Autenticacin y autorizacin

Este captulo contiene instrucciones para ayudarle a desarrollar una estrategia

de autorizacin adecuada a su escenario de aplicaciones especfico. Le
ayudar a seleccionar la tcnica de autenticacin y autorizacin ms apropiada
y a aplicarla en los puntos adecuados de la aplicacin. El diseo de una
estrategia de autenticacin y autorizacin para aplicaciones Web distribuidas
constituye un verdadero desafo. Afortunadamente el disponer de un diseo
adecuado de la autenticacin y la autorizacin durante las primeras fases del
desarrollo de la aplicacin ayuda a mitigar muc!os de los peores riesgos de
seguridad. Este captulo le ayudar a disear una estrategia de autorizacin
adecuada para la aplicacin y a responder a las siguientes preguntas clave"
#$nde debo realizar la autorizacin y %u mecanismos debo utilizar&
#'u mecanismo de autenticacin debo utilizar&
#$ebo utilizar el servicio de directorios de Active $irectory( para la
autenticacin o validar las credenciales con un almacn de datos
personalizado&
#)ules son las implicaciones y las consideraciones de diseo de las
plataformas !eterogneas y !omogneas&
#)mo debo representar en la aplicacin a los usuarios %ue no utilizan el
sistema operativo *icrosoft( Windo+s(&
#)mo debo transmitir la identidad de usuarios por los niveles de la aplicacin&
#)undo debo utilizar la suplantacin o delegacin del sistema operativo&
)uando considere la autorizacin deber tambin considerar la autenticacin.
$eben considerarse simultneamente los dos procesos por dos razones"
En primer lugar cual%uier directiva de autorizacin co!erente re%uiere la
e,istencia de usuarios autenticados.
En segundo lugar el modo de autenticacin de los usuarios -y sobre todo el
modo de representacin de la identidad de usuarios autenticados en la
aplicacin. determina los guardianes de los %ue podr disponer.
Disear una estrategia de autenticacin y autorizacin
Los siguientes pasos definen un proceso %ue le ayudar a desarrollar una
estrategia de autenticacin y autorizacin para la aplicacin.
/. 0dentificar los recursos
1. 2eleccionar una estrategia de autorizacin
3. 2eleccionar las identidades utilizadas para el acceso a recursos
4. )onsiderar la transmisin de la identidad
5. 2eleccionar un enfo%ue de autenticacin
6. $ecidir cmo transmitir la identidad
Identificar los recursos 0dentifi%ue los recursos %ue la aplicacin necesita
e,poner a los clientes. Entre los recursos suelen figurar"
7ecursos de servidores Web como las pginas Web los servicios Web y los
recursos estticos -pginas 89*L e imgenes.
7ecursos de bases de datos como los datos por usuario o los datos generales
de la aplicacin
7ecursos de red como los recursos de sistemas de arc!ivos remotos y los
datos de almacenes de directorios como Active $irectory.
9ambin deber identificar los recursos del sistema a los %ue necesita tener
acceso la aplicacin. Estos recursos se contraponen a los recursos %ue se
e,ponen a los clientes. Entre los recursos del sistema figuran el registro los
registros de sucesos y los arc!ivos de configuracin. Seleccionar una
estrategia de autorizacin Las dos estrategias bsicas de autorizacin son"
Basada en funciones. El acceso a las operaciones -normalmente mtodos. se
protege en funcin de la pertenencia a funciones del llamador. Las funciones
sirven para dividir la base de usuarios de la aplicacin en con:untos de usuarios
%ue comparten los mismos privilegios de seguridad en la aplicacin como por
e:emplo $irectivos superiores $irectores y Empleados. Los usuarios se
asignan a funciones y si el usuario est autorizado a realizar la operacin
solicitada la aplicacin utiliza identidades fi:as para obtener acceso a los
recursos. Estas identidades tienen la confianza de los administradores de
recursos respectivos -por e:emplo las bases de datos el sistema de arc!ivos
etc...
Basada en recursos. Los recursos individuales se protegen mediante listas de
control de acceso -A)L. de Windo+s. La aplicacin suplanta al llamador antes
de obtener acceso a los recursos lo %ue permite al sistema operativo realizar
controles estndar de
seguridad del llamador original. Este enfo%ue de suplantacin tiene un fuerte
impacto en la escalabilidad de la aplicacin puesto %ue no permite utilizar la
agrupacin de cone,iones de forma eficaz en el nivel medio de la aplicacin.
En la gran mayora de las aplicaciones Web .;E9 para las %ue es primordial la
escalabilidad el enfo%ue basado en funciones de la autorizacin suele ser la
me:or opcin. <ara determinadas aplicaciones de intranet de menor escala en
las %ue el contenido para usuarios se distribuye a partir de recursos -como
arc!ivos. %ue se pueden proteger del acceso de usuarios individuales mediante
A)L de Windo+s podra resultar ms adecuado utilizar un enfo%ue basado en
recursos. El patrn recomendado y ms !abitual para la autorizacin basada
en funciones es"
Autenticar los usuarios en la aplicacin Web cliente
Asignar los usuarios a funciones
Autorizar el acceso a operaciones -no directamente a los recursos. en funcin
de la pertenencia a funciones
=btener acceso a los recursos de servidor necesarios -para admitir las
operaciones solicitadas y autorizadas. mediante identidades fi:as de servicio.
Los administradores de recursos de servidor -como las bases de datos. confan
en la aplicacin para %ue autorice llamadores y estn dispuestos a conceder
permisos a la identidad o identidades de servicio de confianza.
<or e:emplo un administrador de bases de datos podra conceder permisos de
acceso e,clusivamente a una aplicacin de 77.88. especfica -y no a usuarios
individuales..
Conclusin
El diseo de enfo%ues de autenticacin y autorizacin de aplicaciones
distribuidas constituye un verdadero reto. El disponer de un diseo adecuado
de la autenticacin y la autorizacin durante las primeras fases del desarrollo
de la aplicacin ayuda a mitigar muc!os de los peores riesgos de seguridad.
A>9E;90)A)0?;.@ 2e refiere a la tarea de verificar la identidad de una
persona o soft+are %ue se conecte a una A$B es decir consiste en una
contrasea secreta %ue se debe presentar cuando se abra una cone,in a la
A$. >2= La autenticacin basada en palabras clave es ampliamente usada por
los sistemas operativos y bases de datos.
A>9=70CA)0?;.@ <roceso de permitir al acceso de una persona a un sistema.
Los usuarios pueden tener varios tipos de autorizacin para diferentes partes
de la base de datos" Autorizacin de lectura" permite la lectura de los datos
pero no su modificacin. Autorizacin de insercin" permite la insercin de
nuevos datos pero no la modificacin de los ya e,istentes. Autorizacin de
actualizacin" permite la modificacin de los datos pero no su borrado.
Autorizacin de borrado" permite el borrado de los datos.
Rol Y Privilegios Usuarios
>n rol es un papel desempeado por un individuo dentro de un con:unto de
personas. En la base de datos siempre e,isten un con:unto de personas %ue
!arn uso de ella las acciones %ue pueden !acer son" visualizacin
modificacin agregacin eliminacin de registros entre algunas otras y la
regla %ue permite esto es conocida como privilegio. >n e:emplo de un sistema
punto de venta en donde e,isten usuarios tales como" encargado de ca:a
supervisor de ca:a y gerente general todos estos son usuarios de un sistema
de base de datos la forma en %ue se comportaran dentro de la A$ es muy
diferente. El encargado de ca:a no podr modificar o visualizar ciertos registros
%ue se encuentren en otra terminal el supervisor de ca:a tendr ms privilegios
al poder accesar a los registros de todas las terminales sin poder crear
informes mensuales o trimestrales y por Dltimo el gerente general podr !acer
todo lo %ue los dos anteriores y por supuesto podr crear informes y todas las
acciones %ue el 2EA$ le permita.