INFRAESTRUTURA DE GERENCIAMENTO DE PRIVILÉGIOS

(Privilege Management Infrastructure)

CERTIFICADO DE ATRIBUTOS

IGP

• Surgiu com a necessidade de oferecer um serviço forte de autorização independente de autenticação.

• Apesar do certificado de chave pública oferecer esse tipo de serviço, tanto como informações adicionais do titular do certificado, através da utilização de extensões, seu uso tem alguns aspectos negativos envolvidos.

ICP

• Um aspecto negativo:

Complexidade para se obter informações sobre as autorizações de um determinado usuário torna-se maior quando a entidade certificadora não tem acesso a esses dados na hora de emitir seu certificado.

ICP

• Outro aspecto negativo:

Os certificados de chave pública emitidos por uma AC de uma ICP, pode possuir um tempo de vida geralmente maior do que as informações e atributos fornecidos.

IGP

• Devido a isso foi criado a IGP que através de um certificado chamado de certificado de atributos (CA – Atribute Certificate) atribui privilégios independentes das infraestruturas de chave publica.

IGP

• IGP o conjunto de recursos e serviços disponibilizado para gestão de Certificado de Atributos

– Entidade Emissora de Certificado de Atributo (EEA).– Software utilizado pela EEA na gestão de Certificados de

Atributos.– Conjunto de Certificados de Atributos emitidos pela EEA.– Base de privilégios disponível para uso da EEA.– Repositório de Certificados de Atributos emitidos e

revogados.– Solução de autorização e verificação de privilégios.

Certificado de Atributo

• É um documento eletrônico assinado digitalmente e que contém qualificações do seu titular atribuídas (atributos) por uma Entidade Emissora de Certificado de Atributo (EEA).

• Médicos• Advogados• Contadores• Engenheiros• Estudantes

Exemplos de EEA

• CFM qualifica médicos• OAB qualifica advogados• CFC qualifica contadores• CFE qualifica engenheiros• UNE qualifica estudantes

EEA

• Ao assinar um Certificado de Atributo com um Certificado Digital padrão ICP-Brasil é atribuído ao mesmo prerrogativas legais.

• Um Certificado de Atributo é um documento eletrônico e quando assinado digitalmente passa a ter validade jurídica.

Certificado de Atributo

• Podem provar, no mundo eletrônico, suas titulações através de Certificado de Atributos emitidos pelos conselhos profissionais respectivos.

• Funcionários e Servidores: Podem provar seus atributos e autorizações para acessos, operações e ações em sistemas.

EEA - Entidade Emissora de Certificado de Atributo

• É a instituição com a responsabilidade de emissão de um Certificado de Atributo.

• Uma EEA possui o direito de qualificar o titular do Certificado de Atributo.

IGP

Entidade Final: É representada pelos usuários finais, como os titulares dos certificados de atributos.

Autoridade de Atributos (AA): Responsável por toda a parte de gerenciamentos dos certificados, atribuição e revogação.

Trabalha de forma semelhante a AC, mas apenas para certificados de atributo.

AA e a apresentação de CA

• Fonte de Autoridade (FA): Num ambiente onde haja uma hierarquia de Autoridades de Atributos a Fonte de Autoridade seria considerada a entidade raiz dessa hierarquia.

• Verificador de Privilégios: Verifica se os certificados quando um objeto é solicitado está dentro dos padrões de segurança exigidos, validando o certificado e liberando o acesso do usuário ao objeto.

• Objeto: É o recurso a ser acessado e obtido, possuindo métodos de acesso bem definidos que são controlados pelo verificador de privilégio.

• Repositório: Local onde ficam armazenados tanto os certificados como a Lista de Certificados Revogados.

CA

• Um certificado de atributo é uma estrutura separada do certificado de chave pública de um sujeito, o qual pode ter múltiplos certificados de atributo associado com cada um de seus certificados de chave pública.

Analogia: Passaporte x Visto

• O passaporte é análogo ao certificado de chave pública que não somente fornece as informações do titular como autentica sua existência e tem um prazo de validade relativamente longo.

• E o visto é análogo ao certificado de atributos que ele contém, dando lhe acesso e privilégios a determinados serviços e, geralmente, com curto período de duração.

ICP x IGP

• Apesar de estarem relacionados não há exigência de que uma mesma autoridade emita tanto o certificado de chave pública como o certificado de atributo.

Mercado Atual

• Visa uma solução cloud para autenticação e autorização.

• Integrando as tecnologias de certificado digital e de certificado de atributo para autenticação em sistemas seguros.

Os três A´s dos Sistemas Seguros

• A implementação de soluções computacionais, de Internet ou não, exigem a implementação de técnicas de segurança da informação que envolvem três aspectos essenciais:

Autenticação, processo de validação da identidade do usuário.

Autorização, processo de verificação das permissões do usuário.

Auditoria, processo de análise sobre ações realizadas.

Os três A´s dos Sistemas Seguros

• A utilização de Certificado Digital e de Certificado de Atributo englobam estes três aspectos, resolvendo questões fundamentais para a segurança da informação.

Contextualização CD x CA

• Quem eu sou ? ► certificado digital

• O que eu posso fazer ? ► certificado de atributo

• O que eu fiz ? ► certificado digital

• Eu estava autorizado ? ► certificado de atributo

Recursos de Auditoria

• Validade do Certificado de Atributo.

• Atualização da Lista de Certificados Revogados em tempo real.

• Verificação automática de atributos e permissões.

Padrões Internacionais (ISO/IEC 17799:2005)

• São considerados as seguintes propriedades:

Confidencialidade - Propriedade que limita o acesso à informação tão somente às entidades legítimas, ou seja, àquelas autorizadas pelo proprietário da informação.

Padrões Internacionais (ISO/IEC 17799:2005)

• Integridade - Propriedade que garante que a informação manipulada mantenha todas as características originais estabelecidas pelo proprietário da informação, incluindo controle de mudanças e garantia do seu ciclo de vida (nascimento, manutenção e destruição).

Padrões Internacionais (ISO/IEC 17799:2005)

• Disponibilidade - Propriedade que garante que a informação esteja sempre disponível para o uso legítimo, ou seja, por aqueles usuários autorizados pelo proprietário da informação.

Padrões Internacionais (ISO/IEC 17799:2005)

• Autenticidade - Propriedade que garante que a informação é proveniente da fonte anunciada e que não foi alvo de alteração ao longo de sua vida.

Padrões Internacionais (ISO/IEC 17799:2005)

• Irretratabilidade ou Não Repúdio -

Propriedade que garante a impossibilidade de negar a autoria em relação a uma transação anteriormente realizada.

Recursos

• Para suportar essas propriedades, levando-se em consideração todos os aspectos que envolvem a segurança da informação, devem ser utilizados os seguintes recursos e tecnologias:

Recursos e Tecnologias

• Certificado Digital

Utilizado como mecanismo de autenticação de curto e longo prazo. Isto é, na identificação do usuário no acesso a sistemas e para comprovação da autoria das ações realizadas pelo usuário.

Recursos e Tecnologias

• Assinatura Digital

Utilizada com dois propósitos distintos: validade jurídica dos documentos observando os padrões da ICP-Brasil e para garantir responsabilidade e integridade aos processos.

Recursos e Tecnologias

• Certificado de Atributo

Utilizado para garantir poderes do usuário no acesso a sistemas e para garantir poderes do autor ao atribuir validade jurídica aos documentos.

O Certificado de Atributo também é utilizado como padrão de interoperabilidade, por ser um documento com padrão universal e validade jurídica.

Recursos e Tecnologias

• Carimbo de Tempo

Utilizado como garantia temporal de documentos e eventos, isto é, garantir que um determinado documento existia na data e hora determinada, além de garantir a ordem cronológica da ocorrência de ações dos eventos.

Recursos e Tecnologias

• Criptografia

Utilizada para garantir confidencialidade aos processos sigilosos e garantir sigilo às informações publicadas nos ambientes computacionais.

Recursos e Tecnologias

• Protocolo Criptográfico

Utilizado para modelar as ações necessárias para caracterizar um sistema seguro e imune a fraudes.

O protocolo criptográfico representa para a segurança da informação o mesmo que o esqueleto representa para o corpo humano, sem o qual não há sustentação.

Legislação para CA

• Certificado de Atributo (CA)

RESOLUÇÃO No 93, DE 05 DE JULHO DE 2012.

• http://portal.safeweb.com.br/pca/CA/Legislação