Oracle anuncia su intención de adquirir el fabricante de software de E-SSO Passlogix

El rápido desarrollo de Internet y sus tecnologías asociadas ha provocado una rápida adopción de aplicaciones y servicios distribuidos por parte de los usuarios empresariales. Cada aplicación o servicio (correo electrónico, correo móvil, etc.) se construye empleando diferentes herramientas, con diferentes características de seguridad y sobre diferentes plataformas o infraestructuras. Cada aplicación y servicio utiliza por tanto un repositorio propio centralizado para almacenar la información de seguridad asociada a cada usuario. Además las colaboraciones entre empresas y organismos, y la tendencia a la externalización de los servicios agravan esta situación.

La unificación de acceso mediante un logon único para los usuarios, junto a una gestión de las identidades centralizada y una autenticación fuerte de los usuarios se han convertido en principales preocupaciones de los responsables de seguridad de las empresas y organismos públicos.

Según indica la web de PassLogix, en Junio de 2006 Oracle y Passlogix alcanzaron un acuertdo OEM que permitía a Oracle la venta del producto Passlogix v-GO Sign-On bajo su propia marca siendo un componente clave de la estrategia Oracle Fusion Middleware. El acuerdo se llevó a cabo debido a la fuerte demanda de los clientes para implementar soluciones de logon único empresarial (Enterprise Single Sign-On).

Tras más de cinco años de colaboración, Oracle ha anunciado que ha alcanzado un acuerdo para adquirir Passlogix (http://www.oracle.com/us/corporate/press/176326)  para complementar su linea de productos de gestión de identidades.

Algunos de los competidores de Passlogix en el área de Enterprise Single Sign-On (E-SSO) son IBM (con su producto Tivoli Access Manager que inicialmente fue licenciado a Passlogix), Novell, ActivIdentity, Evidian (del grupo Bull), Computer Associate e Imprivata. Habrá que ver que otros movimientos se producen en este mercado, aunque ya se ha producido una consolidación.

Conseguir que los usuarios accedan con un unico logon a todos los sistemas, servicios y aplicaciones que necesitan para desempeñar su función es un reto complejo en grandes organizaciones. Hace unos meses presente en el foro tendencias del SITI/asLAN 2010 una presentación donde me permitía recomendar una estrategia para conseguir finalizar con éxito un proyecto de estas características (http://slidesha.re/btpHXh).

Los proyectos de E-SSO van a menudo acompañados de la implantación de una solución de autenticación fuerte, ya que sustituir varias password que gestiona un usuario por una sola, no mejora necesariamente la seguridad (aunque facilita su memorización) sino que puede incrementar el riesgo, ya que la perdida o compromiso de una contraseña da acceso a todos los sistemas y aplicaciones a los que tiene acceso un usuario. Por ello si se acompaña de la autenticación por smart card o algún tipo de reconocimiento biométrico que mantenga la sensación de facilidad de uso al usuario, conseguiremos mejorar tanto la productividad como la seguridad de la empresa.

Los usuarios y passwords más utilizados

Bruce Schneier referencia en su blog esta web que ha publicado una nube de tags, con los usuarios y password más empleados por los usuarios en Internet.

Cada uno que saque sus propias conclusiones. ¿Cuantos equipos conectados a Internet usarán estos usuarios y contraseñas?. Se lo ponen fácil a los atacantes.

La criptografía asimétrica vino a solventar el problema de la distribución de claves, por la que en una red abierta el número de claves simétricas necesarias para mantener la confidencialidad de las comunicaciones crece exponencialmente con el número de participantes.

Con las passwords, parece que pasa algo parecido. Cada vez accedemos a más y más servicios. Cada uno de ellos requiere que nos registremos y creemos una password. Es una práctica sensata no reutilizar las passwords en los diferentes servicios, o al menos, disponer de diferentes passwords para cada grupo de servicios en función de su criticidad o riesgo. Pensemos que una password es un secreto compartido entre nosotros y los responsables de un determinado servicio en la web. Cuando nos registramos, no siempre sabemos a quien le estamos confiando esa password, ni que estaría dispuesto a hacer con ella. Como escuché en una conferencia, "un secreto compartido no puede ser un secreto".

La realidad es que los usuarios en general, utilizan passwords muy simples para no olvidarlas y se reutilizan las password en diferentes servicios, llegando a emplear la misma password corporativa para registrarnos en webs de dudosa reputación.

Podemos recordar de media unas 7-8 passwords complejas diferentes y especialmente si debemos cambiarlas frecuentemente. Por esta razón si utilizamos más las terminamos apuntando o reutilizando. El problema son las passwords, no las personas.

Un saludo

Rames.