Gestió d'identitats

Elaboració pròpia: la font és de pagament i no es reprodueix

Abast decidit per nosaltres: l'enunciat oficial no acota la matèria

Enunciat oficial. Gestió d'identitats.

1. Conceptes

IAM (Identity and Access Management): conjunt de polítiques, processos i tecnologies que garanteixen que les persones adequades tinguin l'accés adequat als recursos adequats, en el moment adequat i pels motius adequats.

La sigla té dues meitats: la gestió d'identitats, o IdM (Identity Management), s'ocupa de la identitat en si —crear-la, mantenir-la i donar-la de baixa—, i la gestió d'accessos (Access Management) decideix què pot fer un cop autenticada. Al voltant seu, sigles veïnes que no són sinònimes:

Les tres A i una quarta:

Factors d'autenticació — el factor és el que permet validar la identitat d'un usuari, i n'hi ha de tres categories:

1. Alguna cosa que saps (knowledge): contrasenya, PIN (Personal Identification Number), pregunta secreta.
2. Alguna cosa que tens (possession): targeta criptogràfica, telèfon amb OTP (One-Time Password), clau FIDO2 (Fast IDentity Online 2), certificat.
3. Alguna cosa que ets (inherence): empremta, rostre, iris, veu.

S'hi afegeixen el lloc on ets i el que fas (biometria de comportament), però els tres clàssics són els que cauen.

Nivells d'assegurament (NIST SP (Special Publication) 800-63, Digital Identity Guidelines) — la sèrie que gradua la confiança en cada una de les tres A, amb 3 nivells cadascun (de menys a més exigent):

• IAL (Identity Assurance Level, 800-63A): robustesa de la verificació d'identitat en l'alta.
• AAL (Authenticator Assurance Level, 800-63B): confiança que qui s'autentica controla realment el seu autenticador.
• FAL (Federation Assurance Level, 800-63C): solidesa de les assercions en un escenari federat.

MFA / 2FA: combinació de factors de categories diferents. Contrasenya + pregunta secreta no és MFA: són dos factors de la mateixa categoria. Contrasenya + codi al mòbil sí que ho és, i targeta + PIN també —el caixer automàtic és l'exemple clàssic de doble factor.

No tots els segons factors valen igual, de més feble a més robust: SMS (Short Message Service) i trucada —vulnerables a l'intercanvi de SIM (Subscriber Identity Module)—; OTP de temps (TOTP, Time-based One-Time Password), que encara es pot teclejar en una pàgina falsa; notificació d'aprovació al mòbil, exposada a la fatiga d'MFA; i certificat o FIDO2/WebAuthn, els únics resistents a la suplantació de lloc (phishing) perquè la credencial va lligada criptogràficament al domini.

Principis d'autorització:

• Mínim privilegi: cada usuari, procés o sistema ha de tenir exclusivament els permisos estrictament necessaris per exercir les seves funcions. El que el defineix és l'abast dels permisos, no el nombre de rols ni que caduquin: limitar-los en el temps reforça el principi, però no és la seva definició.
• Necessitat de conèixer (need to know).
• Segregació de funcions (SoD): qui autoritza no executa, qui executa no controla.
• Denegació per defecte.
• Revisió periòdica dels accessos (recertification).

Models de control d'accés: DAC (Discretionary Access Control, discrecional, el propietari decideix) i MAC (Mandatory Access Control, obligatori, per etiquetes de classificació) són els clàssics; els que cauen a l'examen són RBAC i ABAC:

• RBAC (Role-Based Access Control, estandarditzat a l'INCITS (International Committee for Information Technology Standards) 359): els permisos s'assignen a rols, i els rols a les persones usuàries. Estàtic i fàcil d'auditar — el model més usat a les organitzacions.
• ABAC (Attribute-Based Access Control, NIST SP 800-162): la decisió avalua atributs del subjecte, del recurs, de l'acció i de l'entorn (hora, ubicació, dispositiu, sensibilitat) contra una política — més granular i dinàmic que RBAC, però més complex de gestionar.

L'estàndard d'RBAC descriu quatre elements —persones usuàries, rols, permisos i sessions— i tres nivells acumulatius: el model pla, el jeràrquic (un rol n'hereta els permisos d'un altre) i el restringit, que és on viu la segregació de funcions: dos rols incompatibles que la mateixa persona no pot tenir alhora. El seu problema pràctic és l'explosió de rols: quan cada excepció en crea un de nou, el catàleg deixa de ser auditable, i és quan compensa passar a atributs.

Hi ha també PBAC (Policy-Based Access Control) i ReBAC (per relacions), de menys pes a l'examen.

2. El cicle de vida de la identitat

Tres moments, i els noms anglesos amb què apareixen als productes: alta (joiner) → canvis (mover) → baixa (leaver).

• Aprovisionament (provisioning): creació de comptes i assignació de permisos, idealment automàtica des del sistema de RRHH (Recursos Humans), o HCM (Human Capital Management), cap a IAM i als sistemes, amb SCIM (System for Cross-domain Identity Management) com a estàndard.
• Canvis: el problema clàssic és l'acumulació de privilegis (privilege creep) —qui canvia de lloc conserva els antics i n'obté de nous—; el canvi ha de retirar el que ja no cal.
• Baixa (deprovisioning): immediata i completa. Un compte actiu de qui ja no hi és és de les vulnerabilitats més freqüents i greus.
• Comptes especials: genèrics i compartits (a evitar; si són inevitables, amb custòdia i traçabilitat), de servei (contrasenyes llargues, rotació, sense interactivitat), d'emergència (break glass) i externs (amb caducitat obligatòria).
• Certificació d'accessos: revisió periòdica en què els responsables confirmen o retiren els permisos del seu personal.

3. Serveis de directori

Directori: base de dades jeràrquica optimitzada per a la lectura, que emmagatzema informació d'usuaris, grups, equips i serveis. La comparació que cau: un directori es consulta moltíssim més del que es modifica i s'optimitza per llegir; una base de dades convencional ha de servir bé la lectura i l'escriptura alhora, amb transaccions. I el directori guarda objectes jeràrquics amb atributs, definits per un esquema, no taules relacionades.

X.500 és la sèrie d'estàndards de serveis de directori de l'ITU (International Telecommunication Union), del seu sector ITU-T de normalització. Les dades d'un directori X.500 s'estructuren en un arbre jeràrquic anomenat DIT (Directory Information Tree), en què cada node és una entrada identificada pel seu DN (Distinguished Name), format per la concatenació dels RDN (Relative Distinguished Names) des de l'arrel, i pertany a classes d'objecte que determinen quins atributs pot tenir. Aquesta estructura jeràrquica en arbre és la resposta a la pregunta d'examen: ni relacional, ni documental, ni no estructurada.

Nomenclatura: CN (nom comú), OU (unitat organitzativa), DC (component de domini), O (organització) — CN=Joana Puig,OU=Informatica,DC=bcn,DC=cat.

LDAP (Lightweight Directory Access Protocol, RFC (Request for Comments) 4510 a 4519, i 4511 per al protocol): la simplificació de X.500 que s'usa realment, sobre TCP (Transmission Control Protocol) i IP (Internet Protocol). Del model X.500 —definit en l'àmbit de l'OSI (Open Systems Interconnection)— hereta el DIT, el DN i l'esquema, però l'executa sobre TCP/IP i representa noms i filtres com a cadenes de text en comptes de la codificació ASN.1 (Abstract Syntax Notation One) pura. Tres dades que cauen:

• És un protocol de la capa d'aplicació, no de sessió, de transport ni d'IP.
• La versió vigent és la v3; la v2 està obsoleta —és la trampa d'afirmació falsa més repetida del tema.
• Ports 389 i 636 (LDAPS, LDAP Secure). Operacions: bind, search, compare, add, modify, delete.

És, a més, el denominador comú del sector: Active Directory, Novell/NetIQ eDirectory i Red Hat Directory Server són de fabricants diferents, però tots exposen LDAP, i és el que els fa interoperables.

Active Directory, o AD (Active Directory) DS (Domain Services): el servei de directori de Microsoft, basat en LDAP i Kerberos, que centralitza la identitat i les polítiques —usuaris, equips, grups— d'una xarxa basada en Windows. El seu magatzem és orientat a objectes, no relacional: l'esquema defineix classes —usuari, grup, equip, unitat organitzativa— i cada objecte n'és una instància amb els seus atributs i relacions; no depèn de cap gestor relacional. Sobre aquest magatzem ofereix alhora autenticació, inici de sessió únic, Kerberos i LDAP. Elements: boscos, arbres i dominis, unitats organitzatives (OU, Organizational Unit), controladors de domini, les directives de grup, o GPO (Group Policy Object), catàleg global i replicació multimestre. No s'ha de confondre amb SCCM (System Center Configuration Manager, avui ECM, Endpoint Configuration Manager): AD gestiona la identitat; SCCM/ECM desplega i inventaria programari i configuracions sobre els equips ja units al domini — és matèria de gestió d'endpoints, no d'identitats.

Kerberos: protocol d'autenticació de xarxa basat en tiquets i en un tercer de confiança (KDC, Key Distribution Center, amb el servei d'autenticació i el servei de concessió de tiquets). Ofereix autenticació mútua i inici de sessió únic. És extremament sensible a la sincronització horària: una desviació superior a 5 minuts per defecte fa fallar l'autenticació — d'aquí la criticitat del NTP (Network Time Protocol).

Altres directoris: OpenLDAP, FreeIPA, Samba AD i Microsoft Entra ID, que no és un AD al núvol: no fa Kerberos ni GPO, sinó protocols web.

4. Federació i protocols moderns

Federació d'identitats: permet que un usuari s'autentiqui al seu proveïdor d'identitat (IdP) i accedeixi a serveis d'altres organitzacions (SP) sense credencials noves.

SAML enfront de JWT — la comparació que cau, i la clau és què defineix cadascun:

• SAML defineix protocol i format alhora: assercions XML, signades i opcionalment xifrades, transportades per redireccions del navegador, per a SSO web empresarial.
• JWT (JSON Web Token, RFC 7519) defineix només el format: capçalera, càrrega útil de claims i signatura en Base64URL, pensat per ser lleuger i viatjar en capçaleres HTTP (HyperText Transfer Protocol) cap a serveis REST (REpresentational State Transfer). No és un protocol d'autenticació: s'usa dins d'OAuth 2.0 i d'OIDC.
• Falsedats habituals: SAML sí que permet SSO —és precisament per a això—, JWT no és exclusiu d'aplicacions d'escriptori (és el contrari) i JWT admet signatura asimètrica, no només simètrica.
• Un JWT no xifrat és llegible per qualsevol: la signatura garanteix integritat i autenticitat, no confidencialitat. Cal JWE (JSON Web Encryption) per xifrar-lo, i sempre HTTPS (HyperText Transfer Protocol Secure).

Protocols d'autenticació i autorització de xarxa: RADIUS (Remote Authentication Dial-In User Service), TACACS+ (Terminal Access Controller Access-Control System, Plus), 802.1X, Kerberos, LDAP i OAuth. Compte: SMTP (Simple Mail Transfer Protocol) no autentica ni autoritza —és de correu—, i DNS (Domain Name System) tampoc: són les distractores habituals de la pregunta «quin d'aquests no és una opció per a autenticació o autorització».

5. Components d'una solució IAM

Una solució d'IAM no és un producte sinó un conjunt de peces que resolen problemes diferents.

5.1 Inici de sessió únic (SSO)

SSO (Single Sign-On): una sola autenticació dona accés a totes les aplicacions a què la persona ja tingui dret, sense tornar a demanar credencials. El mecanisme és sempre el mateix: qui s'autentica ho fa una vegada davant d'un únic punt —el directori o l'IdP—, que obre una sessió i, a partir d'aquí, emet a cada aplicació una prova d'identitat —un tiquet de Kerberos, una asserció de SAML, un token d'OIDC— que aquella aplicació accepta en comptes de verificar res.

Tres confusions que el tribunal explota:

• SSO no és «la mateixa contrasenya a tot arreu». Que deu aplicacions consultin el mateix directori és unificació de credencials: encara te la demanen deu vegades. L'SSO és que no te la tornin a demanar.
• SSO no amplia permisos. No dona accés d'administrador ni de superusuari, ni obre res a què la persona no tingués dret ja: només estalvia l'autenticació. Aquesta és la distractora clàssica de la pregunta que compara directori, gestió d'identitats i SSO.
• SSO i federació no són el mateix. L'SSO és el resultat; la federació és una de les maneres d'aconseguir-lo, la que travessa organitzacions. Dins d'una sola, es fa SSO amb Kerberos sense federar res.

Modalitats: SSO d'empresa dins del domini (Kerberos), SSO web i SSO federat entre organitzacions. El que costa: concentra el risc —el compromís de l'IdP ho compromet tot, i per això és on s'apliquen l'MFA i les polítiques més dures— i obliga a resoldre el tancament de sessió únic.

5.2 Gestió de l'accés privilegiat (PAM)

PAM (Privileged Access Management): la disciplina que custodia i vigila els comptes que poden fer més mal. És una capa a part, i no un IAM més estricte, perquè aquests comptes no encaixen en el cicle de vida normal: sovint no pertanyen a ningú, no cauen amb una baixa i deixen poca traça.

Què és un compte privilegiat: l'administrador de domini i el local, el root d'Unix, els comptes d'administració d'aplicacions i de bases de dades, els comptes de servei, les claus i secrets de desplegament i els comptes d'emergència (break glass).

Les funcions que es pregunten:

• Magatzem de credencials (vault): la contrasenya no la sap ningú; es demana, s'usa i es retorna, amb rotació automàtica després de cada ús.
• Intermediació i gravació de sessions: l'administrador es connecta a un servidor de salt que estableix la connexió per ell i grava la sessió, de manera que en queda evidència.
• Accés just a temps (just-in-time): el privilegi s'atorga per a una finestra concreta i s'esborra tot sol, amb l'objectiu de zero privilegis permanents.
• Elevació controlada a l'estació de treball i gestió de secrets per a aplicacions i contenidors.

Productes habituals: CyberArk, BeyondTrust, Delinea i HashiCorp Vault.

5.3 La resta de peces

• MFA i autenticació adaptativa o basada en risc: exigir un factor addicional només quan el context és sospitós (ubicació nova, dispositiu desconegut, viatge impossible).
• Governança d'identitats, o IGA (Identity Governance and Administration): aprovisionament, fluxos d'aprovació, certificació d'accessos i control de la segregació de funcions. La diferència amb l'IAM és de pregunta: l'IAM respon «deixo entrar?» en temps real; l'IGA, «qui té què i qui ho va aprovar?». SailPoint, Saviynt, midPoint (codi obert).
• Gestió d'identitats de clients, o CIAM (Customer Identity and Access Management), i identitats de màquina (certificats, comptes de servei, càrregues de treball amb SPIFFE, Secure Production Identity Framework For Everyone).
• Gestor de contrasenyes corporatiu.
• Zero Trust (NIST SP 800-207): la confiança no depèn de la ubicació de xarxa; la identitat és el nou perímetre. Cada petició s'autentica, s'autoritza i es xifra, amb avaluació contínua del context.

Contrasenyes — recomanacions actuals (NIST SP 800-63B i CCN, Centre Criptològic Nacional): longitud mínima elevada (12-15 caràcters o més) i frases de pas; comprovació contra llistes de contrasenyes compromeses; no forçar la rotació periòdica sense indici de compromís, perquè indueix contrasenyes pitjors; no exigir regles de composició arbitràries; i eliminar les preguntes de seguretat. El destí és l'autenticació sense contrasenya (FIDO2/passkeys).

6. Identitat al sector públic

La frontera d'aquest apartat. La identitat del ciutadà davant l'Administració —sistemes d'identificació i de signatura de la Llei 39/2015, Cl@ve, idCAT, DNIe, apoderaments i funcionari habilitat— és matèria del tema 69; els certificats qualificats i l'EUDI (European Digital Identity) Wallet, del tema 68. Aquí, la identitat corporativa.

• Identitat del personal: el certificat d'empleat públic —a Catalunya, la T-CAT en targeta criptogràfica i la T-CAT P en programari— identifica la persona i, alhora, el seu vincle i càrrec a l'organisme, que és el que el distingeix d'un certificat de persona física → tema 68.
• ENS: la família op.acc (control d'accés) exigeix identificació única, requisits d'accés, segregació de funcions i tasques, procés de gestió de drets d'accés, mecanisme d'autenticació (amb exigència creixent segons la categoria: a categoria alta, doble factor i credencials no basades només en contrasenya) i accés local i remot controlat. Cada compte s'ha de poder atribuir a una sola persona: els comptes compartits en són l'incompliment més freqüent.
• RGPD: les dades d'identitat i els registres d'accés són dades personals; cal base de licitud, minimització, terminis de conservació dels registres i informació al personal. La biometria és categoria especial (RGPD, art. 9) quan s'usa per identificar de manera unívoca: exigeix una base específica i, normalment, avaluació d'impacte. És la raó per la qual FIDO2 deixa l'empremta al dispositiu i només n'envia una signatura.
• Interoperabilitat entre administracions: la federació evita que cada organisme hagi de donar d'alta el personal dels altres; pren la forma de passarel·les d'autenticació compartides amb SAML. El reconeixement mutu d'identitats electròniques entre estats el regula eIDAS → tema 68.

Claus d'examen

• LDAP: la versió vigent és la v3, no la v2 — trampa d'afirmació falsa que ha caigut literalment; a la mateixa pregunta, «deriva d'X.500/OSI» i «usa cadenes de text en comptes d'ASN.1» són certes (TS-TIC 2018 específic, p. 75). I quan es pregunta la capa, la resposta és aplicació (TS-TIC 2021 específic, p. 18).
• SAML defineix protocol i format (XML); JWT només defineix el format (JSON), no un protocol (TS-TIC 2025 específic, p. 31).
• OAuth = autorització delegada d'accés (a un servei HTTP, o a recursos en nom d'una persona usuària), no autenticació — ha caigut dues vegades al mateix examen amb el mateix enunciat de fons (TS-TIC 2023 pràctica, s3 p. 23; s4 p. 30).
• DNS (Domain Name System) no és un sistema d'autenticació, a diferència de Kerberos, SAML i OpenID, que sí que ho són (TS-TIC 2023 pràctica, s3 p. 30). El distractor equivalent de l'altre examen és SMTP —no SNMP (Simple Network Management Protocol)— enfront de LDAP, OAuth i Kerberos (TS-TIC 2025 pràctica, s2 p. 18).
• Mínim privilegi = permisos estrictament necessaris per a la funció, no «un sol rol per persona» ni «permisos limitats en el temps» (TS-TIC 2025 pràctica, s2 p. 19).
• Quan es comparen directori, gestió d'identitats i SSO, la distractora és dir que l'SSO dona accés en mode de superusuari: l'SSO no amplia permisos, i l'opció que diu que els tres serveis fan el mateix sempre és falsa (TS-TIC 2018 específic, p. 82).

Per recordar

• Identificació → autenticació → autorització → auditoria.
• Tres factors: el que saps, el que tens, el que ets. MFA = factors de categories diferents.
• Mínim privilegi = exclusivament els permisos necessaris per a la funció; limitar-los en el temps és una bona pràctica afegida, no la definició.
• Les sigles veïnes: IdM = la identitat; IAM = identitat més accés; IGA = govern i certificació; PAM = comptes privilegiats; CIAM = identitats de clients.
• SSO = no repetir l'autenticació, no «la mateixa contrasenya a tot arreu» ni més permisos. La federació és una de les maneres d'aconseguir-lo, la que travessa organitzacions.
• IAL, AAL, FAL (NIST SP 800-63): assegurament d'identitat, d'autenticador i de federació, respectivament — 3 nivells cadascun.
• RBAC (INCITS 359, rols) és el model habitual; ABAC (NIST SP 800-162) hi afegeix atributs i context.
• La baixa (deprovisioning) immediata i la revisió periòdica d'accessos són les dues mesures que més fallen. El PAM hi afegeix custòdia, rotació i accés just a temps.
• Un directori s'optimitza per a la lectura; X.500 l'estructura en un arbre jeràrquic (DIT) amb entrades identificades pel DN, i LDAP —capa d'aplicació, v3— n'és el protocol d'accés comú a tots els fabricants.
• Active Directory centralitza identitat i polítiques (GPO) en xarxes Windows, amb magatzem orientat a objectes, i autentica amb Kerberos, que exigeix rellotges sincronitzats (< 5 min). No és SCCM: aquell desplega programari, no gestiona identitat.
• SAML = XML, federació web empresarial; OAuth 2.0 = autorització delegada; OIDC = autenticació sobre OAuth; JWT = format de token JSON compacte, no un protocol — i la seva signatura dona integritat, no confidencialitat.
• Zero Trust: la identitat és el nou perímetre. L'ENS exigeix doble factor a categoria alta.