Guía de planeamiento de acceso seguro con tarjetas inteligentes
Capítulo 1: Introducción
En esta página
Resumen ejecutivoCada vez más, los administradores son conscientes del riesgo que supone depender únicamente de nombres de usuario y contraseñas para la autenticación de acceso a los recursos de red. Los atacantes pueden adivinar nombres de usuarios o, incluso, utilizar información que se puede obtener públicamente (como la dirección de correo electrónico impresa en una tarjeta de visita) para identificar un nombre de usuario. Cuando un atacante conoce un nombre de usuario, el único mecanismo de seguridad que se mantiene es la contraseña del usuario. Los controles de seguridad basados en claves secretas individuales, como las contraseñas, pueden resultar eficaces. Una contraseña larga, compuesta de más de 10 caracteres, en la que se alternen letras, números y signos especiales puede resultar muy difícil de descifrar. Lamentablemente no siempre los usuarios pueden recordar ese tipo de contraseñas, en parte debido a limitaciones humanas fundamentales. Según un estudio de George A. Miller, publicado en The Psychological Review en 1956, el cerebro humano puede retener en la memoria a corto plazo secuencias con un número máximo de caracteres comprendido entre cinco y nueve, con un promedio de siete. Sin embargo, entre las directrices de seguridad suele recomendarse casi siempre el uso de contraseñas aleatorias de ocho caracteres, como mínimo. Dado que la mayoría de los usuarios no pueden memorizar con garantías contraseñas de más de ochos caracteres, muchos optan por anotarlas en un papel. Normalmente, los usuarios no suelen ser discretos cuando anotan una contraseña, por lo que ponen en peligro sus credenciales ante posibles atacantes. Cuando no existen restricciones en cuanto a la complejidad de las contraseñas, los usuarios tienden a elegir contraseñas con palabras relativamente fáciles de adivinar. Las contraseñas codificadas tienen una mayor longitud, pero resultan más fáciles de recordar. Microsoft® Windows® 2000 y las versiones posteriores del sistema operativo Windows admiten contraseñas de hasta 127 caracteres. Una contraseña codificada en una frase como "¡Me gusta el fútbol sala 5 contra 5!" aumenta considerablemente la dificultad de descubrir con herramientas que utilizan la "fuerza bruta" de procesamiento y resulta más fácil de recordar para el usuario que si utilizara una combinación aleatoria de letras y números. Los sistemas de autenticación de dos factores superan los problemas de la autenticación asociados a una sola clave solicitando un segundo dato secreto. En la autenticación de dos factores se utiliza una combinación de los siguientes elementos:
Las tarjetas inteligentes y sus NIP asociados constituyen un medio de autenticación de dos factores fiable, rentable y cada vez más popular. Además de establecerse los controles adecuados, el usuario debe poseer la tarjeta inteligente y saber el NIP para obtener acceso a los recursos de red. Con el requisito de dos factores se reducen considerablemente las probabilidades de acceso no autorizado a la red de la organización. Las tarjetas inteligentes proporcionan controles de seguridad particularmente eficaces en dos casos: para proteger las cuentas de administrador y para proteger el acceso remoto. Esta guía se centra en estos dos casos generales como áreas prioritarias para la implantación de tarjetas inteligentes. Dado que las cuentas en el nivel de administrador tienen asignados numerosos derechos de usuario, si una de estas cuentas queda expuesta, existe el riesgo de que un intruso obtenga acceso a todos los recursos de la red. Es esencial salvaguardar el acceso al nivel del administrador, ya que la usurpación de credenciales de cuentas en el nivel de administrador de dominio pone en peligro la integridad del dominio y, posiblemente, de todo el bosque y de cualquier otro bosque que confíe. La autenticación de dos factores es esencial para la validación de la identidad de los administradores. Las organizaciones pueden incorporar un nivel de seguridad adicional con la implantación de tarjetas inteligentes para los usuarios que tengan necesidad de conectarse a los recursos de la red. La autenticación de dos factores es particularmente importante en el caso de los usuarios remotos, ya que no es posible proporcionar ningún tipo de control de acceso físico para las conexiones remotas. Con tarjetas inteligentes, la autenticación de dos factores puede aumentar el grado de seguridad del proceso de validación de identidad los usuarios remotos que se conecten a través de red privada virtual (VPN). El desafío empresarialSi quedan expuestas las credenciales de cuentas de administrador en equipos unidos por un dominio, puede ponerse en peligro la integridad de todo el dominio, del bosque en el que éste se encuentra y en otros bosques que mantengan relaciones de confianza con el bosque expuesto. Si las cuentas de acceso remoto quedan expuestas, existe el riesgo de acceso por parte de atacantes externos a información confidencial por medio de conexiones de acceso telefónico o de red privada virtual. El desafío empresarial que supone salvaguardar las conexiones de administrador y acceso remoto consiste en proporcionar un nivel de seguridad adecuado que no comprometa las posibilidades de uso. Una organización que implante un sistema de autenticación de dos factores para mejorar la seguridad no puede funcionar de un modo óptimo si los usuarios no tienen acceso a la información que necesitan para trabajar. Es de capital importancia encontrar un equilibrio entre la autenticación de dos factores y las posibilidades de uso. Las ventajas empresarialesEl uso de tarjetas inteligentes para proteger cuentas de importancia crítica puede reportar a la empresa las siguientes ventajas:
Destinatarios de la guíaEntre los destinatarios previstos de esta guía se encuentran los responsables de la toma de decisiones técnicas, los arquitectos y los administradores de seguridad de la empresa que planean, implantan o trabajan con las conexiones de acceso remoto y la seguridad de la red. Esta información también resultará de utilidad a los consultores que vayan a planear, implantar o trabajar con redes basadas en Windows. La información que figura en esta guía es válida para organizaciones de cualquier tamaño que precisen un alto grado de protección de las identidades y control de acceso a datos. Requisitos previos para el lectorPara comprender las soluciones que se presentan en esta guía, los usuarios deben conocer y estar familiarizados con los siguientes aspectos y tecnologías de Microsoft Windows Server™ 2003:
En esta guía se describen los cuadrantes del modelo de procesos de operación y soporte en Microsoft Operations Framework (MOF). También se describen las funciones de administración de los servicios (SMF) de administración de seguridad y administración de incidentes en MOF. Si desea obtener más información acerca de MOF, visite el sitio Web de Microsoft Operations Framework en http://www.microsoft.com/mof. Guía de planeamiento: descripción generalEsta guía incluye cuatro capítulos que se centran en los problemas y conceptos esenciales que son necesarios para el planeamiento de la autenticación con tarjetas inteligentes. Estos capítulos son: Capítulo 1: Introducción En este capítulo se ofrece un resumen ejecutivo, se tienen en cuenta los desafíos a los que debe enfrentarse la empresa y se describen las ventajas que puede obtener con la implantación de un sistema de autenticación con tarjetas inteligentes. En esta introducción se indica a quién va dirigida la guía, se enumeran los requisitos previos para el lector y se ofrece información general sobre el resto de capítulos y escenarios de solución. Capítulo 2: Tecnologías de tarjeta inteligente En este capítulo se destacan los planteamientos de uso de las tarjetas inteligentes para proteger las cuentas de especial importancia. También se discuten los elementos esenciales de los dos escenarios de solución descritos en los capítulos 3 y 4. Por último, en este capítulo se presenta a la entidad financiera Woodgrove Bank, en la que se basan los dos escenarios de solución. Capítulo 3: Uso de tarjetas inteligentes para la protección de las cuentas de los administradores En este capítulo se describen las consideraciones sobre el diseño necesarias para proteger las cuentas de los administradores con tarjetas inteligentes. El capítulo continúa con el examen de problemas y requisitos para la entidad Woodgrove Bank. Se discute el concepto de la solución, los requisitos previos, la arquitectura y el funcionamiento de la solución para el escenario en cuestión. Por último, se analizan las distintas posibilidades de ampliar la solución para que incorpore el proceso de administración de cambios. Capítulo 4: Uso de tarjetas inteligentes para la protección de las cuentas de acceso remoto En este capítulo se describen las consideraciones de diseño para el acceso remoto con tarjetas inteligentes. El capítulo continúa con el examen de los problemas y los requisitos necesarios para la implantación de un acceso remoto seguro en la entidad Woodgrove Bank. Se discute el concepto de la solución, los requisitos previos, la arquitectura y el funcionamiento de la solución para el escenario en cuestión. Por último, en este capítulo se analiza cómo se puede ampliar la solución para que incorpore un sistema de control de acceso físico.
|
En este artículo
|
