Sistemas de login débiles

Situación

Los sistemas de login en muchas ocasiones apartados de un proyecto de ingeniería de software desarrollado con poco cuidado, y que en innumerables ocasiones suponen una barra libre para hackers que quieren entrar en sistemas informáticos.

Descripción del riesgo

Imaginemos la siguiente situación: Subcontratamos un proyecto informático (una web, una app) a una empresa de desarrollo de software que tras apretar el presupuesto final nos entrega un sistema 100% funcional que ponemos en producción y ofrecemos a nuestros usuarios de negocio, clientes o partners. ¿Realizas auditorías de seguridad que certifiquen que el sistema de login no es una chapuza? ¿Quizás, acuciado por los plazos, el informático de turno ha utilizado una librería "mágica" y claro, "gratuita" descargada de GitHub para adelantar trabajo? ¿Y si esa librería fuera malware que abre puertas traseras a la autenticación de un tercero malicioso? ¿Y si no se hubieran controlado ataques por SQL Injection? ¿Implemente Captchas que controlen ataques por fuerza bruta? ¿Damos demasiada información en los mensajes de error? ¿Es robusto y seguro el sistema de cambio de contraseña?

La solución con OKTA

Los servicios de identificación, autenticación y autorización de OKTA permiten que terceras partes (desarrolladores) accedan a la funcionalidad fundamental de la plataforma de una forma fácil y segura, proporcionando herramientas a los integradores de sistemas que les permiten mejorar instantáneamente la seguridad y modernidad de las aplicaciones desarrolladas a medida o incluso también de las aplicaciones de legado.

Estudios de OKTA sitúan el ahorro medio de costes en 10 días/año de trabajo de un desarrollador de apps, pero sobre todo de una mejora instantánea en el nivel de seguridad de aplicaciones, nivel de seguridad por otro lado requerido en Europa por la nueva directiva europea de protección de datos, la GDPR.

Beneficios obtenidos

Confianza absoluta de que, sea quien sea el proveedor seleccionado para realizar un desarrollo o integración de sistema, la solución software tendrá un sistema de login seguro, robusto y moderno.

Control centralizado para el departamento de TI del ciclo de vida de usuarios, gestión de contraseñas, políticas de acceso, identificación y autorización, doble factor de autenticación, autorización dinámica, etc.

Robo de credenciales

Situación

¿Qué pasaría si a un empleado, usuario o partner le roban las credenciales de acceso a un sistema de información? Pues que salvo que se hayan desarrollado políticas de detección de este tipo de situaciones, un hacker podría tener acceso a la aplicación y sus datos. Barra libre para "el mal".

Descripción del riesgo

El robo de credenciales es una de los ataques más comunes que sufren las organizaciones. Robar credenciales no es "rocket science" sino todo lo contrario, una práctica bastante habitual por lo fácil que resulta. Desde contraseñas en ficheros "contraseñas.txt" o en archivos de notas del teléfono, contraseñas compartidas en post-its, una única contraseña utilizada en todos los sistemas, ataques de phising, key-logging, etc. ¡Nos sorprenderíamos de lo expuestas que están las contraseñas de nuestros usuarios!

¿Contiene nuestro software un sistema que identifique que alguien está utilizando la contraseña en un sistema de forma indebida? Por ejemplo, si usan mis credenciales desde China, o a las 3 de la madrugada, ¿Es eso normal? Atiende a las políticas de TI acceder a un sistema desde una red no segura de un Starbucks por mucho que el usuario y la contraseña sean correctas? Si no controlamos estos aspectos, estamos en una situación de riesgo e indefensión.

La solución con OKTA

Una de las soluciones básicas que ofrece OKTA es la posibilidad de ofrecer autenticación multifactor, es decir, pedir una coordenada como complemente a la contraseña, que se remite por un canal que solo el usuario legítimo puede recibir y leer (un SMS, por ejemplo, pero también un email o un mensaje push).

Pero no solo el multifactor es una ventaja ofrecida por OKTA. OKTA es capaz de crear políticas dinámicas que requieren mayores o menores medidas de control de acceso basado en la situación actual de autenticación. Políticas dinámicas basadas en la posición geográfica, redes de acceso, intentos de login, etc.

Beneficios obtenidos

El robo de credenciales deja de ser una preocupación mayor, para ser simplemente una situación a gestionar desde una consola centralizada de administración, ofreciendo tranquilidad a los administradores de sistemas, departamentos de TI y directores de seguridad a la hora de luchar contra este tipo de ataques.

Suplantación de identidades

Situación

La compañía de mantenimiento con la que trabajamos para dar servicios a nuestros clientes, compañía con poca cultura de seguridad informática, despide a uno de sus empleados que, despechado, decide vender sus credenciales a un hacker asiático para que este extraiga información de nuestra empresa. Debido a que el usuario del empleado despedido no ha sido dado de baja en ese sistema informático (el departamento de RRHH solo le dio de baja del email y la intranet) exponemos nuestros datos y sistemas sin control alguno.

Descripción del riesgo

Muchas compañías tienen terceros de confianza a los que se les da acceso a los sistemas de información para trabajar conjuntamente con ellos. Empresas de transporte, seguridad, mantenimiento o reparación de instalaciones, incluso limpieza. ¿Tenemos control de cómo manejan y gestionan estas empresas las credenciales de sus usuarios? ¿Somos capaces de dar de baja usuarios de estas terceras compañías desde una consola centralizada de gestión? Si no somos capaces de securizar nuestra cadena de confianza en el negocio quizás estemos dejando la puerta abierta a ataques informáticos.

La solución con OKTA

OKTA permite integrar con nuestro directorio activo los directorios activos de nuestros partners, de forma que podemos centralizar la gestión de accesos no solo de nuestros empleados, sino también de nuestros socios de negocio, de los "terceros de confianza". La gestión del ciclo de vida de la identidad interna y también externa, en combinación con todos los mecanismos de seguridad de OKTA (SSO, multifactor, etc.) es una de las principales ventajas que podemos ofrecer.

Beneficios obtenidos

Gestión confiable de accesos a terceros de confianza. Somos nosotros quienes controlamos cómo acceden a nuestros sistemas los usuarios de otras compañías. Somos nosotros quienes cambiamos las políticas a nuestra discreción.