AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

21
AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002

Transcript of AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

Page 1: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP

ANDRES HOLGUIN CORAL

2002

Page 2: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

ADVERTENCIA

LA PONECIA NO REFLEJA LA OPINIÓN DE LA DIRECCIÓN DE TECNOLOGÍAS

DE INFORMACIÓN DE LA

UNIVESIDAD DE LOS ANDES.

Page 3: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

¿Qué es autenticación?

Autenticación se refiere al proceso por el cual un usuario de una red adquiere el derecho a usar una identidad dentro de la misma.

Existen diferentes maneras de autenticar a un usuario:

• El uso de claves (Lo que se)• Tokens (Lo que tengo)• Biométricos (Lo que soy)• Combinaciones de los Anteriores (factor 1, factor 2 …)

Page 4: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

¿Dónde se origina el problema?

Page 5: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

1. El usuario usa tantas claves y métodos de autenticación como servicios presta la organización.

• El usuario para simplificar su trabajo tiende a usar claves muy fáciles.

• Con un mínimo conocimiento de la persona puedo saber cual es la clave que usa.

• Los costos de administración de usuarios aumentan.

El problema de la autenticación(1)

Page 6: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

2. La administración de usuarios se hace de manera descentralizada en cada aplicación.

3. Cada servicio que presta la organización tiene su propio método para el manejo de los usuarios.

El problema de la autenticación(2)

Page 7: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

¿Qué pasa si se compromete una clave?

• Perdida de confidencialidad de la información, debido a que al usar claves débiles se puede acceder a la información privada de la organización.

• Perdida de la integridad de la información y suplantación de usuarios, usando la clave de otra persona se puede alterar la información haciéndose pasar por otra persona.

• Perdida de la disponibilidad de la información, al cambiar la información no se tiene acceso a ésta cuando se requiere.

Page 8: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

La solución

AUTENTICACIÓN CENTRALIZADA

Page 9: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

¿Qué es autenticación centralizada?

Autenticación centralizada es ubicar los usuarios y sus claves en un repositorio centralizado, para que los usuarios de los servicios se validen en este lugar.

Radius

UNIX APLICACIONES

LDAP

Page 10: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

¿Cómo se implementa?

PAM para UNIX

free radius Sincronización con active directory

free radius con eap

Módulo de Autenticación

LAD

Page 11: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

¿Cómo funciona?

ServidorLDAP

Principal

ServidorLDAP

Respaldo

Estaciones Clientes

Servidores Sun

Controlador de DominioActive Directory

Modulo LAD

ServiciosGroupware

ServiciosIMAPPOP

Aplicacionesweb

Servidores LDAP

Page 12: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

¿Qué es LDAP?

• Lightweight Directory Access Protocol. 

• Es un protocolo cliente servidor hecho para acceder a un servicio de directorio en el modelo TCP/IP. Esta basado en el protocolo X.500.

• Un directorio es similar a una base de datos, pero tiende a contener información más descriptiva.

• Directorio refleja a la gente dentro de la estructura de una organización. 

Page 13: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

Diseño de un directorio Como el protocolo LDAP es la base del sistema de autenticación centralizada, el diseño del directorio es la clave para el buen funcionamiento de la solución.

O=dominio.com

ou=bogota ou=cali ou=medellin

Page 14: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

PAM (Pluggable Authentication Module)

Es una librería de interfase para la autenticación de múltiples servicios.

Desliga la autenticación del sistema operativo y lo traslada a un tercero, que en este caso es LDAP.

Ventajas: Seguridad Flexibilidad

Page 15: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

¿Qué es LAD?

• LDAP Autentication Deamon• Es un demonio que corre sobre una

maquina con sistema operativo Linux o Solaris.

• La función de este demonio es hacer que las aplicaciones web que se autentican usando el protocolo AUTD lo hagan de manera segura y usando LDAP.

Page 16: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

Como funciona el módulo LAD

Directorio LDAP

Módulo Autenticacion conLDAP

Módulo Autenticacion con elcliente

Módulo de Logs Módulo de Gestion

Base de datosrelacional

Archivo de logs

Módulo Central

Usuarios

ConeccioSegura

Conexión SSL

Page 17: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

¿Qué es Active Directory?

Es la implementación del protocolo LDAP que Microsoft desarrollo para Windows 2000 Server.

Page 18: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

Sincronización con Active Directory

Para la creación de cuentas en el active directory, se usan scripts hechos en un servidor UNIX de manera centralizada, estos scripts crean las cuentas tanto en el sistema operativo UNIX como en el LDAP y en el Active Directory. Lo único que hay que tener en cuenta es que los campos en el directorio Iplanet o OpenLDAP y en el Active Directory se llaman diferente.

Page 19: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

Relación entre los nombres de los campos

IPLANET -OpenLDAP

ACTIVE DIRECTORY

dn dn

uid samaccountname

email userprincipalname

displayname displayname

givenname givenname

Page 20: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

¿Cómo se sincronizan las claves?

Se debe hacer una aplicación que cambie las claves tanto en el Directorio LDAP (OpenLDAP o Iplanet) y en el Active Directory.

Para lograr que las claves se mantengan sincronizadas se deben manjar las excepciones en esta aplicación, por ejemplo que unos los dos directorios se encuentre fuera de línea.

Por último a los usuarios no se les debe permitir cambiar la clave desde su estación de trabajo Windows.

Page 21: AUTENTICACIÓN CENTRALIZADA CON TECNOLOGÍA LDAP ANDRES HOLGUIN CORAL 2002.

Referencias• Implementing LDAP in the Solaris™ Operating Environment, Tom Bialaski - Enterprise

Engineering, Sun BluePrints™ OnLine - October 2000• Internetworking whit TCP/IP Volume III Douglas E. Comer David L. Estevens, Prentice Hall –

1993• Notes from the Directory Services Summit at Big Ten Conference Center September 28,

1999, http://www.citi.umich.edu/u/kwc/CIC-RPG/CIC-DirectoryServicesSummitSep1999.htm• Programer’s Guide Nestcape LDAP SDK for C, Noviembre 20 de 2000• TCP/IP Ilustrated Volume 2, W. Richard Stevens, Addison-Westley – 1994• RFC 2251 -- Lightweight Directory Access Protocol (v3)• RFC 2254 -- The String Representation of LDAP Search Filters• RFC 2829 -- Authentication Methods for LDAP• http://www.sans.org/infosecFAQ/authentic/layered.htm• Understanding and Deploying LDAP Directory services, Timothy A. Howes, Macmillan – 1999• http://www.cni.org/projects/authentication/authentication-wp.html• http://www.sans.org/infosecFAQ/win2000/kerberos2.htm• http://www.sans.org/infosecFAQ/dir/LDAP.htm• http://www.sans.org/infosecFAQ/authentic/radius2.htm• Kerveos ftp://ftp.isi.edu/in-notes/pdfrfc/rfc1510.txt.pdf• Radius ftp://ftp.isi.edu/in-notes/pdfrfc/rfc2865.txt.pdf• Rivest, R. and S. Dusse, "The MD5 Message-Digest Algorithm",RFC 1321, April 1992.