FCAT - FACULDADE DE CASTANHAL

ARTHUR CHARONE CARLOS JUNIOR FLVIO AUGUSTO MAURICIO SOUZA SIVAL DASMASCENO

SEGURANA DE SISTEMAS TRABALHO DE PESQUISA GERNCIA DE IDENTIDADE

CASTANHAL 2012

FCAT - FACULDADE DE CASTANHAL ARTHUR CHARONE CARLOS JUNIOR FLVIO AUGUSTO MAURICIO SOUZA SIVAL DASMASCENO

SEGURANA DE SISTEMAS TRABALHO DE PESQUISA GERNCIA DE IDENTIDADE

Trabalho apresentado ao Curso Superior Faculdade FCAT, como da obteno de Tecnologia de em Redes de Computadores da Castanhal. para Certificao requisito

Administrador de Redes de Computadores na rea de Concentrao: Segurana de Sistemas. Orientador: Franco Prof. Deivison

CASTANHAL 2012

RESUMO
Gerenciamento de Identidade um desafio incessante decorrente a constante evoluo de novas tecnologias que no atual momento no consegue acompanhar o crescimento e ao mesmo tempo manter a organizao de novos acessos que surgem a cada dia como: novas aplicaes, redes sociais, correios eletrnicos, comrcio eletrnico, provedores entre muitos outros. Essa exploso de servios faz necessrio o surgimento de novas solues para autenticao e controle de acesso. Eis que ento surge a necessidade de um Gerenciamento de Identidade voltado para resolver o problema de mltiplas identidades necessrias para acessar diversos servios na web ou em uma plataforma de sistema que exija controle de segurana na liberao de acesso. Portanto algumas ferramentas so utilizadas para dar subsdios aos servios que sero disponibilizados ou usufrudos pelos usurios, dentre alguns modelos, destaca-se Shibboleth: um SGI, sua vertente esta voltada para rea acadmica, mas no se restringe as outras reas, suas funcionalidades so eficazes nas aplicaes que lhe so destinadas.

INTRODUO
Diante da correlao entre entidade e identidade, associados a recursos humanos e a necessidade de controlar crescentes processos de negcios voltados tecnologia, sistemas de informao, e a consequente preciso de acessos para colaboradores (funcionrios, estagirios e terceiros), natural que as empresas enfrentem certa dificuldade quando o assunto gesto de acessos, afinal, preciso se preocupar em liberar as ferramentas necessrias para que o colaborador desempenhe suas atividades de negcio, mas de modo que isso no interfira na segurana dos dados da empresa, entretanto Gerenciamento de Identidade vem desafiando os usurios da tecnologia. Bem sabemos que todo planejamento comea com a compreenso de seus assuntos prioritrios, conhecimento dos riscos e vulnerabilidades, identificados atravs de diagnsticos e processos de administrao e gerenciamento. Em uma rede de computadores isso fica ainda mais evidente, e s depois de conhecer ser possvel criar diretivas seguras para gerenciar os riscos e amenizar ameaas encontradas em determinada rede ou acesso. Detectar, Planejar e Prevenir seriam as palavras chaves para se garantir maior segurana em uma empresa no uso de suas ferramentas tecnolgicas para melhorar a praticas de gerenciamento e monitorar processos e novas implementaes que surgem a cada dia.

Objetivo:
O objetivo deste trabalho proporcionar maior conhecimento mediante as pesquisas sobre Gerencia de Identidade assim como conhecer ferramentas e suas funcionalidades, tipos de aplicaes, alm de compreender como planejar cuidadosamente a estrutura de uma rede e fazer uso de um Gerenciamento de Identidade para que se possa usufruir de maior segurana no trabalho desenvolvido atravs de seus recursos tecnolgicos, amenizando assim o risco que podem colocar em ameaa toda informao existente de dentro da empresa e de seus usurios, sobretudo complementar os conhecimentos interdisciplinares na graduao de redes de computadores, na disciplina Gerncia de Sistemas.

Gerenciamento de Identidade:
O Gerenciamento de Identidades pode ser definido como o conjunto de polticas, processos e tecnologias que permitem ao sistema disponibilizar recursos de forma segura aos usurios. J existem algumas ferramentas nesta rea, como o Shibboleth, implementando o modelo Federado no Usurio, com suas solues de privacidade, segurana e gerenciamento de informaes. Gerncia de Identidades bastante ampla e complexa, pode fazer referncia administrao de dados de uma empresa, de um sistema de uma rede ou de um pas. No ambiente de Tecnologia da Informao, o Gerenciamento de Identidades est voltado a estabelecer papis e privilgios individuais aos usurios de uma rede, fornecendo aos gestores ferramentas e tecnologias que permitam o total controle aos acessos de seus subordinados, seu objetivo principal eliminar a administrao de acessos descentralizados, definindo uma identidade digital para cada colaborador, esta identidade disponibilizar um perfil, que definir o papel do colaborador dentro da organizao da empresa, fazendo com que apenas as tecnologias pertinentes a sua funo sejam liberadas. A internet tambm uma das grandes responsveis por migrao de usurios que so suscetveis a engenharia social, exigindo dos administradores cuidados especial, uma vez que tais usurios estejam compartilhando informaes com o mundo. Existem vrios processos at que se chegue a uma preciso de SGI, levado em considerao: usurio, identidade digital, o provedor de identidade junto com os respectivos servios, tendo como requisitos a segurana, confiabilidade, integridade e privacidade. Dessa forma possvel observar a grande camada de integraes de servios, pessoas, informaes, sistemas, normas, diretrizes, at que se tenha uma forma de representar digitalmente uma pessoa atravs de sua identidade junto com seus atributos e valores. Ex. Atributos: Nome, CPF, Data de Nascimento; Ex. Valor: Sival, 999.999.999-10, 05/01/1980

Metodologias de Autenticao:
Geralmente esses atributos e valores esto relacionados a uma autenticao gerada por um sistema computacional de forma que as informaes coletadas para tal identidade tenha total veracidade e assim ser gerado seu login e a confirmao de uma senha, h tambm outras formas de autenticao que vai alm de um cadastro, envolve a biometria: Biometria: A biometria consiste em identificar o colaborador por seus traos fsicos, utilizando-se de dispositivos capazes de analisar as caractersticas fsicas e comportamentais de cada usurio. A identificao pode ser atravs de varias formas tais como impresso digital, reconhecimento facial e anlise de retina ou da Iris. Impresso Digital: Esta uma tecnologia muito popular, normalmente atribuda ao uso de catracas, onde imagem do dedo do colaborador capturada e transformada em um vetor e este por sua vez, atribu o vetor a um valor. O valor armazenado e ao receber solicitao de acesso, atravs de uma leitura de radio-transferncia, os dados so confrontados e se forem compatveis, o acesso ser liberado.

Figura - 1 Impresso Digital

Biometria por

Reconhecimento Facial: A imagem do usurio capturada e armazenada, ao receber uma solicitao de acesso, o sistema captura uma nova imagem e compara com a imagem anteriormente armazenada. Se as imagens forem iguais, o acesso liberado.

Figura - 2 Biometria por Face

Retina: Para essa tecnologia feita uma anlise nas veias internas do globo ocular. Alm de causar desconforto para o colaborador, a grande desvantagem deste mtodo que em caso de doenas a autenticao pode ser prejudicada.

Figura - 3 Biometria por Retina

Iris: Muito semelhante autenticao por da retina, porm, feita uma anlise na ris do globo ocular.

Figura - 4 Biometria por Iris Tambm se encontram no mercado outros recursos de Identidade Digital: Certificados Digitais, Cartes Inteligentes (Smart Card) e Tokens. Certificado Digital: A certificao digital uma ferramenta de segurana que permite ao cidado realizar transaes no meio eletrnico, que necessitem de segurana, como assinar contratos, obter informaes sensveis do governo e do setor privado, lembrando que esses documentos so eletrnicos. Cartes Inteligentes: um tipo de carto plstico semelhante a um carto de crdito com um ou mais microchips embutidos, capaz de armazenar e processar dados.

Figura 5 Carto Inteligente (Smart Card)

Tokens: So pequenos dispositivos que associados a uma identificao, armazenam uma grande quantidade de cdigos que so utilizadas na autenticao via USB.

Figura 6 Tokens Apesar de grandes avanos na tecnologia ainda preciso superar alguns desafios tecnolgicos e sociais, e para dar subsdios seguros a essas inovaes sucinto adotar alguns critrios de planejamento para que se tenha veracidade e integridade na utilizao dos investimentos tecnolgicos, quanto manipulao de identidades dos usurios desde a insero no sistema do RH criao de contas de e-mails, acesso a aplicao de terceiros e autorizao em ambientes severamente restritos, com isso reduzir riscos, fraudes, violaes, reduzir impactos negativos e ataques maliciosos. Controle de Acesso: Os controles de acessos so compostos pelos processos de autenticao, autorizao e auditoria. Entende-se como controle de acesso a habilidade de permitir ou negar a utilizao de um objeto (sistema ou arquivo) por um usurio. O processo de autenticao indica quem acessa o sistema, o processo de autorizao indica o que um usurio autenticado pode fazer e a auditoria indica o que o usurio fez. Esses sistemas de informao devem assegurar que todos os acessos diretos ao sistema ocorram exclusivamente de acordo com as modalidades e as regras pr-estabelecidas, e observadas por polticas de proteo. Autenticao: O processo que busca verificar a identidade digital do usurio, normalmente, no momento em que o usurio solicita um acesso em um sistema. Os requisitos de autenticao devem obedecer norma ISO/IEC 15.408 que especifica: Possuir mecanismo de administrao de usurios ligados a um administrador; Estabelecer a poltica de controle de acesso atravs da definio de perfis e/ou grupos.

Autorizao: Aps o usurio ser autenticado, a autorizao o processo responsvel por definir o que o usurio pode fazer no sistema. Garantindo que apenas usurios autenticados acessem recursos protegidos do sistema. Auditoria: o processo de monitorao de todas as aes realizadas nos sistemas, para garantir a segurana, aplicar as polticas de senhas e prover informaes necessrias para auditorias peridicas, exemplo: criao, alterao e excluso de um usurio. Com base nesses princpios de Gerencia de Identidade, possibilita aos rgos competentes dar inicio as metodologias de autenticaes supracitadas.

Ferramentas de Gerenciamento de Identidade:

Shibboleth: O projeto Shibboleth foi iniciado em 2000 pelo consrcio Internet2. O projeto resultou na criao de uma arquitetura e implementao, cdigo aberto, para Gerenciamento de Identidades. O projeto tambm desenvolveu um sistema para autenticao e autorizao de sistemas baseados em Identidades Federadas. Seu funcionamento baseado no uso do Security Assertion Markup Language (SAML) para gerar normas, para fornecer federao, Single Sign-On (SSO) e estrutura segura para trocas de informaes. composto por Provedores de Identidade e Provedores de Servio. Para utilizar um Provedor de Servio que esteja ligado a uma federao, o usurio ir se autenticar utilizando suas credenciais organizacionais (Identidade Shibboleth). Assim, a organizao (Provedor de Identidade) ir passar o mnimo necessrio de informaes para o gerente do Provedor de Servio, para que ele permita ou no o acesso do usurio. Desse modo o usurio ter acesso a qualquer Provedor de Servio que esteja ligado a essa federao. O Shibboleth bastante usado em meios acadmicos e atualmente muitas empresas esto aderindo o uso do sistema.

Concluso
Apesar dos notveis avanos no desenvolvimento em Gerenciamento de Identidades com relao ao que se tinha inicialmente, diversos desafios de carter tcnico e social ainda necessitam de soluo e muitos ainda esto por vir. Alguns desses problemas podem ser resolvidos com avanos nas pesquisas tecnolgicas outros deles podero ser bem complicados e necessitar de grandes investimentos para ser resolvido, pressuposto que embora tenham pontos a serem de constante vigilncia, ainda sim o Gerenciamento de Identidade uma maneira prtica de explorar vrios acessos e mltiplos servios, baseado na confiana e segurana entre usurio e sistema, portanto fato que se tenha exigncias quanto confiabilidade, segurana, integridade e privacidade, utilizarem novas tecnologias sempre um desafio, at que se ganhe confiana bom saber que o sucesso de qualquer nova soluo de Gerenciamento de Identidades ser decidido pela forma como usurios e organizaes esto dispostos a investir na nova tecnologia.

Referncias
http://www.carloshjunior.net/wp-content/uploads/2010/03/Geri.pdf http://www.ulbra.inf.br/joomla/images/documentos/TCCs/2010_2/redes-ane %20de%20oliveira%20dos%20santos%20pandolfo.pdf