Jose Carlos Roncero Blanco LATCH COMO SERVICIO Jose Carlos Roncero Blanco

CONTENIDO OBJETIVOS CLOUD COMPUTING ¿QUÉ ES LATCH? CASOS EN LOS QUE IMPLEMENTAR LATCH COMPARATIVA CON OTRAS HERRAMIENTAS IMPLEMENTACIÓN PRACTICA

OBJETIVOS Realizar una introducción y descripción de Cloud Computing, los diferentes modelos que existen, poniendo énfasis en la seguridad como servicio. Estudiar en profundidad el servicio que ofrece Latch en el entorno de seguridad, del que se explicara su funcionamiento destacando las ventajas que aportan a las organizaciones Implementar Latch en una plataforma de Cliente – Servidor mediante diferentes herramientas que nos proporciona Latch con el objetivo de aplicar los conceptos teóricos en una solución real. Comparar Latch con otras herramientas similares existentes en el mercado actual.

CLOUD COMPUTING El cloud computing consiste en la posibilidad de ofrecer servicios a través de Internet. La computación en nube es una tecnología nueva que busca tener todos nuestros archivos e información en Internet y sin depender de poseer la capacidad suficiente para almacenar información. El cloud computing explica las nuevas posibilidades de forma de negocio actual, ofreciendo servicios a través de Internet, conocidos como e-business (negocios por Internet).

CARACTERÍSTICAS PRINCIPALES Agilidad: Capacidad de mejora para ofrecer recursos tecnológicos al usuario por parte del proveedor. Coste: los proveedores de computación en la nube afirman que los costes se reducen. Escalabilidad y elasticidad: aprovisionamiento de recursos sobre una base de autoservicio en casi en tiempo real, sin que los usuarios necesiten cargas de alta duración. Dispositivo e independencia de la ubicación: permite a los usuarios acceder a los sistemas desde diferente lugar. La tecnología de virtualización: permite compartir servidores y dispositivos de almacenamiento y una mayor utilización Rendimiento: Los sistemas en la nube controlan y optimizan el uso de los recursos de manera automática, dicha característica permite un seguimiento, control y notificación del mismo La seguridad: Implementación de seguridad como servicio, además de los proveedores son capaces de dedicar recursos a la solución de los problemas de seguridad. Mantenimiento: las aplicaciones de computación en la nube es más sencillo, ya que no necesitan ser instalados en el ordenador de cada usuario

VENTAJAS INCONVENIENTES Escalabilidad Dependencia del proveedor Coste Localización de datos Confiabilidad Protección de la información Integración Fiabilidad Rapidez de despliegue Cuestiones legales Simplicidad Cierre del proveedor Actualizaciones automáticas

DESPLIEGUE Público: todos los recursos son proporcionados por el proveedor del servicio. Privado: toda la infraestructura pertenece al usuario. Híbrido: unión de una nube pública y privada.

MODELOS DE SERVICIO SaaS: Software como servicio Proporciona aplicaciones que serán utilizadas directamente por el usuario. PaaS: Plataforma como servicio Proporciona Sistemas Operativos, herramientas específicas (ej: SGBD) y de desarrollo. IaaS: Infraestructura como servicio Proporciona una infraestructura de computación.

SEGURIDAD COMO SERVICIO En el entorno de la nube, la seguridad es provista por los proveedores. Se pueden distinguir dos métodos: El primer método, es que cualquiera puede cambiar sus métodos de entrega incluidos en los servicios de la nube. El segundo método es que los proveedores de servicio de la nube proveen seguridad solo como servicio en la nube, con información de seguridad de las compañías

INSEGURIDAD MEDIANTE USUARIO-CONTRASEÑA Contraseñas continúan expuestas a riesgos: Contraseñas débiles, no cambiadas desde hace años, reutilización de contraseñas para otros servicios... Ataques de Phishing Virus, troyanos, keylogers, USB infectados ... etc. No podemos garantizar, y tener la absoluta tranquilidad de que las contraseñas de nuestros usuarios no estén comprometidas. PROBLEMA: Contraseñas robadas.

CONSECUENCIAS AL ROBO DE CONTRASEÑAS: Envío de SPAM desde su cuenta (ser listados en RBL, etc) Suplantación de Identidad Robo o modificación de datos Sensación de inseguridad e incertidumbre de los usuarios Mala imagen de nuestra institución Posibles reclamaciones Etc.

SOLUCIÓN PLANTEADA Proporcionar una herramienta fácil y cómoda de utilizar, que sea bien acogida por el usuario Que funcione en cualquier tipo de equipo, sin necesidad de dispositivos especiales como lectores de tarjetas Compatible con el sistema actual de autenticación Fácil de implementar y mantener Informar al usuario si alguien ha intentado utilizar sus credenciales correctas, es decir su contraseña esta comprometida Que el usuario se sienta implicado en la seguridad de su Identidad Digital

SOLUCIÓN ADOPTADA Aporta el nivel extra de seguridad que buscamos Fácil y cómodo de utilizar para el usuario, se maneja con un simple gesto en su móvil y no precisa dispositivos especiales Anonimato de nuestros usuarios en la nube de LATCH Fácil de implementar y de mantener gracias a las herramienta que nos proporciona ElevenPath: Plugins y SDKs y soporte técnico Panel de control con estadísticas de uso Herramienta de soporte

LATCH (SaaS) Latch es un servicio en la nube de la empresa Eleven Paths (Propiedad de Telefonica). Es un sistema de autenticación de segundo factor. Es un servicio para que los administradores pueden crear unas “cerraduras digitales” para poner a sus identidades digitales, y que les permita poner ON/OFF las cuentas con tan solo hacer clic en la identidad que quiere desbloquear o bloquear cuando la vaya a utilizar. Utiliza un Token registrado en el servidor de Latch y que está unido por un lado a un usuario de Latch. Un intento de acceso a una aplicación bloqueada, con credenciales correctas, se deniega el acceso y se envía una alerta al smartphone del usuario para que tome las medidas adecuadas.

Superficie de exposición La idea principal es limitar el tiempo de exposición de los servicios: Los servicios están activos 24 x 7 x 365 Solo usamos nuestras identidades un breve espacio de tiempo Las cuentas deberían poder apagarse

Latch es, por tanto, una aplicación que permite al usuario gestionar desde su smartphone (u otro dispositivo como las tabletas) qué servicios online (acceso al dominio, banco, a las redes sociales, etc.) están disponibles y cuándo quiere que lo estén. solo requiere ‘parear’ la aplicación con cada identidad digital una vez, al igual que se enlaza el smartphone con el manos libre del coche, por poner un ejemplo. Una vez enlazado nuestro servicio, no tendremos que realizarlo nunca mas. Tan fácil como hacer un clic activaremos o desactivaremos nuestras identidades digitales. Además, siempre que alguien trata de acceder a nuestros servicios digitales, incluso cuando lo hagamos nosotros mismos, la app nos alerta de ello y deberemos autorizar el acceso, reforzando las medidas de seguridad. Latch reduce la exposición de tus servicios permitiendo a tus clientes bloquearlos fácilmente cuando no los estén usando. De esta manera el tiempo de exposición de servicios, se ve reducido frente a las amenazas actuales, por lo que se minimizan las consecuencias de robos de identidad o usos no deseados. Latch no envía usuario, ni contraseña, ni nada de la cuenta solo veras si las aplicaciones están abiertas o cerradas.

Control Parental Login: User Pass: Pass Latch: Latch USER PASS

Verificación de 4 ojos Login: User1 Pass: Pass1 Latch: Latch1

¿CÓMO FUNCIONA LATCH?

LATCH ENTERPRISE EDITION Latch Enterprise edition es una aplicación que utiliza el servicio de Latch para la autenticación de segundo factor, en el que permite al administrador del sistema, aceptar o denegar el acceso de los perfiles de los usuarios del dominio. Esto puede darse porque personas no autorizadas estén intentando penetrar o si han penetrado ayudarte a detectarlo.

LATCH EVENT MONITOR Latch event monitor te permite decidir cómo se tiene que comportar tu sistema Windows cuando se produzca un evento de Windows. El servicio monitoriza constantemente los eventos con unas características dadas por el administrador. Cuando se produce ese evento, pregunta a Latch y reacciona de la forma en lo que lo haya configurado el usuario. Puede ser utilizado como un sistema de alerta, sin que exista una acción asociada a un evento. De forma que si ocurre un evento, se muestra un mensaje de bloqueo por parte de Latch en el dispositivo pero no se toma ninguna acción.

COMPARATIVA CON OTRAS HERRAMIENTAS Google Authenticator es un sistema de autenticación de segundo factor. Es un servicio que ofrece un número de seis dígitos que el usuario debe proporcionar además de su nombre de usuario y contraseña para acceder a los servicios de Google u otros. Google Authenticator puede también generar códigos para aplicaciones de terceras partes, tales como gestores de contraseñas o servicios de alojamiento de archivos, dominios etc. Google Authenticator incluye implementaciones para la generación de códigos de autenticación con contraseña de un solo uso destinado a varias plataformas móviles, así como un módulo de autenticación.

DIFERENCIAS ENTRE LATCH Y GOOGLE AUTHENTICATOR Una vez intentado un acceso a un servicio, google authenticator no nos muestra ninguna alerta de acceso y mediante Latch si. Es mas cómodo activar o desactivar algo con un toque de pantalla que introducir códigos. Google authenticathor tiene mas servicios web a sus espaldas que Latch ya que el nombre de google es muy imponente. Latch esta en mas sistemas operativos para Smartphone que google autenticathor. Google authenticathor es mas complicado de instalar en cada servicio y mas lioso. Documentación escasa en los dos servicios, pero Latch tiene mas documentación en castellano. Latch tiene mas utilidades con aplicaciones que la de Google. Las aplicaciones que utiliza google como proteger un dominio con verificación de segundo factor son herramientas de tercero, por el contrario todas las de Latch son propias.

IMPLEMENTACIÓN PRACTICA

PREGUNTAS JOSE CARLOS RONCERO BLANCO