De volta ao básico: O caos das identidades
Em uma entrada de blog anterior, falamos sobre a Anatomia da Indentidade Digital. A leitura deste post já nos leva a crer que é possível, com um planejamento adequado, implementar um sistema de diretório central, no qual orbitam aplicações que necessitam utilizar serviços de autenticação e autorização.
Mas, infelizmente, não é o que encontramos em nosso dia a dia. É muito comum encontrarmos, dentro das empresas, um conjunto de repositórios de identidade desconectados e sem sincronismo, o que leva ao caos atual de identidades. A figura a seguir, adaptada da figura apresentada no texto anterior, nos dá uma aproximação da falta de interação entre essas identidades: é apenas um conjunto desconexo de dados sobre os quais o usuário não tem controle sobre a usar ou não deles. Se quiser usar um novo sistema, é necessário utilizar uma nova identidade, com novas credenciais.
Esse caos traz pelo menos dois tipos de exposição a risco:
1. O excesso de identidades faz com que as pessoas acabem reutilizando meios, potencialmente fáceis de "roubar", para o armazenamento de sua lista de identidades (pares de usuário e senha). Os mais comuns são: o "papelzinho" na gaveta (ou o adesivo no monitor) e o uso de arquivos eletrônicos contendo a lista de identidades utilizadas (normalmente salvos sem criptografia ou qualquer outro mecanismo de segurança de acesso).
2. Fraude no acesso aos sistemas. Quando se possui um conjunto desconectado de repositórios, a superfície de fraude aumenta assustadoramente. O que quero dizer com isso? Analisemos uma situação hipotética: eu sou um funcionário de RH e tenho uma senha para acesso à rede e uma senha para o acesso ao sistema de RH. Digamos que eu seja demitido e minha senha da rede seja bloqueada. Se hão houver um sincronismo com o sistema de RH, é possível eu, baseado em minhas amizades na empresa, pedir a algum outro colega que acesse a rede com sua própria identidade mas entre no sistema de RH com a minha identidade exclusiva deste sistema, na qual eu tenho mais direitos do que ele. Com esse acesso indevido (e não controlado), é possível então realizar operações fraudulentas no sistema, muitas vezes com dificuldades no rastreamento posterior.
É nesse caos que se baseiam as ferramentas de gestão de identidade que mencionamos no post anterior. Para poder gerenciar, sincronizar todos esses elementos e dar uma falsa impressão ao usuário de que existe um logon unificado em sua empresa, é absolutamente necessário incorporar à sua arquitetura de TI um elemento externo, que tente colocar um pouco de ordem neste caos.
Esta organização do caos é benéfica para o usuário mas traz uma carga administrativa maior para a equipe de gestão de TI. Além de ser necessário compreender cada mecanismo de autenticação e autorização de todos os aplicativos e seus repositorios de identidades, é necessário descobrir como o software de gestão de identidade pode interagir com eles para permitir a automaçõo dos processos de provisionamento. Para cada novo par sistema / repositório é necessário incluir mais um elemento no processo na gestão de identidade.
A seguir (próximo blog): A idéia do diretório único
