Tipos de control de acceso: RBAC, DAC, MAC y ABAC. ¿Cuál elegir y por qué? Los beneficios y limitaciones

Más que nunca, en la actualidad es necesario contar con flexibilidad en nuestra forma de trabajo. Hay empresas que permiten que sus colaboradores trabajen desde casa o desde cualquier lugar que les convenga. También existen grupos de trabajo que pueden desempeñar sus tareas tanto en una oficina como en diferentes ubicaciones. Sin embargo, es importante tener cuidado con aquellos que deben tener acceso a los datos y recursos del sistema. Esta guía te proporcionará toda la información necesaria sobre el control de acceso, las variantes más comunes y una solución confiable para comenzar a implementarlo lo antes posible.

¿Qué es el control de acceso?

El control de acceso es un método que garantiza que los usuarios demuestren ser quienes dicen ser. Es similar a cuando se te solicita mostrar tu documento de identificación para verificar tu identidad en algún lugar. El control de acceso es extremadamente importante para garantizar que todos los usuarios tengan acceso adecuado a los datos y recursos del sistema. Consiste en una serie de restricciones que se aplican según los datos y/o recursos a los que se desea acceder. Se basa en procesos de autenticación y autorización.

La autenticación implica ingresar credenciales o utilizar uno o varios métodos para confirmar la identidad. Por otro lado, la autorización es el proceso posterior a la autenticación y es cuando se otorga acceso a un grupo determinado de recursos y datos. En RedesZone, se proporciona una guía que detalla las diferencias entre autenticación y autorización, así como los métodos más utilizados para cada caso.

Este control de acceso se utiliza, por ejemplo, para acceder al correo electrónico, a las redes sociales como Facebook o Twitter, y para ingresar directamente a nuestros dispositivos. Es un proceso que realizamos constantemente en nuestra vida cotidiana para garantizar que somos usuarios legítimos y no intrusos que intentan ingresar de manera ilegítima. Sin embargo, en el caso específico de sistemas y equipos informáticos de empresas y organizaciones, existen diferentes opciones que pueden actuar como control.

Beneficios de los controles de acceso

En la actualidad, los controles de acceso son absolutamente esenciales para cualquier empresa. Ayudan a garantizar la seguridad y la privacidad de la información de la organización. Estos controles pueden restringir el acceso a sistemas y datos que pueden ser altamente sensibles para personas no autorizadas, reduciendo considerablemente el riesgo de brechas de seguridad o filtraciones.

Antes de implementar un sistema de control de acceso, todas las empresas enfrentan algunos desafíos, como:

Comprensión de los requisitos de seguridad: Es fundamental conocer los requisitos de seguridad del sistema para diseñar un sistema adecuado de control de acceso. Esto implica identificar los datos sensibles, determinar quiénes tendrán acceso y establecer los procedimientos para manejar y proteger la información.
Mantener la seguridad de las contraseñas: Las contraseñas son una forma común de autenticación en diversos servicios. Es crucial establecer reglas de seguridad para las contraseñas, como una longitud mínima, variedad de caracteres y frecuencia de cambio periódico.
Cumplir con los estándares necesarios: En la actualidad, existen leyes que regulan el tratamiento de los datos y su uso. Las empresas están obligadas a tomar las medidas de seguridad adecuadas para cumplir rigurosamente con los requisitos de seguridad tanto a nivel nacional como europeo.
Gestión de accesos remotos: La creciente tendencia al teletrabajo ha hecho necesario implementar una gestión centralizada del acceso remoto. Es importante revisar de manera periódica el acceso a los sistemas y datos que pueden ser sensibles.
Monitoreo y auditorías: Mantener los sistemas bajo monitoreo y realizar auditorías periódicas ayuda a prevenir problemas futuros y estar preparados para cualquier eventualidad. Prevenir los problemas es la mejor manera de evitarlos.

Tipos de control de acceso

A continuación enumeramos los tipos más comunes de control de acceso, es decir, aquellos que se han implementado ampliamente hasta ahora. Dependiendo de las necesidades de tu empresa o grupo de trabajo, puedes optar por una u otra opción.

Control de Acceso basado en Roles (RBAC)

Este tipo de control de acceso es ampliamente utilizado y se basa en la asignación de roles a los usuarios para otorgarles acceso. Además, se aplican políticas de seguridad para limitar los privilegios. Estos privilegios pueden aplicarse tanto al acceso a datos como a recursos del sistema. En la actualidad, la escalada de privilegios se ha convertido en una amenaza interna que puede causar daños significativos a nivel empresarial, tanto en términos económicos como de seguridad.

Control de Acceso Discrecional (DAC)

Este tipo de control de acceso establece que el propietario de los datos decide sobre los accesos. Esto significa que los accesos serán concedidos a los usuarios en base a las reglas establecidas por el propietario de los datos.

Este modelo de control se basa en la relación entre sujetos (usuarios, procesos o programas) y objetos. El responsable del objeto determinará quién puede acceder y con qué permisos.

Es un modelo de control de acceso ampliamente utilizado en la mayoría de los sistemas operativos actuales. Por ejemplo, al crear una hoja de cálculo, como propietarios, podemos decidir quién tiene acceso y qué tipo de acceso tiene. Además, podemos modificar estos permisos en cualquier momento.

Esto lo convierte en un modelo de control de acceso muy flexible, ya que como propietarios podemos definir y modificar el acceso según sea necesario.

Control de Acceso Obligatorio (MAC)

Este tipo de control de acceso se considera más arbitrario. En este caso, los usuarios tienen acceso basado en regulaciones establecidas por una autoridad central en una empresa u otra organización reguladora. El sistema operativo establecerá los límites de acceso para cada usuario a los recursos o conjuntos de recursos en función de los niveles de autorización, asignando etiquetas a cada recurso al cual se necesita acceder.

Este tipo de acceso debe ser confidencial, secreto, alto secreto, u otro tipo de etiqueta que indique que solo ciertos usuarios tienen el derecho de acceder a recursos que son confidenciales y restringidos. Por ejemplo, algunos usuarios pueden acceder a recursos confidenciales, mientras que otros pueden acceder además a recursos de alto secreto a los que los primeros no tienen acceso.

El administrador es quien determina el acceso específico y el rol de cada usuario en particular. En general, los usuarios no pueden cambiar estos roles de acceso bajo un modelo de control de acceso obligatorio. Este modelo agrega una capa adicional de seguridad para controlar el acceso y los privilegios, basándose en la etiquetación de los elementos del sistema y en la definición de políticas de control de acceso.

Control de Acceso basado en Atributos (ABAC)

La característica distintiva de este tipo de control de acceso es que tanto el usuario como los recursos a los que tiene acceso se les asignan una serie de atributos. Estos atributos permiten realizar evaluaciones en función del día, la hora, la ubicación y otros datos para decidir si conceder o limitar el acceso a los datos y recursos. Este tipo de control de acceso es más dinámico y se adapta a la situación del usuario para otorgar o restringir permisos.

En resumen, podemos decir que el control de acceso varía según los datos y circunstancias específicas. Se adapta a los usuarios y a las situaciones para otorgar o denegar permisos de acceso.

¿Cuál es el tipo de control de acceso más adecuado?

Para garantizar una implementación adecuada de algún método de control de acceso, es fundamental cumplir con las normas, regulaciones y estándares correspondientes. Dependiendo del país, puede ser necesario revisar detalladamente normativas como el GDPR, que establece políticas de protección de datos personales válidas para toda Europa. Otro ejemplo importante es el PCI-DSS, una regulación que garantiza la seguridad tanto de las transacciones como de los datos de los titulares de tarjetas de crédito y débito. El incumplimiento de estas normas puede acarrear diversas sanciones.

¿Por qué mencionamos esto? Principalmente porque no hay un método que sea estrictamente más adecuado que los demás. Cada entorno de trabajo tiene necesidades específicas. Sin embargo, es importante destacar que, de los tipos de control de acceso mencionados, el más moderno y actualizado es el control de acceso basado en atributos. Este enfoque resulta especialmente conveniente, ya que los permisos se conceden o limitan en función de la situación actual del usuario, como cambios de ubicación o dispositivo. No obstante, el cumplimiento de las normas no debe ser negociable.

Azure Active Directory: la solución IAM omnipresente

Puede que te preguntes cuál es la solución ideal para implementar el control de acceso. No existe una solución única y omnipotente que cubra todos los escenarios. En algunos casos, puede ser necesario utilizar una o más tecnologías simultáneamente para cumplir con los requisitos de control de acceso.

La gran mayoría de los entornos laborales emplean Microsoft y sus aplicaciones relacionadas. Microsoft Azure Active Directory ofrece políticas de acceso inteligentes para proteger los recursos de trabajo y restringir el acceso a quienes lo necesiten. Dependiendo de los requisitos, se puede optar por utilizar Azure Active Directory por sí solo o integrarlo con servicios de Microsoft como Office 365, lo cual es una opción más rápida de implementar.

Esta solución, que forma parte de la suite de Azure, es muy popular y funcional en las empresas, especialmente en las multinacionales. Es capaz de administrar y controlar no solo decenas, sino cientos, miles o millones de usuarios. Permite la creación de credenciales únicas para que cada colaborador pueda acceder a los recursos en la nube, incluso aquellos que utilizan sistemas operativos diferentes a Windows.

Una ventaja interesante de Azure Active Directory es que garantiza la seguridad del entorno laboral, incluso si hay personas externas o colaboradores temporales. En los entornos de trabajo compartidos, uno de los desafíos es evitar que personas no autorizadas accedan a datos o recursos confidenciales y sensibles.

Además, si lo prefieres, puedes personalizar la interfaz de usuario para que se ajuste a la imagen de tu empresa o grupo de trabajo.

Características clave de Azure Active Directory

Gestión de usuarios y grupos de trabajo
Autenticación mediante SSO (Single Sign-On)
Autenticación Multi-Factor
Colaboración tipo B2B (Business-to-Business)
Gestión de contraseñas a través de un portal de autoservicio
Motor de sincronización
Registro de dispositivos utilizados por los usuarios
Informes de seguridad y uso de los servicios de Azure Active Directory

Azure Active Directory es compatible con dispositivos que utilizan sistemas operativos distintos a Microsoft, incluyendo:

Ordenadores y tabletas con Windows
Dispositivos Android
iPhone o iPad
Dispositivos macOS (Macbook, iMac)
Dispositivos basados en la web (por ejemplo, Chromecast)

Si deseas probar Azure Active Directory, tienes la opción de un plan gratuito con funcionalidades limitadas, ideal para comenzar. Posteriormente, puedes optar por planes de pago anuales. Obtén más información en el siguiente enlace.

Qué es la biometría y los métodos más populares de acceso

La biometría se puede definir como el uso de medidas estandarizadas de los seres vivos para su identificación. Dentro de las tecnologías de la información (TI), encontramos la autenticación biométrica, que utiliza técnicas matemáticas y estadísticas para identificar a una persona a través de sus rasgos físicos o de conducta. En resumen, es una forma de verificar la identidad de alguien.

Los métodos más comunes para llevar a cabo la autenticación biométrica son:

La huella dactilar.
El reconocimiento de iris.
El reconocimiento facial.
La biometría vascular basada en los patrones de venas en el dedo.
El reconocimiento de voz.
La escritura y firma.

En el proceso de identificación, estos rasgos biométricos se comparan con patrones previamente registrados. Es importante destacar que no es necesario conocer la identidad del individuo en cuestión. En su lugar, se toma una nueva muestra de datos biométricos y se compara con los patrones existentes.

En la actualidad, estamos presenciando un aumento constante en las violaciones de datos. Esto ha llevado al declive del sistema tradicional basado en contraseñas. La principal razón de estas brechas de seguridad es la reutilización de contraseñas. Como resultado, algunas empresas han optado por reemplazar las contraseñas por la autenticación biométrica.

Como consecuencia de esto, la biometría se ha convertido en una solución de autenticación superior a las contraseñas. Sin embargo, también presenta sus propios desafíos y problemas, que analizaremos a continuación.

La biometría no se puede cambiar

El principal inconveniente de la biometría es que, una vez que se compromete un acceso biométrico, no se puede cambiar. Para ilustrar esto, imaginemos que se expone la información facial, de huella dactilar o de iris de una persona. En ese caso, cualquier cuenta que utilice este método de autenticación estaría en riesgo, ya que no se puede revertir el daño mediante un cambio de datos biométricos.

Por lo tanto, es crucial que las empresas dificulten al máximo posible a los ciberdelincuentes descifrar el algoritmo que almacena la información biométrica. Una forma de hacerlo es utilizando un algoritmo hash sólido y evitando almacenar datos en texto sin formato.

La explotación de la biometría facial

Cada día nos exponemos cada vez más en Internet, muchas veces sin ser conscientes de las consecuencias. Por ejemplo, la información facial puede obtenerse en línea a través de una foto publicada en una red social o en cualquier otro sitio web. Un hecho a tener en cuenta es que, a diferencia de las contraseñas, los datos faciales siempre serán privados a menos que sean robados.

Gracias a una foto, con la tecnología adecuada, es posible replicar los parámetros biométricos de un rostro. Esta capacidad no solo afecta al reconocimiento facial, sino que también puede afectar a la voz (obtenida de un video) u otros sistemas.

Las limitaciones de los dispositivos actuales

El problema radica en que, a pesar de que hay muchos dispositivos con escáneres biométricos, muchos de los que utilizamos a diario no admiten la autenticación biométrica. La biometría aún no es común en computadoras de escritorio o portátiles, ya que generalmente no incluyen lectores biométricos. Además, al intentar iniciar sesión en un sitio web utilizando un navegador, el uso de la biometría todavía está muy limitado. En este sentido, hasta que los equipos y navegadores de Internet sean compatibles con la autenticación biométrica, sus posibilidades son muy escasas.

En cuanto a dispositivos inteligentes como los teléfonos inteligentes con Android o iOS, tienen una autenticación biométrica en la que las credenciales de autenticación se almacenan localmente. Sin embargo, este enfoque, en el cual las firmas biométricas sensibles no se almacenan en servidores, nos impide utilizar esta autenticación en otros lugares. Si deseamos implementarla, tendríamos que volver a registrarnos utilizando credenciales como un nombre de usuario y contraseña. Además, para habilitar nuevamente la autenticación biométrica, el nuevo dispositivo también debería ser compatible con esta tecnología. En resumen, para la autenticación biométrica, se requeriría un modelo diferente en el que el patrón biométrico se almacene en un servidor.

El problema de los cambios en la biometría

Otro aspecto a considerar es la posibilidad de cambios en la biometría. La biometría está sujeta a posibles cambios que pueden afectar a los usuarios. Por ejemplo, una quemadura en un dedo puede afectar a la huella digital, o una lesión que altere el rostro pueden ser ejemplos de esto. Este es sin duda un problema potencial importante, especialmente si la autenticación biométrica es el único método de autenticación utilizado y no hay respaldo disponible.

También debemos mencionar las amenazas de suplantación de identidad. Los ciberdelincuentes han logrado engañar a los escáneres biométricos utilizando moldes o réplicas de huellas dactilares, así como rostros de usuarios válidos. A pesar de que esta tecnología ha mejorado significativamente, aún dista de ser perfecta.

Qué hacer en caso de una violación biométrica

En el caso hipotético de que ocurra una violación relacionada con la autenticación biométrica, existen muchos peligros potenciales. Una vez que un atacante obtiene acceso, puede cambiar los inicios de sesión de esas cuentas y bloquear al usuario fuera de su propia cuenta.

Por consecuencia, adquiere una importancia crucial la actuación de la empresa, quien tiene la responsabilidad de alertar de forma inmediata a los usuarios para que tomen medidas oportunas y minimicen el riesgo. En el momento en que se produce una infracción, tanto las empresas como sus empleados deben desactivar al instante la biometría en sus dispositivos. A continuación, deben volver a los ajustes predeterminados que normalmente implican el uso de un sistema de credenciales basado en usuario y contraseña.

La mejor forma en que las organizaciones pueden asegurar su seguridad es implementando un enfoque de seguridad en capas. La facilidad de uso de la biometría la convierte en una opción atractiva para empresas y usuarios. Sin embargo, depender únicamente de la autenticación biométrica es una estrategia altamente arriesgada, ya que es necesario tener en cuenta los inconvenientes y riesgos mencionados anteriormente.

Impacto del Deepfake en la identidad biométrica

En Internet no es difícil encontrar imágenes falsas que parecen ser reales. A veces, esto se hace por diversión o como una simple broma que claramente sabemos que no es real, pero en otros casos puede generar dudas e incluso poner a las personas en peligro. Al aplicar Deepfake a las imágenes, es posible obtener resultados casi idénticos a los de una imagen original. Por ejemplo, se puede utilizar la inteligencia artificial para hacer que una persona famosa parezca estar en un lugar específico, como un restaurante. Pero también se puede aplicar este método a los videos. Si bien es más complejo, los resultados pueden ser asombrosos. La tecnología permite cada vez más crear imágenes y videos que se asemejan a la realidad sin demasiado esfuerzo. Esto puede afectar la privacidad y seguridad de las personas, ya que se utilizan para manipular información y hacer creer cosas que no son reales. Además, gracias a las redes sociales, hay una gran cantidad de fotos y videos en Internet que pueden ser manipulados.

En resumen, el Deepfake combinado con la identidad biométrica podría permitir a un atacante acceder a nuestras cuentas, robar información y propagar malware. El inicio de sesión mediante la identidad biométrica a menudo se basa en el reconocimiento facial, donde la cámara del dispositivo identifica los rasgos y verifica nuestra identidad como usuarios legítimos.

A veces, al contratar una cuenta bancaria en línea u otro servicio similar, se nos pide un pequeño video o foto en la que aparezcamos nosotros como una forma de verificar nuestra identidad y evitar estafas. Sin embargo, ¿qué sucede si alguien falsifica esa imagen o video? Aquí es donde entra en juego el Deepfake orientado a la identidad biométrica. Este es un problema grave, ya que un atacante puede utilizar la inteligencia artificial para crear una imagen o video que parezca auténtico y así verificar una identidad falsa.

Por lo tanto, un posible atacante podría crear imágenes o videos falsos para suplantar identidades. Además, cada vez más sitios, programas y dispositivos están utilizando la identidad biométrica como método de autenticación. Esto hace que sea un problema presente, pero que sin duda tendrá un mayor impacto en el futuro a medida que la tecnología se extienda y mejore.

Medidas para evitar ser víctimas del Deepfake

¿Es posible evitar ser víctimas del Deepfake? Aunque a nivel de usuario no podemos hacer mucho para evitar que se falsifiquen imágenes o videos utilizando inteligencia artificial, podemos considerar algunos consejos para dificultar este tipo de ataques. En primer lugar, debemos evitar exponer información personal en línea y mantenerla fuera del alcance de cualquiera. Por ejemplo, evitemos publicar nuestro correo electrónico o número de teléfono en foros públicos. Además, debemos tener cuidado con las imágenes que compartimos en las redes sociales, ya que pueden ser accesibles para cualquier persona, incluso sin ser nuestro contacto.

Un atacante podría descubrir que tenemos una cuenta en una plataforma, banco, correo electrónico o red social en particular, y gracias a las fotos públicas, podrían falsificar una imagen o video para suplantar nuestra identidad y así acceder a cualquier servicio que utilice el reconocimiento facial. También es fundamental activar la autenticación de dos factores (2FA). Si bien el uso de la identidad biométrica para iniciar sesión en lugar de contraseñas puede ser conveniente, ambos métodos pueden ser vulnerables a ataques. ¿Cómo podemos protegernos? Lo mejor es activar la autenticación en dos pasos en todas nuestras cuentas.

En consecuencia, si un intruso intenta acceder a nuestra cuenta incluso si conoce la contraseña, o si utiliza ataques Deepfake para falsificar nuestra identidad biométrica, será necesario un segundo paso de verificación. Este segundo paso comúnmente consiste en un código que llega a nuestro teléfono móvil a través de SMS, o mediante aplicaciones como Google Authenticator, entre otras.

En resumen, podemos afirmar que el Deepfake representa un desafío significativo para las identidades biométricas a medida que avanza la tecnología. Es justo decir que la Inteligencia Artificial se convierte en un adversario en este escenario. Además, hemos observado que podemos seguir algunos consejos que harán más difícil convertirnos en víctimas de este problema.