SSO: Single Sign On
Explora sistemas externos de confiança (TTP) para autenticação
Sistemas próprios da organização
Sistemas externos (Google, Facebook)
Serviços de AAA
Autenticação, Autorização e Accounting
Em redes: RADIUS e DIAMETER (telecoms)
Vantagens
Permite a reutilização das mesmas credenciais em múltiplos sistemas
Repositório único para as credenciais
Mais difícil de roubar as credenciais do que se estiverem distribuídas pelos sistemas
Pode implementar restrições (vistas) ao perfil para cada sistema
Desvantagens
Requer mais recursos para o sistema de autenticação
Único ponto de falha
Falha implica a perda de acesso a todos os sistemas
Perda de credenciais implica comprometimento de todos os sistemas
Introduz atrasos nos processos de autenticação
Requer agente que expõe utilizadores remotos nos sistemas locais
Windows: Utilizadores com perfis remotos, não disponíveis na SAM
Linux: Utilizadores não presentes no /etc/passwd
Tem de utilizar mecanismos de cache para acelerar operações
Pode fornecer informação adicional do perfil
Tipo de utilizador: Estudante, professor, admin
Informação adicional: email, home, nome...
Sistemas que fazem uso de SSO têm de ser aprovisionados
Frequentemente também especificamente autorizados
LDAP - Lightweight Directory Access Protocol
Protocolo para manter um diretório de informação
Diretório hierárquico com informação sobre utilizadores, sistemas e serviços
Informação é organizada numa árvore
Acesso ao diretório pode ter partes públicas e restritas
Acesso anónimo: dados gerais dos contactos e configurações
Acesso Autenticado: Informações específicas do perfil
LDAP Bind: associa uma sessão a um utilizador
Login: caminho (dn=user,ou=people,ou=deti,dc=ua,dc=pt)
O mesmo diretório pode conter vários domínios
Kerberos
Protocolo de autenticação para ambientes de rede
Baseado no conceito de Tickets com validade limitada
Processo por defeito para MS AD (Ex, CodeUA)
Suporta autenticação mútua
Cliente recebe do autenticador um token cifrado com a sua senha (do cliente)
Quarto entidades chave
Cliente: pretende aceder a um serviço
Service Server (SS): Fornece um serviço que o utilizador pretende usar
Ticket Granting Server (TGS): Fornece acesso aos serviços
Authentication Server(AS): Fornece acesso ao TGS
Key Distribution Center = AS + TGS ( + base de dados)
Kerberos: Client Authn
Utilizador envia pedido ao AS com o seu ClientID
AS responde com 2 mensagens:
A: Enc_user-key(Client/TGS Session Key)
B: Enc_tgs-key(Cliente, Endereço de Rede, Validade, Client/TGS Session Key)
Utilizador usa a sua chave para decifrar A
Envia pedido ao TGS com 2 mensagens
C=B + Identificador do serviço
D=Enc_client/TGS SessionKey(ClientID, Timestamp)
Last updated