Y ahora que salimos del tema Herráez entramos al tema de controles de acceso en este caso vamos a tocar
el tema de métodos de autenticación y tenemos el tipo uno de autenticación que es algo que sabemos por
ejemplo un password un pase Froiz un pin algo que sabemos como tal y los ataques a los que podríamos
estar expuestos sería el famoso password cracking que tiene varias varias varios sabores digámoslo así
hay varias formas de operar por ejemplo tenemos los ataques de diccionario que son ya password preestablecidos
se pueden utilizar los password más usados hay passwords ya creadas por ejemplo Roggio punto txt que
se encuentra en la mayoría de sistemas operativos Calí por ejemplo tenemos la fuerza bruta que es nada
de inteligencia como ya habíamos discutido anteriormente.
Es decir no hay listas de palabras no hay no hay nada.
Empezamos con una o una una.
Luego cuando nos acabamos el alfabeto y seguimos con la i el número 1 o la número 2 y así verdad esa
es la fuerza bruta.
Luego tenemos un híbrido que puede ser bueno.
Aquí está la lista de palabras volverles como se le conoce comúnmente.
Y bueno no funcionó.
Entonces empecemos con fuerza bruta tenemos los famosos rainbow tables o tablas de arcoíris.
Y qué significa esto que son ya palabras prefijadas.
Es decir yo tengo la palabra hola y tengo su jazz tengo la palabra Dios y tengo Zújar tengo la palabra
etcétera etcétera.
Para qué entonces si nosotros logramos interceptaron jazz podamos hacer una ingeniería inversa más o
menos sobre el jazz y ver a qué palabra pertenece y es por eso justamente que platicábamos en videos
anteriores.
Lo peligroso de las colisiones cuando hablamos de jazz es decir si la misma dos palabras distintas en
un mismo jazz pues ya no importaría qué palabra la originó en tanto yo pueda generar ese jazz.
Luego tenemos los saltos y los hits se recuerdan del tema de los vectores de inicialización que vimos
en el dominio de criptografía.
Pues acá es que por ejemplo un password podría ser hallado de múltiples maneras es decir si yo tengo
el password y la palabra Hola soy yo le agrego un vector de inicialización 1 2 3 al inicio la siguiente
vez la siguiente vez que lo intento Jaller le agrego otro vector de inicialización pues el resultado
va a ser distinto y por ende voy a tener un poco más de seguridad en este tipo de autenticación que
es la número 1 que es algo que yo sé.
Luego pasamos al tipo de indicación número 2 que es algo que yo tengo es decir en este caso un batch
una tarjeta inteligente o una smart card un token físico como tal es algo que yo tengo que yo poseo
conmigo.
Y luego tenemos el tipo de autenticación número 3 que es algo que yo soy en este caso los biométricos
verdad.
Ahora algunas cosas a tomar en cuenta con el biométrico si bien son muy importantes y muy eficientes
para lo que lo están lo que estamos tratando de usar esta autenticación también tienen ciertos problemas.
Por ejemplo cómo enrollamos a los usuarios cuánto tiempo nos va a tomar registrar la huella por ejemplo
en este caso de cada usuario.
También la aceptación que tenga el usuario.
Si bien la huella no es un tema muy intrusivo qué pasa cuando hay biométricos que escanean el iris del
ojo verdad o biométricos que hacen algo un poco más intrusivo con el usuario lo va a aceptar bien no
lo va a aceptar bien.
También tenemos que ver el tema de la precisión verdad tenemos los falsos positivos y los falsos negativos
de un falso positivo o un falso reject reject.
Puede ser que el usuario podía acceder al sitio o a la información pero no se pudo porque no lo leyó
bien.
El Reader o el lector del biométrico Borda ahora tenemos el otro más dañino todavía que es que el usuario
no debía haber accedido y el Reader le dio acceso no sé si lo identificó digámoslo así entonces también
tenemos que tomar en cuenta eso.
Por ejemplo qué pasa si yo vengo y hago un tengo un biométrico con mi dedo y por algún accidente pues
yo pierdo ese dedo.
Qué pasa si hay un biométrico que lee el iris.
Pero yo me enfermé o una chica quedó embarazada.
Eso cambia también el tema del ojo.
Entonces hay que tomar todo esto en cuenta para parar con tan solo considerar los biométricos que es
el tipo de autenticación número 3 algo que yo soy y tenemos el tipo de autenticación número 4 es algún
lugar donde yo estoy.
Es decir yo me puedo autenticar con mi password pero si lo hago desde la compu que ya está registrada
o desde la computadora que ya está registrada como mía o oficial del trabajo pues no hay ningún problema
y si lo hago desde la IPEA donde ya saben que yo estoy localizado en este caso Centroamérica Sudamérica
etcétera etcétera pues no hay ningún problema.
Pero qué pasa si te indicándome con mi password.
Pero desde Europa hago algo como que no cuadra y entonces podríamos utilizarlo como método de autenticación.
Luego tenemos las tecnologías de controles de acceso centralizados versus centralizados.
Aquí siempre hago la pregunta cuál es mejor y dependes casi siempre de por qué.
Porque nunca los negocios van a ser los mismos.
Si podemos tener dos bancos podemos tener dos aseguradoras.
Podemos tener dos hospitales pero el giro de negocio casi siempre va a ser distinto en algo o en algo
muy pequeño o algo muy grande pero va a ser distinto.
Entonces centralizados descentralizados depende centralizado.
La ventaja es que tenemos pues valga la redundancia un sistema central donde darle mantenimiento al
cual ir a cambiar agregar usuarios quitar usuarios dar de baja etcétera etcétera.
El problema es el cuello de botella o el famoso single point of Fellowes o el punto único de fallo.
Ahí tenemos problema porque si falla eso puede que falle muchas cosas más.
Ahora bien los descentralizados no tienen ese problema porque si bien uno falla el otro puede con una
especie de Fail Over entrar a funcionar.
El mantenimiento de ellos es muy tedioso y los puntos vulnerables se expanden no porque si tenemos en
el centralizado un punto en el centralizó vamos a tener cinco o diez puntos.
Tenemos el single sinón O S O y esto es básicamente una forma fácil para loguearse a los diferentes
recursos que yo tengo que es el single zaino.
Esto me permite o esta tecnología o este protocolo me permite utilizar una sola credencial para acceder
a varios recursos.
Es decir no es que tengan que tener la misma contraseña en los diferentes recursos o sí depende cómo
simplemente significa que yo vengo y agarro mis credenciales las meto en una especie de bóveda segura
que le llamamos token o ticket y este tickets es el que utilizo yo para guiarme en el servidor de impresoras
en el servidor web en el servidor de base de datos etcétera etcétera.
La mayoría de veces lo vemos implementado con Active Directory y el protocolo Kerberos donde entonces
tenemos un kit Distribution Center que es el que el encargado de ver de autenticar al usuario de repartir
tokens de repartir tickets y entonces también algunas veces es incluso el encargado de hacer la doble
factor de autenticación es decir yo más auténtico con el que destruyen Center el centro me da un toque
yo vivo en vivo y se toca en el servidor diciéndole bueno si tengo permisos de acceder a este recurso
y el servidor se da la vuelta con el Authentication Server de nuevo para ver si el token es legítimo.
Si hay un problema Mottaki que es el Single Point of Felli Bleda Qué pasa si la Authentication Server
se cae.
Pues básicamente no tengo acceso a ningún servicio Orda entonces es un gran problema que tenemos que
tener en cuenta para paraplejia para ver si vamos a implementar el single zaino.
Luego pasamos a tamen absurdidad en arent.
Básicamente tener un trail de auditoría o tener el famoso no repitiã y en verdad que el usuario no pueda
negar haber hecho algo bueno.
Temas de federados Federighi Identity Management.
Qué significa el Federated Identity Management.
Esto significa single Einhorn si es algo que yo puedo utilizar para loguearse en varios servidores o
servicios utilizando una única credencial.
Pero qué pasa cuando estos servicios se encuentran proveídos o los proveen diferentes empresas.
Es decir un ejemplo si estoy de repente comprando un boleto aéreo o un ticket de avión para ir de viaje
a algún lugar.
Sin embargo yo quisiera comprar pues o no sólo el ticket de avión sino mi estadía en algún hotel o Myer
Bambi o cualquier cosa donde yo me tengo que quedar y aparte quiero comprar entradas algunas amenidades
y todo esto necesito tener un usuario por aparte para poder accesar a estos servicios y poder hacer
las compras.
Algunas aerolíneas o algunas cadenas hoteleras ya lo hacen un poco más fácil con el tema de Esfero Federated
Identity Management.
Qué significa esto.
Que yo con las credenciales a las que me elogié para mi aerolínea podría hacer la compra del hotel y
también podré hacer la compra de los servicios de alguna amenidad que quiera entrar a me da amenidad
a la que quiere asistir.
Entonces aquí es donde Ferrobaires Identity Management utiliza mecanismos de autenticación.
En este caso son dos muy específicos que no son los únicos ojo pero si bien los más usados primero tenemos
el sambo Security Association Markup Language y como se pueden imaginar por el nombre si está basado
en XML y lo que intenta este digamoslo protocolo o protocolo es intercambiar información de seguridad
incluyendo el data de autenticación por supuesto.
Por ejemplo una meta de Samu es por ejemplo establecer signos Einhorn a nivel internet o a la escala
de Internet es básicamente llevar al símbolo zaino.
El concepto ha sido Savina para internet otra vez yo estoy ligado a mi aerolínea y con mi aerolínea
pueda hacer la compra del hotel y con la compra de comprar asistir a algunas amenidades y de repente
comprar x z o alquilar un carro por ejemplo.
Entonces este es el propósito de zambos pero también tenemos el hopping Authentication y el hospedada
Authentication en su versión 2.0.
Ahorita tiempo de grabación es un framework otra vez igual que Samu que habilita aplicaciones de proveedores
distintos o incluso tecnologías distintas a hacer controles de acceso por medio de HTTP verdad entonces.
Aquí es donde tenemos dos protocolos de donde echar mano para poder establecer un Federer Identity Management
para poderlos lograr ya sea a través de internet o a través de una intranet.
No sé depende de la configuración pero pueda guiarme a diferentes servicios incluso cuando están proveídos
por diferentes compañías.
Esa es la razón de ser del futuro Identity Management.
Luego tenemos identificación como un servicio identity as a Service se recuerdan cuando vimos un pequeño
Overview de la nube que dijimos que ahora a todos se podría tocar como un servicio o ex as a Service
verdad.
Identidad también puede ser un servicio a identity as a Service verdad o la famosa Cloud Identity y
esto es lo que permite que las organizaciones puedan utilizar este servicio para implementar un Identity
Management Identity Management.
No son baratos no son fáciles de implementar necesitan mucho mantenimiento necesitan mucho expertise
para poderlos implementar de una buena forma porque si no los implementamos pues básicamente ser o darles
a los atacantes las llaves del reino o dar las llaves a toda nuestra a todas nuestros recursos.
Porque si se deja hackeado pues podrían acceder a cualquier recurso.
Al final tienen la base de datos de todas nuestras autenticación.
Entonces es un poco difícil.
Se está viendo esto de Identity as a service es decir yo te provee el servicio de identidad como tal
verdad.
Y bueno eso es como identity as a Service y luego se aseguran que les había mencionado el tema de Active
Directory como parte del single zaino o de lo más utilizado pues no podemos y si estamos hablando de
Active Directory no podemos dejar afuera el protocolo la verdad.
Leith Directory Access Protocol o LDAP provee.
Digamos que un protocolo un punto base un punto en común para intercambiar o hacer cueritos verdad hacia
un directorio o un servicio de directorios de información.
En este caso se provee a nivel de red verdad el LDAP pues pueden verlo como una aplicación de un protocolo
un protocolo a nivel de aplicación se recuerdan de la capa OSI que funciona en capa 7 y utiliza en este
caso el puerto 389 para ser TCP pero también lo he visto que se utiliza en Puerto 88 a través de UDP
otra vez.
Es porque se pueden cambiar.
Por supuesto que sí y pueden ustedes decir yo no quiero TCP porque tengo un observed en la red muy grande
y no lo quiero utilizar completamente valiã y Kerberos.
Cómo es que funciona Kerberos.
Bueno Kerberos en pocas palabras tenemos un cliente y el cliente viene lo que hace es Peyró loguearse
una única vez con un único password a la authentic.
Perdón al Cadence que es el que distribuye en centro que es el que distribuye en centro.
Básicamente el que distribuye un centro es el Active Directory donde tenemos a todos nuestros usuarios
con todos los passwords relacionados.
Entonces es el paso número uno es yo como usuario me lo veo a la Actis Directory o en este caso alcadesa
Cadence verdad el KBC me envía un TGD verdad tiquet routing tícket encriptado con mi password que en
este caso mi password es un sinónimo de la llave simétrica que se está utilizando para encriptar password.
Yo me llega el tweet a mi computadora o a mi persona.
Yo lo que debo hacer es desencriptar con mi password recuérdense que yo lo que estoy diciéndole al alcalde
ese es mi nombre es Alejandro Guinea y yo lo que quiero es un TGD para acceder a los servicios.
Entonces si yo realmente soy Alejandro Guinea y me sé mi contraseña o mi password pues tendría que poder
desencriptar esto sin ningún problema.
Entonces yo desencriptar el TT y se lo envié de vuelta de ese encriptado alcadesa como prueba de que
yo realmente soy Alejandro Guinea.
Luego alcadesa viene y me envía otro tícket que se llama TGS ticket Matching Service y este lo que tiene
es que ya me permite acceder a los servicios que quiero utilizar.
Hagamos de cuenta que es una base de datos vengo yo y le mando el TGS en base de datos.
Aquí tengo el TGS que tiene toda mi información tienen los permisos que yo tengo etcétera etcétera.
Por favor deme acceso yo puedo utilizar ese mismo TGS para loguearse al servidor web al servidor FTP
etc etc etc etc etc etc..
Podemos agregar un paso adicional que es que el servidor vaya y le pregunte al al ticket alcade sé por
qué Distribution Center le dicen hoy me me cayó o me enviaron este TGS es en realidad este TGS en realidad
pertenece a Alejandro Guinea y el Kaede se le puede decir si en realidad si pertenece o no en realidad
no pertenece a verdad entonces aquí podemos ver cómo funciona de una forma muy básica y simple Kerberos.
Ahora hay otros protocolos que digamos no quiero decir que mejoran la funcionalidad de Kerberos pero
sí que tienen más opción un poquito más de flexibilidad.
Pero yo creo que aquí es cuestión de gustos.
Por ejemplo tenemos radios.
Es uno de los protocolos que se asemejan a Kerberos o que entran dentro de la familia inglesa y no tenemos
radios que es una autenticación de forma remota verdad.
Y si es un protocolo que es muy bueno.
Luego tenemos Diameter que es un sucesor de rayes por ejemplo verdad y que está designado con un poquito
más de la Triple A Bardají autenticación autorización ni accountability.
Luego tenemos la familia atacáis Ithaca explosive que significa el término access controller Access
Control System creo que hubieran podido tener un mejor nombre para eso pero es un sistema de autenticación
centralizado nada más.
Y bueno cada uno tiene sus detalles y sus formas distintas de operar pero al final todos caen dentro
de la familia sin Gossain.
Y bueno pues estos premios espero les ha gustado y nos vemos muy pronto.