contraseña
  Si alguien “conoce” algo que solo él puede conocer, se asume que el interlocutor es quien dice ser.
  Equivalente tradicional: “santo y seña”
• Por medio de algo que “TIENE”. Tarjeta de Identificación, uso de eToken, soporte criptográfico basado en tarjeta chip o USB (Windows Smartcard Logon), DNI electrónico, etc.
  Si alguien “tiene” algo que solo él puede tener, se asume que el interlocutor es quien dice ser
  Equivalente tradicional: un “sello real”, un “salvoconducto”, etc.
• Por medio de algo que “ES”. Elementos biométricos (huella dactilar, iris del ojo, geometría de la mano o del rostro, reconocimiento de la voz, etc.
  Es una cualidad que se asume que forma parte de ti mismo.
  “Conocer” significa confianza
  Equivalente tradicional: aspecto físico; ante una persona que tenemos delante de nosotros le asignamos, o no, la autenticidad de su identidad
  
  NOTA: La combinación de más de un mecanismo de los indicados anteriormente, aporta mayor robustez al sistema (son ejemplos; en Cajeros: PIN + Tarjeta Financiera; operando en Banca Electrónica: Contraseña + Tarjeta de coordenadas; etc.)

b) Características del usuario. Existen otra serie de características ligadas al usuario y/o a su perfil en un momento dado que son exigidas por las aplicaciones para poder asignarle los privilegios adecuados

• Empleado, personal subcontratado temporalmente, ..
• Cargo o nivel jerárquico
• Centro de trabajo donde presta sus servicios
• Otros centros a los que puede acceder (u organigrama de la entidad)
• Autorizaciones especiales
• Etc.

Es un hecho que a la hora de identificar a un usuario, al mundo digital se le está demandando mayor rigurosidad y exigencia que en el mundo físico.


4. Una administración muy costosa

Se deben habilitar procedimientos y circuitos de incidencias en cada uno de los apartados mencionados en el punto anterior

a) Identificación de usuario.

• Altas de usuarios
• Bajas de usuarios
• Cambios de password o contraseña
• Pérdidas/olvidos de contraseña
• …

b) Características del usuario. Cualquier cambio de las características del usuario o perfil, muy especialmente:

• Cambio en Cargo o nivel jerárquico
• Cambio de Centro de Trabajo
• Centros para los que está autorizado a consultar y/o trabajar
• ……

Este coste de administración/utilización es muy importante y no solo para las organizaciones, también lo es para el propio usuario.

Un estudio de la Universidad del estado de Vichita, “La seguridad de las contraseñas: lo que los usuarios saben y lo que realmente hacen” (Febrero-2006) deja en evidencia que si bien los usuarios de Internet conocen la teoría sobre longitud, reglas a cumplir y caducidad que deberían tener sus contraseñas, en la práctica unos porcentajes mínimos la cumplen, pasando a ser el eslabón débil de unos costosos sistemas de seguridad que se implantan.

El análisis realizado concluye que se deben diseñar técnicas y sistemas que ayuden al usuario en el cumplimiento de las políticas de seguridad, en vez de machacar con la cansína teoría que los usuarios ya conocen pero no utilizan


5. Como securizar el canal de comunicación entre entidades/empresas

Las tradicionales características de una comunicación SEGURA son:

• CONFIDENCIALIDAD
• AUTENTICACIÓN
• INTEGRIDAD
• NO REPUDIO

La base se encuentra en la encriptación de los mensajes que se intercambian ambos extremos, de tal modo que se mantenga la privacidad de los contenidos electrónicos y cualquiera que acceda al canal no pueda conocer/alterar dichos contenidos.

Ello, además, permite “firmar” los mensajes

La seguridad no reside en el algoritmo criptográfico (función matemática) que ejecutan los extremos, que suele ser de conocimiento público (DES, triple DES, IDEA, RCA, …) sino en un parámetro de dicho algoritmo llamado CLAVE

Por ello, y sin entrar en detalles que no son objeto de este documento, estos sistemas se clasifican en:

• De clave SIMÉTRICA. Ambos extremos utilizan la misma clave
• De clave ASIMÉTRICA. Una clave “cierra” y otra “abre” el mensaje. Una es PRIVADA y la otra PUBLICA. En esto se apoyan los sistema PKI (Public Key Infrastructure)

De forma muy sintética, señalo algunas de su características diferenciales:

• De clave SIMÉTRICA
  o Es necesario que ambos extremos compartan un “secreto”, la clave PRIVADA.
  Esta es su GRAN DEBILIDAD. Esta debilidad se puede reducir haciendo que en cada extremo haya más de un “clavero”, por ejemplo dos, y que cada uno solo conozca “medio secreto”, etc.
  o No es aplicable, por tanto, cuando participan más de dos partes. (ya se conoce el dicho popular “secreto de más de dos…………”)
  o Exige un procedimiento para distribución de claves
  o Solo es aplicable a entornos “cerrados” (que se conozcan previamente, por el medio que sea)
  o Su gran VENTAJA, es que es MUY FACIL de implementar
• De clave ASIMÉTRICA
  o Es mas costoso de implementar
  o Requiere mayor potencia de cálculo
  o Permite una gestión racional y sencilla de distribución de claves
  o Es el único utilizable en entornos “abiertos” donde no todos los participantes pueden conocerse previamente.

6. Ejemplos de conexiones y acceso entre entidades

Utilizaremos como ejemplo, las necesarias conexiones del Departamento de Riesgos de una entidad financiera que se comunica –y necesita acceder a los sistemas- con:

• Empresas Gestoras (4 empresas). Que le realizan determinadas labores de administración, control y registro.
• Empresas Tasadoras (4 empresas). Que realizan las tasaciones de las fincas a lo largo de todo el territorio Nacional, generan el correspondiente informe y certificado de tasación para la entidad financiera y los clientes finales
• Notarías (muchas, que para algunas tareas pueden mantener un punto central a través del CGN –Colegio General del Notariado-). Para la firma e intervención notarial de las operaciones.
• Registros de la Propiedad (varios a lo largo de toda España). Para la consulta de cargas previas e inscripción de las nuevas hipotecas
• Etc.
  

Sistema de acceso NO INTEGRADO a diferentes sistemas

• El usuario de la Entidad Financiera que, por supuesto, ya está perfectamente identificado ante su sistema informático, debe identificarse ante todos y cada uno de los sistemas de las empresas y entidades con las que pretende relacionarse.
• Cada sistema que va a recibir peticiones y permitir accesos, debe conocer e identificar a cada uno de los usuarios que solicita el permiso
• La administración de esos usuarios en cada sistema (altas, bajas, cambios de Oficina del usuario, etc.) es complejísima, costosa y con errores frecuentes. No se garantiza la integridad entre sistemas.

Sistema de acceso INTEGRADO a diferentes sistemas (Identidad Federada)

• Un usuario de la Entidad Financiera que pretenda conectarse con las diferentes empresas y que ya se encuentra perfectamente identificado ante su sistema informático, no debería tener que identificarse ante cada uno de los sistemas.
• Los sistemas de las empresas/entidades colaboradoras no tienen que, ni quieren siquiera, conocer a cada usuario de la Entidad Financiera.
• Lo que realmente debe identificar de forma absolutamente cierta e inequívoca, y esa debe ser su prioridad número uno, es la conexión de la Entidad Financiera
• Si alguien de verdad sabe –o debe saber- quien es el usuario conectado desde un puesto del Banco/Caja, pudiendo dar fé y garantía a las empresas colaboradoras es el propio sistema informático de la Entidad Financiera
• La identificación se simplifica enormente:
  - El usuario solo se identifica ante un sistema, el de la propia Entidad Financiera
  - Los sistemas de las empresas colaboradoras solo tienen una identidad que comprobar, la de la Entidad Financiera. A partir de ahí, permitirá las peticiones y los accesos que la Entidad Financiera le traslade desde su responsabilidad.
• En un entorno de Federación de Identidades, cada sistema se responsabiliza de identificar a sus propios usuarios Los sistemas de las empresas/entidades colaboradoras no tienen que, ni quieren, conocer a cada usuario de la Entidad Financiera.

7. Conclusiones

Para poder establecer “relaciones de confianza” con otras entidades es necesario cuidar la seguridad.

Si la implantación de nuevas funcionalidades supone sobrecargar el trabajo, la complejidad y la responsabilidad del usuario de forma innecesaria, éste no lo utilizará o bien descuidará la seguridad y el sistema se resentirá.

Por tanto,

• Se deben potenciar herramientas de gestión de identidades………
• ……. sin que ello suponga mayor complejidad para los usuarios
• ………. más bien todo lo contrario, aprovechar para simplificar

La administración de la identificación “no integrada” en múltiples sistemas es, y lo será mucho más en el futuro, inmanejable tanto para los administradores como para el propio usuario.

El usuario debe limitarse a solicitar servicios al sistema. Por detrás, los propios sistemas informáticos deben satisfacer los requerimientos que exigen los diferentes servicios apoyados en el concepto de Federación de Identidades en el que cada sistema es responsable de identificar correctamente a los usuarios de su entorno.






NOTA DEL AUTOR: Este artículo es un resumen de la presentación realizada por Juan José Cima Prado en Febrero-2006