Windows Server 2003 SmartCards y Biometría Javier Pereña Peñaranda Ingeniero de Sistemas Código: HOL-WIN14.

Presentación del tema: "Windows Server 2003 SmartCards y Biometría Javier Pereña Peñaranda Ingeniero de Sistemas Código: HOL-WIN14."— Transcripción de la presentación:

1 Windows Server 2003 SmartCards y Biometría Javier Pereña Peñaranda Ingeniero de Sistemas jperena@informatica64.com Código: HOL-WIN14

2 Agenda Sistemas de control de acceso. –Sistemas Preventivos –Qué es un Mecanismo de Control de Acceso –¿Qué entendemos por acceso? –Objetivos de los Mecanismos de Control de Acceso –¿Cómo se preservan estos principios? –Características esenciales de un Sistema de Control de Acceso (SCA) –Etapas del Proceso de Control de Acceso –Identificación

3 Agenda –Autentificación Autentificación Tipo1 –Tipos de contraseñas. –Passwords managers Autentificación Tipo 2 Autentificación Tipo 3: Biometría –Dispositivos Biométricos. –Tipos de Biometrías. –Aceptabilidad de Biometrías.

4 Agenda –SmartCards ¿Qué es? Orígenes. El chip de la SmartCard. Composición del Chip Microprocesador La interfaz Host y Card Software Software de seguridad. Tarjetas actuales Aplicaciones actuales. Evolución. La Contactless Smart Card Futuros usos. Bibliografía.

5 Agenda Visión general de Smart Cards –¿Qué es una Smart Card? –Tarjeta y Lector Implementación de PKI en Windows Server 2003 –Componentes de PKI –Inicio de sesión con Smart Card Implantación de Smart Cards DEMOS !!!!

6 Agenda DEMO. Autenticación biométrica mediante OneTouch by Intuate biometrics

7 Agenda FUTURO Del hogar digital al Ambiente Inteligente: DOMÓTICA. –Introducción. –Esquema de Ambiente Inteligente. –Tecnología –Referencias. –Información Adicional.

8 Agenda FUTURO Protocolo SET. Aplicación práctica de smartcards al e-commerce. –Características. –Entorno. –Certificación. –Jerarquía de certificación. –Autoridades de Registro. –Procedimiento. –Pago electrónico. –Ventajas sobre SSL. –SET frente a SSL y TLS

9 Sistemas de Control de Acceso

10 Sistemas Preventivos Dentro de las estrategias de Administración de la Seguridad existen tres funciones que son esenciales en cuanto a las acciones a aplicar para mitigar los riesgos asociados a los sistemas computacionales. –Prevención: Esta función guarda relación con planificar y realizar todas aquellas actividades necesarias para evitar que se produzcan eventos de seguridad que puedan provocar algún daño sobre cualquier medio informático. –Detección: Es la capacidad de poder detectar y reaccionar oportunamente frente a algún incidente de seguridad que se produzca para minimizar su daño. –Recuperación: En caso de haberse producido daño, poder recuperar rápidamente la operación y los servicios esenciales del negocio DISASTER RECOVERY PLAN

11 Sistemas Preventivos Dentro de la función de Prevención, se pueden distinguir diferentes ámbitos de acción posible, los cuales es necesario tomar en consideración, para poder conseguir un adecuado nivel de seguridad en la LAN interna de las empresas, a saber: –Mecanismos de Control de Acceso. –Control de Acceso Perimetral. –Seguridad de las Operaciones. –Seguridad Física. NOTA: Solo los 2 primeros aspectos se verán con detalle en este HOL.

12 Qué es un Mecanismo de Control de Acceso Un mecanismo de control de acceso corresponde a ciertas herramientas que sirven para administrar de forma efectiva el debido acceso de cada uno de los usuarios y sujetos a cada uno de los respectivos recursos de un sistema informático. Los mecanismos de Control de Acceso tienen como misión proteger a los sistemas y activos informáticos de accesos no debidamente autorizados que puedan ocasionar algún daño a la información que éstos contienen. Estas herramientas y técnicas constituyen la primera línea de defensa contra los eventuales riesgos asociados con accesos externos.

13 ¿Qué entendemos por acceso? Es el flujo de información entre un Sujeto y un Objeto Sujeto: Entidad activa (persona o proceso que solicita información de un objeto para realizar un tarea, lo cual puede generar cambios en el estado de un sistema) Objeto: Entidad pasiva que contiene información Programas Procesos Programas OBJETO SUJETO

14 Objetivos de los Mecanismos de Control de Acceso Los mecanismos de control de acceso (MCA) también buscan preservar el cumplimiento de los 3 principios fundamentales que gobiernan la seguridad de los sistemas informáticos. integridad Confidencialidad Disponibilidad

15 ¿Cómo se preservan estos principios? Confidencialidad: Con el fin de preservar un nivel de privacidad adecuado de la información que se alberga en los sistemas computacionales, los SCA, generan una definición de las necesidades reales de información de los usuarios. Integridad: Este principio vela por la total consistencia tanto externa como interna de la información y que ésta solo sea manipulada por entes debidamente autorizados. Disponibilidad: En este caso lo que se persigue es tener un acceso a los datos confiable y seguro para los usuarios autorizados.

16 Características esenciales de un Sistema de Control de Acceso (SCA) Todo SCA, debiera contener al menos las siguientes funcionalidades: –Proteger claves de acceso. –Desplegar e indicar los privilegios y restricciones que cada usuario autorizado tiene. –Ser capaz de registrar y notificar todas las violaciones de acceso cometidas en los sistemas IDS –Poseer la habilidad de restringir y bloquear los accesos de forma dinámica y flexible. –Proteger las tablas de control de seguridad, diarios y grupos de datos de almacenamiento. –Tener facilidad de mantenimiento y actualización para agregar cambios en las plataformas que supervisa.

17 Etapas del Proceso de Control de Acceso El proceso de control de acceso, pasa por las siguientes fases o etapas: –El sujeto presenta ciertas credenciales de identificación y ciertos niveles de privilegio. (Etapa de Identificación) –Hay que verificar si él es quien dice ser, y si las credenciales que presenta corresponden a su asignación de responsabilidad. (Etapa de Autentificación) –De ser exitosas las dos etapas anteriores, este usuario obtiene acceso a los recursos que ha solicitado (Etapa de Autorización). –Se debe llevar un registro de todas y cada una de las acciones que éste realizó en el sistema (Auditabilidad)

18 Etapas de un control de Acceso IdentificaciónautentificaciónAutorización Auditabilidad

19 Identificación El proceso de identificación de un individuo consiste en la presentación de credenciales que debieran acreditar su identidad. Éstas, en general son conocidas, y pueden ser: –Nombre de usuario (username) –Número de usuario (number ID) –Numero de cuenta (counter ID) –Dirección IP de la máquina que se conecta –Identificación del área funcional –Dirección MAC de la máquina que se conecta La más difundida de estas identificaciones es el nombre de usuario o la dirección de correo electrónico.

20 Autentificación El proceso de autentificación tiene que ver con la validación de la identidad de un individuo. Es decir, éste debe probar quien dice ser. Para ello debe presentar credenciales que permitan acreditar su identidad. Existen tres tipos de credenciales, más conocidas como factores de autentificación, que son: –Tipo1: Algo que la persona sabe (contraseña, PIN, frase, etc.) –Tipo2: Algo que la persona posee (Carnet de identidad, smartcard, etc.) –Tipo3: Algo que la persona es (su huella digital, etc.) Cuando un esquema de autentificación usa dos o más factores, se habla de autentificación robusta.

21 Autentificación Tipo1 Contraseñas: Corresponde a un conjunto de caracteres que se le asigna a un determinado sujeto y que solo él debe conocer, para validar su identidad. A este respecto deben tenerse las siguientes consideraciones como parte de una política de administración de éstas: –Estas claves no deben ser fácilmente deducibles (password triviales) –Debieran chequearse en todos los sistemas la existencia de contraseñas débiles y eliminarlas. MBSA 2.0, SSS, GFILanguard, Retina…………… –Los usuarios deberían cambiarlas cada cierto tiempo y, si fuera posible, no reutilizar contraseñas viejas. –Debiera contarse con un mecanismo generador de claves robustas, para cada usuario que requiera cambios. DE NIVEL C2 –Debieran bloquearse las cuentas después de un cierto numero de intentos fallidos (máximo 5) Contraseñas dinámicas por SW: Corresponde a un programa que genera números a partir de una base real (numero de tarjeta de crédito) mediante lo que se conoce como Función de Hashing

22 Tipos de contraseñas Contraseñas estáticas: Son las claves que se asignan una vez y no cambian en el tiempo. Contraseñas cognitivas: Son mecanismos de acceso que se basan en la formulación de una serie de preguntas personales para validar la identidad de una persona. Son utilizados en ciertos procesos que tienen poca frecuencia de uso (mecanismos de recuperación de contraseñas perdidas) Contraseñas Dinámicas: Corresponde a aquel tipo de contraseñas cuya vigencia es relativamente de corta duración (de unos días a unos cuantos minutos).

23 Password managers Con objeto de conseguir una protección real de estos sistemas, las claves de acceso ya creadas deberían ser almacenadas en un sistema que permita una verdadera protección y privacidad de ellas. Estos programas que realizan estas funciones de administración de claves de acceso, se conocen como administradores de contraseñas (password managers). Ej –Ej: PasswordLock – http://www.internetpeace.com/pwlman/password_wallet.htmhttp://www.internetpeace.com/pwlman/password_wallet.htm – Password Manager XP – http://www.cp-lab.com/http://www.cp-lab.com/ – Password Wallet from InfoCard – http://www.winsite.com/bin/Info?4000000037217http://www.winsite.com/bin/Info?4000000037217 –Password Wallet from TigerSoft – http://www.inet.hr/tigersoft/pwallet.htm, etc.http://www.inet.hr/tigersoft/pwallet.htm También existe una solución basada en dispositivos de hardware: –Trusted Computing Group –http://www.trustedcomputinggroup.org/http://www.trustedcomputinggroup.org/

24 Autentificación Tipo2 Token: Es un dispositivo portátil que despliega una secuencia de números que deben ser introducidos en la máquina, la cual está corriendo un mecanismo de autentificación interno para validar la identidad de quién desea ingresar en él. La validación se produce mediante la sincronización entre la información aportada por el Token y el mecanismo de autentificación del Computador Protegido (ver figura).

25 Autentificación Tipo2 MemoryCard: Es una tarjeta portátil, que tiene almacenada la información de autentificación del usuario. Ejemplo: –Tarjeta de entrada a un edificio o una empresa Tarjeta RedBanc SmartCard: Es un dispositivo similar al anterior, pero incorpora capacidad de procesamiento propia, lo cual permite un autentificación de 2 factores (pide escribir un Pin para desbloquear la tarjeta y una vez hecho esto, se incorpora la información proporcionada en la máquina debidamente protegida (ver figura). Frase Clave (PassPhrase): Es una serie de palabras que sirven para enmascarar una clave virtual, que permiten validar el acceso a ciertos servicios empresariales.

26 Autentificación Tipo3: Biometría Las medidas Biométricas son características especiales que identifican a los individuos en forma unívoca por sus rasgos biológicos más distintivos. Estas medidas se pueden obtener mediante dispositivos altamente sensibles, los que permiten medir la geometría de la mano, y ciertos patrones de la forma del ojo, para asegurar la identidad de los individuos. Sin embargo estos dispositivos no han tenido mucha difusión por los siguientes factores: –Se hace necesario un proceso de enrolamiento previo para registrar la información de los personas. –La gente no está acostumbrada a intervenirse ciertos órganos esenciales del cuerpo humano (ojos, manos).

27 Dispositivos Biométricos Debido a su alta sensibilidad estos dispositivos son susceptibles a ciertos errores denominados falsos positivos y falsos negativos. Sensibilidad Tasa Falso Positivo: Rechaza usuario valido (error tipo 1) Tasa Falso Negativo= Acepta Usuario no valido (error tipo 2) Tasa de Error Cruzada (CER)

28 Tipos de Biometrías Escaneo de la palma de la mano. Geometría de la Mano. Escaneo del Iris. Análisis de Patrón de Retina. Huella Digital. Reconocimiento de Voz. Reconocimiento Facial. Cadencia de la firma. Cadencia de la forma de teclear.

29 Aceptabilidad de Biometrías Escaneo del Iris. Cadencia de la forma de teclear. Cadencia de la firma. Reconocimiento de Voz. Reconocimiento Facial. Huella Digital. Escaneo de la palma de la mano. Geometría de la Mano. Análisis de Patrón de Retina.

30 SmartCard

31 ¿Qué es? Tarjeta de plástico del tamaño de una tarjeta de crédito, con un chip integrado que es capaz de almacenar datos, ofrecer seguridad y proporcionar otras funcionalidades añadidas. Smart Card En la actualidad, poseen una capacidad de cálculo similar a los primeros IBM-PCs

32 Orígenes La patente inicial fue realizada en 1974, pero no existió la tecnología necesaria para fabricar una SmartCard hasta 1976. Originalmente fue utilizada por las empresas de telecomunicaciones europeas para reducir los costes de mantenimiento de las cabinas telefónicas (tarjetas prepago). Posteriormente se extendieron sus usos a la telefonía móvil, las tarjetas monedero / de crédito / de débito y las tarjetas de historial médico.

33 El chip de la Smart Card Memory Chip Contenido no modificable una vez creado Sin capacidad de cálculo No ofrece encriptación Chip ASIC Contenido no modificable una vez creado Limitada capacidad de cálculo Ofrece encriptación estática Microprocesador Permite modificaciones Puede ofrecer diversos servicios para múltiples aplicaciones Ofrece encriptación avanzada

34 Composición del Chip Microprocesador (I) CPU – Interpreta y ejecuta los comandos que el sistema operativo de la tarjeta le facilita. ROM – En la ROM se almacena el sistema operativo, así como las funciones de diagnosis y testeo que el fabricante considere necesarias para asegurar el buen funcionamiento de la tarjeta.

35 Composición del Chip Microprocesador (II) RAM – Se utiliza para almacenar la información temporal. Su contenido se pierde cuando la tarjeta deja de tener alimentación. EEPROM – Contiene datos que pueden ser modificados y borrados, como los datos necesarios para el funcionamiento de las aplicaciones de la tarjeta. No es volátil, por lo que sería el equivalente al disco duro en un ordenador convencional. Una SmartCard normal tiene de 8 a 16 kilobytes de memoria de aplicación.

36 La interfaz Contact Requieren contacto físico con la máquina lectora. Contactless Integran una antena. No requieren contacto con la máquina lectora. Las transacciones se realizan mediante campos electro- magnéticos.

37 Host y Card Software Host software Card Software Software diseñado para ser ejecutado en PCs o en servidores de terminales lectores de tarjetas Generalmente escrito en un lenguaje de alto nivel (C++, Java, VisualBasic…). Accede a las funcionalidades de la tarjeta mediante librerías y drivers del fabricante Software diseñado para ser ejecutado en la propia tarjeta Generalmente escrito en el lenguaje ensamblador del chip de la tarjeta, o en un lenguaje de alto nivel que pueda ser interpretado o compilado para funcionar en la tarjeta.

38 Software de seguridad Basado en la criptografía. –Las llaves se almacenan en la tarjeta. –Los algoritmos y los protocolos están implementados en el Software de la tarjeta. –Utilizado para autentificar las entidades del sistema (principalmente usuario, tarjeta y terminal), y para encriptar las comunicaciones hacia el exterior. –Los fallos de autentificación pueden ser registrados, y el propio software de la tarjeta puede tomar medidas de protección (bloqueo, borrado de información…) Basado en la biometría. –Se utilizan datos biométricos del propietario para verificar que la tarjeta está siendo usada por la persona autorizada.

39 Tarjetas actuales Tarjetas magnéticas tradicionales: Tan solo contienen información escrita en la banda magnética, que tiene una capacidad máxima de 220 bytes. Memory Cards: No disponen de capacidad de proceso. Son capaces de almacenar de 8 bytes a 2 kilobytes en memoria de solo lectura, pero no ofrecen ninguna funcionalidad añadida. Utilizan Memory Chip. Logic Cards: Ofrecen una capacidad de proceso limitada, pero no disponen ni de procesador ni de memoria programable. Utilizan Chip ASIC. True Smart Cards: Tienen circuitería capaz de realizar operaciones criptográficas e incluso implementar protección mediante información biométrica (huellas digitales, scanner de retina…), y existen tarjetas en la actualidad con capacidades de hasta 1 Megabyte de memoria Flash. Utilizan Chip Microprocesador.

40 Aplicaciones actuales Tarjetas de estudiante Tarjetas telefónicas prepago Tarjetas monedero / de débito / de crédito Tarjetas para sistema Pay Per View Sistemas de fidelidad (loyalty) Autentificación de usuarios en un sistema informatizado Tarjetas de transporte público Pago en autopista sin parada (sistema VIA-T o OBE) Tarjetas de seguridad social, de historial médico, de acceso a instalaciones…

41 Evolución

42 La Contactless Smart Card Ventajas de la Contactless SmartCard Transacciones mas rápidas y cómodas Menor mantenimiento de los terminales Múltiples formas posibles (llaveros, collares…) Por ser contactless… Por ser True SmartCard… Mayor seguridad Posibilidad de tener múltiples aplicaciones Actualización del software y los contenidos de la tarjeta

43 Futuros usos Introducción de las SmartCards en todos los campos anteriormente ocupados por las tarjetas de banda magnética y el dinero en efectivo. Unificación de todo el contenido de nuestras carteras en una SmartCard universal. Posibles nuevos usos no factibles en la actualidad, por motivos éticos, de seguridad o de privacidad.

44 Bibliografía [1] Katherine M. Shelfer, J. Drew Procaccino; Smart card evolution : Communications of the ACM, July 2002. Volume 45, Issue 7 [2] Pascal Urien, Guy Pujolle; A simple security model for emerging 802.11 pervasive environments. Marzo 2003. [3] Jérôme Desmazures; From CONTACTLESS SMARTCARD to CONTACTLESS SMART TICKET. APTATransItech February 2002. [4] M. Hendry, Smart Card Security and Applications. Artech House, 1997. [5] Luciano Rila and Chris J. Mitchell; Security analysis of smartcard to card reader communications for biometric cardholder authentication. October 2002. [6] Scott Guthery and Tim Jurgensen, Smart Card Developers Kit. Macmillan Computer Publishing, 1998.

45 Smart Cards Alejandro Aguado Technical Account Manager Microsoft Services

46 Agenda Visión general de Smart Cards –¿Qué es una Smart Card? –Tarjeta y Lector Implementación de PKI en Windows Server 2003 –Componentes de PKI –Inicio de sesión con Smart Card Implantación de Smart Cards DEMOS !!!!

47 Instalación de los Servicios de Certificados

48 Smart Cards Visión general de Smart Cards ¿Qué es una Smart Card? Tarjeta y Lector

49 ¿Qué es una Smart Card? Tarjeta de aspecto similar a las tarjetas de pago actuales –ISO 7810 -> tamaño –ISO 7816 -> características físicas del soporte plástico (flexibilidad, temperatura), posición de contactos eléctricos, forma de comunicación del chip con el exterior –ISO 14443 -> SC de proximidad (contactless) –Otros estándares según función Telefonía celular digital Tarjetas de crédito (Europay, Mastercard, Visa) Monedero electrónico (Visacash, Mondex, Proton) Proporcionan portabilidad, seguridad y fácil utilización de los datos que almacenan. Contiene un chip de memoria únicamente o bien un chip de memoria y un microprocesador

50 Modelos más comunes Smart Cards de contacto –Se insertan en un lector. –Contacto físico con el lector. –ISO y USB-Token

51 Smart Card Services CSP/SCSP/Otros SP Smart Card Fabricante de la SmartCard Driver Lector Fabricante del lector Win2K/XP/2K3 Componentes de la SmartCard

52 Smart Cards Implementación de PKI en Windows Server 2003 Componentes de PKI Inicio de sesión con Smart Card

53 Public Key Infrastructure La infraestructura de PKI alude al conjunto de componentes (basados en certificados y CAs) que permiten una comunicación segura entre ambos extremos de la comunicación. Objetivos: –Integridad de los datos –Autenticación de los extremos –Confidencialidad de los datos –Valor legal (Non-repudiation) –Imposibilidad de reutilización (Anti-replay)

54 Componentes de PKI Key and Certificate Management Tools Certificate Publication Point Certification Authority Digital Certificate Public Key–Enabled Applications and Services Certificate Revocation List

55 PKI Tools CategoryTools MMC snap-ins Certification Authority Certificates Certificate Templates Command line Certutil.exe Certreq.exe Resource kit PKI Health (PKIview.msc) Key Recovery Tool (KRT.EXE)

56 Autoridades Certificadoras Enterprise Root CA Enterprise Subordinate / Issuing CA Stand-alone Root CA Stand-alone Subordinate / Issuing CA Es prioritario tener en cuenta que: –Enterprise mode Integrado en AD Los certificados y las plantillas serán publicados en el AD y se emplearán recursos del dominio. –Stand-alone mode Independiente Se utiliza cuando no existe AD o bien cuando delegamos en una tercera empresa la distribución de los certificados

57 Standalone CA Vs. Enterprise CA AttributesStandalone CAEnterprise CA AD integrationNon-AD integratedAD integrated Enrollment methodWeb forms-based MMC-based or Web forms-based Certificate templatesNone Supports certificate templates Subject informationEntered manuallyDerived from AD Certificate issuance Manual certificate approval Based on certificate template DACL Host server Workgroup or domain member Domain member Publication of CRL and certificate Manual publication to AD Automatic publication to AD

58 Software Code Signing Encrypting File System Smart Card Logon Smart Card Logon Wireless Security Wireless Security IP Security Digital Signatures Internet Authentication Secure E-mail Aplicaciones que hacen uso de PKI Windows.NET Certificate Services Software Restriction Policy Software Restriction Policy

59 Verificación de la autenticidad del certificado (certificate chaining) Step Process Certificate discovery 1.Collect CA certificates from Cache, Group Policy, Enterprise Policy, applications, and AIA URLs. Path validation 2.Process public key certificates and issuer certificates for validity. Path validation terminates at a root certificate. Revocation checking 3.Ensure no certificates are revoked –Windows 2000: Revocation checked after chain is built –Windows XP/W2K3: Revocation checked as chain is built

60 Inicio de Sesión Tarjetas Inteligentes 1 Card insertion causes Winlogon to display GINA 2 User inputs PIN 5 Kerberos sends certificate in a PKINIT login request to the KDC 7 KDC returns TGT, encrypted with a session key which is in turn encrypted using users public key 8 Smart card decrypts the TGT using private key allowing LSA to log user on 6 KDC verifies certificate then looks up principal in DS ReaderReader 3 GINA passes PIN to LSA SC 4 LSA accesses smart card and retrieves cert from card LSAKerberos KerberosKDC

61 Implantación de política de inicio de sesión con Smart Card

62 Requisitos para iniciar sesión con Smart Cards

63 How to enroll an Smart Card using an Enrollment Agent

64 How to configure Smart Card removal behavior

65 SmartCards Implantación de Smart Cards

66 Smart Cards en PKI

67 Entornos de uso de Smart Cards Almacenamiento seguro de credenciales PKI Incremento de seguridad: two-factor authentication Aumento de la seguridad: –de inicio de sesión de usuario interactivo –De autenticación de cliente para acceso selectivo a datos, recursos y sitios Web –Inicio de sesión remoto (Dial-Up, VPN) –Autenticación Wireless

68 Recomendaciones para Usuarios y Políticas Usuarios –Definir política de uso de smart card para logon interactivo –Definir qué ocurrirrá si el usuario extrae la tarjeta del lector Power Users y Administradores –Definir política de uso de smart card para estas cuentas Uso de políticas de contraseña largas RAS configurado para exigir autenticación vía Smart Card

69 Configuración vía GPO

70

71 Protocolos de autenticación en Windows Server System. Estándar. PAP. SPAP. CHAP. MS-CHAP. MS-CHAPv2. Extensibles. EAP y PEAP SMARTCARDS y CERTIFICADOS DIGITALES Windows Server System

72

73 Nuevas funcionalidades de Smart Cards bajo W2K3

74 Autenticación Biométrica

75 en local y en servidor Integración total en soluciones:

76 Integración 100% con sistemas Microsoft. Integración total en el directorio activo 2003 server. Es posible poner el dedo en cualquier posición para identificarse. Periférico USB / teclado. Single sign on con la huella. Librerías de desarrollo con matching alto rendimiento 1:20000 usuarios en 1,5 segundos identificación con huella Sensor óptico

77 Usuarios Identificarse con algo que tengo ---------------------------- Identificarse con algo que se --------------------------------- Identificarse con algo que soy ----------------- Huella dactilar Comodidad Seguridad

78 Usuarios de sistema Acceso al sistema (Local / Servidor AD) Acceso sólo con huella Acceso con huella o password Acceso con huella y password Combinación huella smartcard Para mayor comodidad del usuario (rapidez, autenticación off-line) se guardan en un cache local los últimos 20 templates (FIFO): en este caso se permite realizar la identificación y la autenticación en un solo paso y de forma biométrica. Comodidad / escalabilidad / fiabilidad / rapidez / movilidad entre puestos Ventajas

79 Usuarios de sistema Acceso a las aplicaciones OTS One Touch Sign On Acceso con huella a todas las aplicaciones del sistema sin desarrollo VPN Internet email Web Service File Share B2B Mainframe UNIX App

80 Usuarios Comodidad / escalabilidad / fiabilidad / rapidez / seguridad Ventajas -PCs dónde trabajen varios usuarios -Información confidencial -Sesiones personalizadas de usuario Usuarios de sistema en PCs genéricos (multi-usuario)

81 Solución One Touch Kiosk Se crea una UO con los usuarios que comparten PC Una vez el usuario haya terminado, abandonará su puesto sin necesidad de cerrar la sesión Se activa el salva-pantallas El nuevo usuario que acceda al PC sólo tendrá que poner su huella en el lector para acceder directamente a su sesión. Cada usuario accederá a su sesión sólo con el dedo. Rapidez, seguridad y comodidad Ventajas Usuarios de sistema en PCs genéricos (multi-usuario)

82 Acceso rápido a la sesión de usuario sólo con huella Cambio de sesión automático Sesión user 1 Sesión user 2... Usuarios de sistema en PCs genéricos (multi-usuario)

83 Gestión (administrador) Autenticación biométrica Local en entorno de red SW cliente de DigitalPersona El usuario registra su huella en local El usuario se autentica con biometría en local Se envía el user y la password al servidor La password del usuario está en local y en el AD Toda la información está almacenada y protegida con 128-bit 3DES encryption utilizando Windows CryptoAPI. No hay impacto en el Directorio activo El servidor no sabe si el usuario utiliza biometría o password Puesto de trabajo

84 Gestión (administrador) Autenticación en Directorio Activo SW cliente de DigitalPersona y SW servidor. El usuario se autentica en local y se envía al servidor el usuario y la huella. La huella es un archivo binario de 1,5 kb encriptado con 128- bit 3DES. El servidor realiza un segundo matching para la autenticación. Hay impacto en el Directorio activo Si se accede con huella o password * Puesto de trabajo Servidor con AD

85 Gestión (administrador) Autenticación en Directorio Activo Password randomarizado El usuario registra su huella en local. Siempre se autenticará con huella El usuario se autentica en local y se localiza en el container local el password randomarizado Se envía el user y la password al servidor Si por política la password caduca, el usuario sólo tiene que aceptar la generación automática de la nueva password. Puesto de trabajo Servidor con AD

86 Gestión (administrador) Autenticación OTS One Touch Sign on VPN Internet email Web Service File Share B2B Mainframe UNIX App El usuario asocia su huella a la aplicación El usuario se autentica con biometría en la aplicación Se envía el user y la password al servidor container OTS La información sólo puede ser manipulada por el administrador Los passwords y los usuarios están encriptados en el registro y/o en el servidor. No hay impacto en el Directorio activo.

87 Registro de dedos: -Modo atendido: attended Fingerprint registration tool -Modo autoservicio: el propio usuario registra sus dedos -Bloqueo de credenciales a nivel de directorio activo para que no se puedan modificar -Se pueden registrar hasta los 10 dedos del usuario. No supone mayor impacto registrar todos los dedos Autenticación huella o password en Servidor: Caducidad de la password -Cuando la password expira, la GINA presenta la habitual pantalla donde se introduce + +. Si el usuario toca el sensor biométrico, la password antigua se introduce sola, y sólo le queda al usuario elegir una password nueva. Con lo cual no habría problemas en el caso (probable) de que el usuario olvida su password. Puntos de interés

88 OTS: -La aplicación OTS sólo puede ser modificada por el administrador Gina: -La GINA DigitalPersona está basada en la GINA standard de Windows XP con funcionalidades biométricas Seguridad: -El sw de DigitalPersona utiliza asymmetric cryptography (RSA) - Todas las claves y certificados están gestionados por Windows CryptoAPI Puntos de interés

89 Del hogar digital al Ambiente Inteligente: DOMÓTICA

90 Un primer paso ha sido el concepto de hogar digital. Pero hay un concepto mucho más ambicioso,mas futurista LA INTEGRACIÓN CON TECNOLOGÍAS BIOMÉTRICAS. Aunque las posibilidades que ofrece la tecnología son ya muy atractivas, es innegable que son necesarias más y mejores aplicaciones. Los cambios tecnológicos más importantes son aquellos que dejan de ser visibles y conscientes para formar parte de la vida y son indistinguibles de ella. Por tanto, el objetivo de las tecnologías en el hogar es permitir que las facilidades que ofrece se integren en la existencia cotidiana y la hagan más cómoda, pero de manera que estos cambios no precisen un esfuerzo por parte de los usuarios. Introducción

91 Esquema de Ambiente Inteligente

92 Tecnología Mobile computing El concepto Mobile computing identifica un escenario en el que las aplicaciones que en él se ofrezcan son capaces de adaptarse fácil y rápidamente a los cambios de localización y ubicación de los usuarios y de los sistemas móviles que éstos transporten, independientemente de su capacidad de procesamiento y de sus recursos de interface. Para dichas aplicaciones serán transparentes la localización de usuarios y equipos y, respecto a estos últimos, su conectividad, ancho de banda, modos de interface y cualquier otra característica funcional que los defina. Tecnología

93 Wearable computing Los weareable computers son algo más que simples versiones miniaturizadas de PCs o similares. Son elementos que integran servicios e información en el espacio más cercano a los usuarios, de manera no intrusiva, liberando sus manos y la mayoría de sus capacidades de atención. Tecnología

94 Inteligencia de contexto (Context Awareness Intelligence) Por contexto se entiende cualquier información que pueda ser utilizada para caracterizar el estado de una entidad, bien sea ésta una persona, un objeto o un lugar, considerados relevantes en un proceso de interacción entre un usuario y una aplicación. Por lo tanto, el conocimiento del contexto supone disponer de información de cuanta entidad sea relevante a la hora de ejecutar una aplicación o reportar un servicio, de manera que dicha información condicione la aplicación o servicio. Tecnología

95 Dicha información, referida a cualquier tipo de entidad, puede ser del tipo: Identidad de los usuarios Espacial (localizaciones, orientación, velocidad, aceleración,...) Temporal (fecha, hora, estación del año,...) Ambiental (temperatura, calidad del aire, nivel de luminosidad,...) Situación social (personas cercanas) Recursos accesibles (artefactos, redes, capacidad de procesamiento,...) Características de los artefactos (autonomía, ancho de banda, inclusión en una red, elementos de interface de usuario,...) Parámetros fisiológicos (presión arterial, actividad muscular, tono de voz, ritmo cardiaco,...) Situación del arterfacto o sistema (activado, desactivado, en reposo,...) Tecnología

96 Así, context awareness es el mecanismo por el cual el comportamiento de una aplicación, con respecto al usuario que la activa, se adapta y modifica a tenor de dicho conocimiento. La incidencia del context awareness sobre una aplicación puede ser: Activa: la aplicación automáticamente se adapta al contexto, llegando a cambiar su comportamiento. Pasiva: la aplicación espera la orden del usuario para variar su comportamiento tras disponer de conocimiento del contexto. BIOMETRÍA Tecnología

97 Biometría (User Recognition) Uno de los elementos fundamentales del hogar del futuro será su conocimiento de quien está realmente dentro de la vivienda y qué actividad está realizando.Por tanto será necesario identificar a los moradores.Para realizar esta función se utilizarán técnicas de identificación basados en características biométricas o en patrones de comportamiento individuales. La ventaja de estos sistemas es que obligan a que la persona esté presente en el momento de la identificación, puesto que la identificación se realiza a partir de una característica inherente a ella. Tecnología

98 Biometría (User Recognition) Habitualmente, los sistemas biométricos se utilizan en combinación con uno de los sistemas clásicos, obteniéndose un sistema de autenticación: el usuario, por ejemplo, posee una tarjetas inteligente (smart card) que está asociada a su identidad, pero en vez de comprobarlo con un PIN o con una clave, se utiliza una característica biométrica.El reconocimiento biométrico se puede basar en dispositivos lectores de iris, de huellas dactilares, de voz, reconocedores de parámetros faciales, de la mano etc. Tecnología

99 Además, la vivienda será reconfigurable no sólo en espacio, sino en proceso. Esto significa que aprenderá de los gustos y costumbres de sus moradores, reproduciendo sus hábitos. Así, podrá iniciar una búsqueda de una película del estilo demandado por cada uno de sus habitantes a medida que se aproxima la hora en que suelen sentarse a realizar dicha actividad. Los electrodomésticos podrán almacenar el proceso de realización de algo cuando los usuarios hayan quedado muy satisfechos; piénsese en un horno que aprende la forma de cocinar un asado el día que haya quedado especialmente bien, reproduciendo tiempos, temperaturas etc. TODO ESTO GRACIAS A LAS TECNOLOGÍAS BIOMÉTRICAS Tecnología

100 Referencias Referencias Básicas: -Libro blanco, Cap 8 Del hogar digital al ambiente inteligente: htttp://www.fundacion.telefonica.com/publicaciones/ Iibro_blanco/pdf/8.pdf -Proyecto del ambiente turístico: http :Ilwww. i bit.org/home/proyectos/proyecto. ph p?id=548 -Un artículo muy interesante: http://www.aei3.com/plfondoed itorialytematico/articles/349/temames/i kerlan/am bientei nteli gente.asp?IdArticle=1 37 -Presentación IST ( Sociedad de la Información) http :Ilwww. mcyt.eslasplm i n isterio_i nforma/d iscu rsosNlprog rama_marco/6PM-IST. pdf Referencias

101 Información Adicional Menno Lindwer, Diana Marculescu, Twan Basten, Ambient Intelligence Visions and Achievements: Linking Abstract Ideas to Real World Concepts. 2003 IEEE. Twan Basten, Luca Benini, Anantha Chandrakasan, Scaling into Ambient Intelligence. 2003 IEEE. A.J.N. van Bremen, K. Crucq, B.J.A. Króse, A User-Interface Robot for Ambient lntelligent Environments. lst International Workshop on Advances in Services Robotics, Bardolino (ltaly) 2003. Información Adicional

102 Asuman DOGAC, Gokce B. LALECI, Yildiray KABAK, A Context Framework for Ambient Intelligence. K. Ducatel, M. Bogdanowicz, E. Scapolo, Thats what friends are for. Ambient Intelligence (AmI) andthe lSin2OlO Berry Eggen, Gerard Hollemans, Richard van de Sluis, Exploring and Enhancing the HomeExperience. Cognition, Technology and Work. Springer- Verlag, 2002 Emile Aarts, Raf Roovers, IC Design Challenges for Ambient Intelligence. 2003 IEEE. K. Ducatel, M. Bogdanowicz, E. Scapolo, SCENARIOS FOR AMBIENT INTELLIGENCE IN 2010. European Commission Information Society Directorate-General. Febrero 2001 Philippe Mathieu, Strategies for Ambient Intelligence. Network of Excellence: Methods for Image and Video Processing in Ambient Intelligence Applications. MIVAI, 2002 Información Adicional

103 Protocolo SET

104 Protocolo SET (I)

105 Protocolo SET (II)

106 Protocolo SET (III)

107 SET: Características

108 SET: Entorno (I)

109 SET: Entorno (II)

110 SET: Certificación

111 SET: Jerarquía de Certificación

112 SET: Autoridades de Registro

113 SET: Procedimiento (I)

114 SET: Procedimiento (II)

115 SET: Pago electrónico El esquema de pago electrónico SET admite una gran variedad de opciones. En un pago normal SET, todo se inicia con una orden de pago que el Cliente envía al Vendedor. 1º Esta orden de pago está dividida en dos: –La descripción de la compra (OD) –Los datos financieros del cliente (PIN). 2º Estos datos se firman y se relacionan entre sí por medio de un algoritmo llamado Firma Dual. 3º Los datos financieros van, a su vez, cifrados con la clave de la Pasarela de Pago, por lo que no pueden ser consultados por el vendedor. 4º El vendedor envía estos datos cifrados a la Pasarela de Pago que autoriza la transacción. 5º Una vez autorizada, el Vendedor envía una respuesta al Comprador firmada que sirve de comprobante de venta. 6º Finalmente el Vendedor realiza la captura del importe, es decir, envía la orden al banco de que se efectúe la transacción.

116 SET: Ventajas sobre SSL (I) Confidencialidad: –Al separar los datos financieros de la descripción de la compra aumentamos la confidencialidad ya que ni el vendedor ni el banco tienen acceso a datos que no le son imprescindibles. –Es decir, se consigue que cada participante sólo vea la información que le corresponda. –Así el comercio no tiene por qué conocer datos del instrumento de pago o el nombre del comprador, lo que permite realizar compras anónimas sin merma de seguridad. Integridad: –Todos los mensajes van firmados digitalmente de modo que se garantiza la integridad de todos los datos incluso tras finalizar la conexión. –Es decir, la transacción no puede ser alterada ni duplicada. –De esta forma, el consumidor autoriza una transacción en concreto, para un comercio en concreto y por un importe en concreto. –Ni por error ni por mala fe es posible alterar el importe ni otros campos de la transacción, ni siquiera enviarla dos veces al sistema interbancario.

117 SET: Ventajas sobre SSL (II)

118 SET frente a SSL y TLS

119 Próximas Acciones Servidores: http://www.microsoft.com/spain/HOLsistemas Desarrollo: http://www.microsoft.com/spain/HOLdesarrollo http://www.informatica64.com/SeguridadEmpresas/inicio.html

120 Boletín quincenal TechNews

121 Contacto Javier Pereña Peñaranda –jperena@informatica64.com jperena@informatica64.com Technet –http://www.microsoft.com/spain/technet http://www.microsoft.com/spain/technet Informatica64 –http://www.informatica64.com http://www.informatica64.com –informatica64@informatica64.com –+34 91 665 99 98 Material Seminarios –http://www.informatica64.com/handsonlab/handsonlab.asp http://www.informatica64.com/handsonlab/handsonlab.asp

122 ¿ Preguntas ?