Autenticació

La autenticació o autentificació és l'acte o procés de confirmar que alguna cosa (o algú) és qui diu ser. A la part que s'identifica se li crida provador. A la part que verifica l'identitat li la crida verificador. És habitual que el provador siga un usuari que vol accedir a certs recursos i el verificador siga un sistema que protegix l'accés a dits recursos i té que verificar que el que accedix siga un usuari que té permissos per a accedir a eixos recursos. Per a poder tindre autenticació és necessària, com a condició prèvia, l'existència d'identitats biunívocamente identificades de tal forma que es permeta fer la tasca

Etapes

L'autenticació o autentificació (paraula preferida per la RAER) o millor dit acreditació, en térmens de seguritat de rets de senyes, es pot considerar un dels tres passos fonamentals (AAA). Cada u d'ells és, de forma ordenada:

Autenticació. En la seguritat d'ordenador, l'autenticació és el procés d'intent de verificar l'identitat digital del remitent d'una comunicació com una petició per a conectar-se. El remitent autenticado pot ser una persona que usa un ordenador, un ordenador per sí mateix o un programa de l'ordenador. En un web de confiança, "autenticació" és un modo d'assegurar que els usuaris són qui ells diuen que són; que l'usuari que intenta realisar funcions en un sistema està autorisat per a fer-ho.

• Autorisació. Procés pel qual la ret de senyes autorisa a l'usuari identificat a accedir a determinats recursos de la mateixa.

• Auditoria, per mig de la qual la ret o sistemes associats registren tots i cada u dels accessos als recursos que realisa l'usuari autorisats o no.

A sovint, el problema de l'autorisació és idèntic al de l'autenticació; molts protocols de seguritat extensament adoptats estàndar, regulacions obligatòries, i fins a estatuts es basen en esta suposició. No obstant, l'us més exacte descriu l'autenticació com el procés de verificar l'identitat d'una persona, mentres que l'autorisació és el procés de verificació de que una persona coneguda té l'autoritat per a realisar certa operació. L'autenticació, per lo tant, deu precedir l'autorisació.^{cita requerida}

Per a distinguir l'autenticació de l'autorisació de terme estretament relacionada, existixen unes notacions de taquigrafia, que són: A1 per a l'autenticació i A2 per a l'autorisació, que s'usen en certa freqüència. També existixen els térmens AuthN i AuthZ, que s'usen en algunes comunitats.^{cita requerida}

Tipos d'autenticació

Autenticació d'identitat

Garantisa que els participants en una comunicació són els que diuen ser. És dir, és un procés de demostració d'identitat d'una part davant les demés, d'una manera fefaent.

Autenticació de l'orige de les senyes

Garantisa l'autenticitat de l'orige de les senyes, és dir, que provinguen d'a on deuen provindre.

Els métodos d'autenticació usats depenen dels que s'utilisen per a la verificació, i estos es dividixen en cinc categories:

• Sistemes basats en alguna cosa conegut. Eixemple, una contrasenya/password (102938) o frase de contrasenya/passphrase (PGP).
• Sistemes basats en alguna cosa posseït. Eixemple, una targeta d'identitat, una targeta inteligent(smartcard), un dispositiu usb tipo epass token, una targeta de coordenades, una smartcard o un dongle criptográfico.
• Sistemes basats en una característica física de l'usuari o un acte involuntari del mateix.

Sistemes basats en el comportament. Per eixemple, la forma de teclejar, de caminar, etcétera.

Sistemes basats en l'ubicació. Per eixemple, la direcció IP a on es realisa l'acció, l'hora específica, etcétera.

També pot ser

Directa

En el procés d'autenticació solament intervenen les parts interessades o que es van a autenticar.

Indirecta

En el procés intervé una tercera part confiable que actua com a autoritat o juge, que avala l'identitat de les parts involucrades.

Unilateral

Solament una part s'autèntica davant l'atra. L'atra part no s'autèntica davant la primera.

Mútua

Abdós parts deuen autenticarse entre sí.

Característiques d'autenticació

Qualsevol sistema d'identificació ha de posseir unes determinades característiques per a ser viable:

• Ha de ser fiable en una provabilitat molt elevada (podem parlar de taxes de fallo d'en els sistemes menys segurs)....
• Econòmicament factible per a l'organisació (si el seu preu és superior al valor de lo que s'intenta protegir, tenim un sistema incorrecte).
• Soportar en èxit cert tipo d'atacs.
• Ser acceptable per als usuaris, que seran al cap i a la fi els qui ho utilisen.
• Resposta immediata, directa, inteligent, senzilla, davant cada situació.

Mecanisme d'autenticació

Artícul principal → Protocol d'identificació.

Per a autenticar, és necessari establir un protocol de comunicació entre les parts, de manera que la part verificadora sol verificar que la part que s'identifica (habitualment un usuari) efectivament és qui diu que és. En general, el procés d'autenticació consta dels següents passos:

1. El provador solicita accés a un sistema.
2. El verificador solicita a l'usuari que es autentique.
3. El provador aporta les credencials que li identifiquen i permeten verificar l'autenticitat de l'identificació.
4. El verificador valguda segons les seues regles si les credencials aportades són suficients per a donar accés a l'usuari o no.

Control d'accés

Un eixemple familiar és el control d'accés. Un sistema informàtic supòsit per a ser utilisat solament per aquells autorisats, deu procurar detectar i excloure el desautorizado. L'accés a ell per lo tant és controlat generalment insistint en un procediment de l'autentificació per a establir en un cert grau establit de confiança l'identitat de l'usuari, per lo tant concedint eixos privilegis com pot ser autorisat a eixa identitat. Els eixemples comuns del control d'accés que impliquen l'autenticació inclouen:

• Retirar de diners d'un caixer automàtic.
• Control d'un computador remot sense Internet.
• Us d'un sistema de banca per Internet.

Per a intentar provar l'identitat d'un subjecte o objecte possible aplicar una o més proves que, si s'aproven, s'han declarat prèviament per a ser suficients procedir. El problema és determinar-se quines proves són suficients, i molts tals són inadequades. Han segut molts casos de tals proves que són enganyades en èxit; tenen per la seua falta demostrada, ineludible, ser inadequades. Molta gent continua mirant les proves -- i la decisió per a mirar èxit en passar -com a acceptable, i per a culpar la seua falta en “descuit” o “incompetència” de part d'algú. El problema és que la prova va ser suposta per a treballar en la pràctica -- no baixe condicions ideals de cap descuit o incompetència

Autenticació per multifactor

Els factors de l'autenticació per als sers humans es classifiquen, generalment, en quatre casos:

• Alguna cosa que l'usuari és (eixemple, la chafada digital o el patró retiniano), la seqüència d'ADN (hi ha definicions classificades de quin és suficient), el patró de la veu (una atra volta vàries definicions), el reconeiximent de la firma, les senyals bio-elèctriques úniques produïdes pel cos viu, o un atre identificador biométrico).
• Alguna cosa que l'usuari té (eixemple, targeta de l'identificació, símbol de la seguritat, símbol del software o teléfon celular)
• Alguna cosa que l'usuari sap (eixemple, una contrasenya, una frase o un número d'identificació personal (el PIN) del pas).
• Alguna cosa que l'usuari fa (eixemple, reconeiximent de veu, firma, o el pas).

i

• Autenticació per mig de dos factors "alguna cosa que tinc" la clau + "alguna cosa que sigues" un número de PIN (token criptográfico)
• Autenticació triple factor "alguna cosa que tinc" el dispositiu criptográfico + "alguna cosa que sigues" una clau d'autenticació tipo PIN (al token criptográfico) + "quí soc" la huella dactilar que em permet autenticar el dispositiu de forma unívoca.

Una combinació de métodos s'utilisa a voltes, eixemple, una targeta de banc i un PIN, en este cas s'utilisa el terme “autenticació de dos factors”. Històricament, les chafades digitals s'han utilisat com el método més autoritari d'autenticació, pero processos llegals recents en els EE. UU. i a una atra part han alçat dubtes fonamentals sobre fiabilitat de la chafada digital. Atres métodos biométricos són prometedors (les exploracions retinianas i de la chafada digital són un eixemple), pero han demostrat ser fàcilment enganyats en la pràctica. En un context de les senyes de la computadora, s'han desenrollat protocols de desafiu-resposta que permeten l'accés si el que es vol autenticar respon correctament a un desafiu propost pel verificador. Hi ha protocols desafie-resposta basats en algoritmes criptográficos cridant-se protocols criptográficos de desafiu-resposta. La seguritat dels protocols criptográficos de desafiu-resposta es basa en la seguritat dels algoritmes criptográficos que usa.

Autenticació

L'autenticació va ser definida per Arnnei Speiser en 2003, mentres que la web va basar el servici que proporciona en l'autenticació d'usuaris finals que tenen accés (Login) a un servici d'Internet. L'autenticació és similar a la verificació de la targeta de crèdit per als llocs web del comerç electrònic. La verificació és feta per un servici dedicat que reba l'entrada i torne l'indicació de l'èxit o de fallo. Per eixemple, un usuari final desija entrar en el seu lloc web. Ell conseguix entrar en una pàgina web de la conexió que requerix per a accés, la seua identificació com a usuari i una contrasenya per als llocs assegurats i la seua contrasenya al mateix temps. L'informació es transmet al servici del eAuthentication com a pregunta. Si el servici respon exitosamente, es permet a l'usuari final entrar en el servici d'eixa pàgina web en els seus privilegis d'usuari.

Autenticació d'usuaris en Unix

Autenticació clàssica

En un sistema Unix habitual cada usuari posseïx un nom d'entrada al sistema o login i una clau o password; abdós senyes s'almagasenen generalment en el ficher /etc/passwd. Este archiu conté una llínea per usuari a on s'indica l'informació necessària per a que els usuaris puguen conectar al sistema i treballar en ell, separant els diferents camps per mig de ':'.

Al contrari de lo que molta gent creu, Unix no és capaç de distinguir als seus usuaris pel seu nom d'entrada al sistema. Per al sistema operatiu lo que realment distinguix a una persona d'una atra (o a lo manco a un usuari d'un atre) és el UID de l'usuari en qüestió; el login és alguna cosa que s'utilisa principalment per a comoditat de les persones (òbviament és més fàcil acordar-se d'un nom d'entrada com toni que d'un UID com 2643, sobretot si es tenen contes en vàries màquines, cada una en un UID diferent).

Per a sifrar les claus d'accés dels seus usuaris, el sistema operatiu Unix ampra un criptosistema irreversible que utilisa la funció estàndar de C crypt, basada en l'algoritme DONES. Per a una descripció exhaustiva del funcionament de crypt. Esta funció pren com a clau els huit primers caràcters de la contrasenya elegida per l'usuari (si la llongitut d'esta és menor, es completa en zeros) per a sifrar un bloc de text en clar de 64 bits posats a zero; per a evitar que dos passwords iguals resulten en un mateix text sifrat, es realisa una permutació durant el procés de sifrat elegida de forma automàtica i aleatòria per a cada usuari, basada en un camp format per un número de 12 bits (en lo que conseguim 4096 #permutació diferents) cridat salt. El sifrat resultant es torna a sifrar utilisant la contrasenya de l'usuari de nou com a clau, i permutant en el mateix salt, repetint-se el procés 25 voltes. El bloc sifrat final, de 64 bits, es concatena en dos bits zero, obtenint 66 bits que es fan representables en 11 caràcters de 6 bits cada u i que, junt en el salt, passen a constituir el camp password del ficher de contrasenyes, usualment /etc/passwd. Aixina, els dos primers caràcters d'este camp estaran constituïts pel salt i els 11 restants per la contrasenya sifrada.

Problemes del model clàssic

Els atacs de text sifrat triat constituïxen la principal amenaça al sistema d'autenticació d'Unix; a diferència de lo que molta gent creu, no és possible dessifrar una contrasenya, pero és molt fàcil sifrar una paraula junt a un determinat salt, i comparar el resultat en la cadena almagasenada en el ficher de claus. D'esta forma, un atacant llegirà el ficher /etc/passwd (este ficher ha de tindre permís de llectura per a tots els usuaris si volem que el sistema funcione correctament), i per mig d'un programa adivinador (o crackeador) sifrarà totes les paraules d'un ficher denominat diccionari (un ficher ASCII en un gran número de paraules de qualsevol idioma o camp de la societat: història clàssica, deport, cantants...), comparant el resultat obtingut en este procés en la clau sifrada del ficher de contrasenyes; si abdós coincidixen, ya ha obtingut una clau per a accedir al sistema de forma no autorisada.

Shadow Password

Atre método cada dia més utilisat per a protegir les contrasenyes dels usuaris el denominat Shadow Password o oscurecimiento de contrasenyes. L'idea bàsica d'este mecanisme és impedir que els usuaris sense privilegis puguen llegir el ficher a on s'almagasenen les claus sifrades.

Envelliment de contrasenyes

En casi totes les implementacions de Shadow Password actuals se sol incloure l'implementació per a un atre mecanisme de protecció de les claus denominat envelliment de contrasenyes (Password Aging). L'idea bàsica d'este mecanisme és protegir els passwords dels usuaris donant-los un determinat periodo de vida: una contrasenya solament va a ser vàlida durant un cert temps, passat el qual expirarà i l'usuari deurà canviar-la.

Realment, l'envelliment prevé, més que problemes en les claus, problemes en la transmissió d'estes per la ret: quan conectem per mig de mecanismes com telnet, ftp o rlogin a un sistema Unix, qualsevol equip entre el nostre i el servidor pot llegir els paquets que enviem per la ret, incloent aquells que contenen el nostre nom d'usuari i la nostra contrasenya.

Atres métodos

Alguna cosa per lo que s'ha criticat l'esquema d'autenticació d'usuaris d'Unix és la llongitut, per a propòsits d'alta seguritat, massa talla de les seues claus; lo que fa anys era poc més que un plantejament teòric, actualment és alguna cosa factible: sense ni tan sols entrar en temes d'hardware dedicat, segurament massa car per a la majoria d'atacants, en un supercomputador és possible trencar claus d'Unix en menys de dos dies.

Un método que aumenta la seguritat de les nostres claus front a atacs d'intrusos és el sifrat per mig de la funció coneguda com bigcrypt() o crypt16(), que permet llongituts per a les claus i els salts més llargues que crypt i no obstant, encara que s'aumenta la seguritat de les claus, el problema que es presenta ací és l'incompatibilitat en les claus del restant de Unices que seguixquen utilisant crypt; est és un problema comú en atres aproximacions que també es basen en modificar l'algoritme de sifrat, quan no en utilisar un de nou.

PAM

PAM (Pluggable Authentication Module) no és un model d'autenticació en sí, sino que es tracta d'un mecanisme que proporciona un interfaç entre les aplicacions d'usuari i diferents métodos d'autenticació, tractant d'esta forma de solucionar un dels problemes clàssics de l'autenticació d'usuaris: el fet de que una volta que s'ha definit i implantat cert mecanisme en un entorn, és difícil canviar-ho. Per mig de PAM podem comunicar a la nostra aplicacions en els métodos d'autenticació que desigem d'una forma transparent, lo que permet integrar les utilitats d'un sistema Unix clàssic (login, ftp, telnet...) en esquemes diferents de l'habitual password: claus d'un sol us, biométricos, targetes inteligents...

La gran majoria de les aplicacions de linux usen estos métodos (PAM) para autenticarse front al sistema, ya que una aplicació preparada per a PAM (PAM-aware) pot canviar el mecanisme d'autenticació que usa sense necessitat de recompilar els fonts. Inclús es pot aplegar a canviar el sistema d'autenticació local sense siquiera tocar les aplicacions existents.

PAM ve 'de série' en diferents sistemes Unix, tant lliures com a comercials, i el nivell d'abstracció que proporciona permet coses tan interessants com kerberizar nostra autenticació (a lo manco la partix servidora) sense més que canviar la configuració de PAM, que es troba be en el ficher /etc/pam.conf o be en diferents archius dins del directori /etc/pam.d/

PAM treballa en quatre tipos separats de tasques d'administració: authentication, account, session, i password. L'associació de l'esquema d'administració preferit en el comportament de l'aplicació es fa per mig d'archius de configuració. Les funcions d'administració les fan mòduls que s'especifiquen en l'archiu de configuració. Més alvance s'explicara breument la sintaxis de l'archiu de configuració ya que es va fòra de l'alcanç d'este artícul.

Quan una aplicació preparada per a PAM inicia, s'activa la seua comunicació en la API de PAM. Entre atres coses açò força la llectura de l'archiu de configuració: /etc/pam.conf. Alternativament pot ser que s'inicie la llectura dels archius de configuració baixe /etc/pam.d/ (quan existix un archiu de configuració correcte baix este directori, s'ignora l'archiu /etc/pam.conf)

Sintaxis de l'archiu de configuració

L'archiu (/etc/pam.conf) està format per una llista de regles (típicament una per llínea). Cada regla és un conjunt de camps separats per espais (els tres primers són case-sensitives):

service type control module-path module-arguments

La sintaxis dels archius baix /etc/pam.d/ és igual llevat que no existix el camp "service". En este cas "service" és el nom de l'archiu en el directori /etc/pam.d/ (el nom de l'archiu deu estar en minúscules) Usualment service és el nom del servici o aplicació comunament usat, eixemple d'açò són login, el seu i ssh.

type especifica a que grup d'administració està associada la regla. Les entrades vàlides són:

• account/conte: este mòdul maneja el conte sense basar-se en autenticació. Típicament s'usa per a restringir/permetre l'accés a un servici basat en l'hora o potser des d'a on es loguea l'usuari (ej.: root solament es pot loguear des de consola

• auth: proveïx mecanisme d'autenticació (l'usuari és qui diu ser).

• password/clau: este mòdul és requerit per a modificar la password de l'usuari.

• session/sessió: este mòdul està associat en fer tasques prèvies i/o posteriors a l'inici del servici mateix (poden ser coses com montar un directori, activar logueos, etc.).

El tercer camp control especifica que fer si falla el control aplicat. Existixen dos sintaxis per a este camp, una senzilla d'un camp i una atra que especifica més d'un camp dins de corchetes rectes [] Per a la bàsica, les opcions són:

• required/requerit: indica que esta regla deu ser exitosa, de lo contrari l'usuari no és autorisat a córrer el servici. Si falla es torna el control al programa, pero abans s'eixecuten tots els mòduls.

• requisite/requisit: és com el required, pero torna el control al programa en seguida de fallar.

• sufficient/suficient: Si este mòdul es verifica, llavors (es torna) se li dona el ok al programa i no se seguix verificant els atres mòduls.

• optional/opcional: la falla o no d'este mòdul és solament important si és l'únic existent.

El quart camp module-path especifica el path al mòdul PAM associat en la regla. Els mòduls es troben en /lib/security.

El quint camp module-arguments és un conjunt de zero o més arguments passats al mòdul durant la seua invocació. Els arguments varien segons el mòdul.

La configuració dels archius de configuració baixe /etc/pam.d/ resulta ser més flexible (s'evita tindre una archiu únic enorme). Baixe este directori es pot trobar l'archiu de configuració personal d'un servici particular com ser ssh. L'única diferència entre la sintaxis de l'archiu /etc/pam.conf és que no existix el camp service.

Enllaços externs

• Autenticació i autorisació
• Autenticació d'usuaris