Quando usar autenticação? Usuário deve ser responsabilizado por seus atos As informações dos usuários são confidenciais Deseja-se mecanismo de controle.

Apresentação em tema: "Quando usar autenticação? Usuário deve ser responsabilizado por seus atos As informações dos usuários são confidenciais Deseja-se mecanismo de controle."— Transcrição da apresentação:

1

2 Quando usar autenticação? Usuário deve ser responsabilizado por seus atos As informações dos usuários são confidenciais Deseja-se mecanismo de controle de acesso

3 Autentição Algo que somente o usuário saiba –fácil de copiar Algo que somente o usuário tenha –Difícil de copiar –Fácil de roubar Características pessoais –Difícil de copiar e roubar

4

5 Auditoria de Autenticação Mínimo: –Falha na autenticação; –Fraude nos dados; –Reutilização de dados; Básico: –Todo uso da autenticação e reautenticação; –Todas as decisões tomadas;

6

7 Dados para autenticação Identificação; Dado de autenticação; Prazo de validade; Prazo para emitir alerta de alteração de dados para o usuário; Flag de conta bloqueada; Data e hora de liberação de bloqueio;

8

9

10

11 Reautenticação Autenticar sempre que o sistema ficar parado por muito tempo; Autenticar sempre que algo crítico for executado; Mensagens de autenticação: cuidado para não dar pistas nas mensagens;

12 Auditoria de Definição de Senhas Mínimo: rejeição de senhas; Básico: rejeição ou aceitação de senhas; Detalhado: informação de alterações nas métricas de geração e verificação;

13

14 Auditoria de Identificação Mínimo: insucessos na identificação do usuário; Básico: qualquer uso dos mecanismos de identificação;

15

16 Multiplos Logins Uma estação de trabalho pode solicitar múltiplos logins para o usuário Isto pode prejudicar a segurança, confundindo o usuário O ideal é um login único, geralmente no SO

17 Autenticação entre sistemas As vezes um sistema autenticado chama outros sistemas; O sistema chamado pode confiar na autenticação do primeiro; Uma opção é o primeiro sistema se autenticar novamente no segundo através de outra conta pré-definida; –Ex. sistemas de banco de dados;

18 Auditoria de Usuário ligado ao sistemas Mínimo: falha na criação de processo com a informação do usuário; Básico: todas as ligações de processos com o usuário; Obs: ligação de processo é o relacionamento de um sistema com outro sistema.

19

20 Momento da Autenticação O quanto antes; Usuário não deve fazer nada sem autenticação; Usuário pode tentar acessar informações sem passar pelo sistema: –Ex. acesso direto à base de dados, sem autenticar no sistema.

21 Opções de Autenticação Autenticação Básica: –Muito fraca; –Definida na RFC 2617; –Usuário e senha em base 64;

22 Opções de Autenticação Autenticação de hash ou de resumo: –RFC 2617; –Senha não trafega em texto plano; –Usa Hash; –Usado em LDAP; IMAP; POP3 e SMTP;

23 Opções de Autenticação Assinatura Digital: