Figura 1: Modelo de interação para a autenticação do utente com o seu Cartão de Cidadão.

Transcrição

1 Segurança Informa tica e nas Organizaço es Autenticaça o do Utente em Aplicaço es Web com o Carta o de Cidada o (v1.0) 1 Introdução Com este trabalho pretende-se estudar um modelo de interação entre um utente e uma aplicação Web, onde a identificação e autenticação do primeiro perante o segundo é realizada através do Cartão de Cidadão. Muito embora a autenticação do utente utilizando o seu Cartão de Cidadão possa ser feita com HTTPS, pretende-se fornecer um mecanismo alternativo que funcione sobre o HTTP (portanto, ao nível do serviço prestado pela aplicação Web) e permita à aplicação Web um maior controlo sobre a autenticação, ao contrário do que acontece com o HTTPS, em que a autenticação é gerida exclusivamente pelo servidor de HTTP. Figura 1: Modelo de interação para a autenticação do utente com o seu Cartão de Cidadão. A figura 1 ilustra o modelo de interação pretendido. Neste, o utente usa o seu navegador para aceder à Aplicação Web na Máquina Servidora. Esta Aplicação Web exige a identificação e autenticação do utente como pré-requisito para que este possa aceder aos seus serviços. Assim, caso o utente não seja reconhecido pela Aplicação Web, esta Trabalho em grupo de SIO,

2 envia à Aplicação de Autenticação, residente na máquina do utente (na máquina local, do ponto de vista do navegador do utente), um desafio para ser processado utilizando o Cartão de Cidadão do utente. A Aplicação de Autenticação dialoga com o Cartão de Cidadão do utente para o processamento do desafio, que é depois enviado para a aplicação Web na Máquina Servidora. Este desafio processado será então validado e, em caso de validação positiva, a aplicação Web permitirá que o utente aceda aos seus serviços. 2 Modelo de Autenticação O modelo de autenticação deverá ser baseado em pares desafio-resposta processados através do Cartão de Cidadão. Após a concretização com sucesso de uma fase de autenticação com um desses pares, o utente estabelece uma sessão de duração limitada com a aplicação Web na Máquina Servidora. Após expirar a sessão, o utente terá de novo de fazer uma nova autenticação com desafio-resposta, igual à que fez anteriormente, a qual lhe permitirá renovar a sessão. A autenticação com desafio-resposta deverá ser realizada sem que a Aplicação Web conheça à partida qualquer informação sobre o cliente. Por outras palavras, a Aplicação Web não necessita de recensear os seus utentes à priori. Assim, a resposta a um desafio deverá conter, além da transformação do desafio feita com uma chave privada do utente, o correspondente certificado de chave pública, servindo este último para fornecer a identidade do cliente: Resposta = Cifra chave privada (desafio), Certificado(chave pública) Sempre que a Aplicação Web receber um pedido do utente e verificar que a sessão do utente não está autenticada, ou que tenha expirado, deverá enviar um pedido de autenticação para a Aplicação de Autenticação na Máquina do Utente. Este pedido deverá ser realizado através de um comando HTTP Redirect, o qual deverá redirecionar o navegador do utente para a sua Aplicação de Autenticação (sempre localizada no endereço e num porto arbitrário definido no âmbito do projeto), a qual irá conduzir o processo de autenticação. O comando HTTP Redirect deverá conter o desafio que, através do Cartão de Cidadão, será usado para construir a resposta. Para isso, a Aplicação de Autenticação precisará de dialogar com o utente para, por exemplo, lhe pedir que introduza o Cartão de Cidadão num leitor local ou que introduza o PIN das suas credenciais de autenticação do Cartão de Cidadão. Quando a Aplicação de Autenticação possuir a resposta ao desafio, deverá enviá-la para a Aplicação Web através de uma outra mensagem HTTP Redirect, a qual deverá redirecionar o navegador do utente para a página onde a resposta ao desafio deverá ser processada. Nessa mensagem deverá ser incluída (i) a resposta ao desafio e (ii) o certificado digital da chave pública correspondente à chave privada que processou o Trabalho em grupo de SIO,

3 desafio. A Aplicação Web deverá validar a resposta recebida, i.e., (i) validar o certificado digital do utente e (ii) verificar se o desafio cifrado recebido foi produzido através da cifra do desafio lançado utilizando a chave privada correspondente ao certificado digital do utente recebido na resposta. Se a resposta recebida for válida, a Aplicação Web deverá guardar a identidade do utente e associá-la a uma sessão do utente. 3 Aplicação Web A aplicação Web da Máquina Servidora terá que ser uma aplicação que requeira a identificação e a autenticação dos seus clientes. Eventualmente poderá ser uma aplicação desenvolvida pelos alunos numa outra Unidade Curricular (e.g. Tecnologias e Programação Web), o que seria vantajoso para ambas as Unidades Curriculares. Caso tal não seja possível, sugere-se a criação de um navegador ao longo de uma hierarquia de ficheiros onde a raiz da hierarquia é definida consoante a identidade do cliente. O modelo de autenticação a desenvolver deverá ser integrado com a gestão de sessões aplicacionais usada pela Aplicação Web (e.g. Grails). Tal significa que os atributos que caracterizam a sessão aplicacional deverão ser enriquecidos com os que resultarem da autenticação a desenvolver, sem ser preciso desenvolver mais uma componente de gestão de sessões. 4 Aplicação de Autenticação A aplicação de autenticação terá necessariamente uma interface de servidor HTTP (num porto arbitrário definido no âmbito do projeto). No entanto, não precisa de ser desenvolvida com recurso a uma aplicação Web suportada por um servidor HTTP. Sugere-se, como alternativa, o uso de classes Java apropriadas para o desenvolvimento de servires HTTP (e.g. HttpHandler). No desenvolvimento desta aplicação deverá ser tomada atenção à possibilidade de serem solicitadas mais do que uma autenticação em simultâneo. Este aspeto terá de ser tratado em articulação com as capacidades do middleware que realiza os acessos ao Cartão de Cidadão (ver próxima secção). 5 Exploração do Cartão de Cidadão Para utilizar o Cartão de Cidadão é necessário instalar o seu middleware. Este é constituído por um conjunto de bibliotecas, as quais dependem do sistema operativo usado (Windows ou Linux). Trabalho em grupo de SIO,

4 Em qualquer dos sistemas operativos existe uma biblioteca (PTEIDLIB) que serve para explorar o Cartão de Cidadão enquanto elemento de identificação nacional. Esta biblioteca não deverá ser necessária. A interface padrão para o acesso a tokens criptográficos é a PKCS#11. Apesar de o Java disponibilizar uma API para este padrão, ela tem algumas limitações (por exemplo, não está disponível para arquiteturas com processadores de 64 bits). Assim, recomenda-se a utilização da API disponibilizada pela IAIK que, após registo, pode ser obtida em Este software irá ser disponibilizado na página da Unidade Curricular. 6 Interação Entre o Utente e a Aplicação de Autenticação / Cartão de Cidadão A interação entre o utente e a Aplicação de Autenticação, ou mesmo o Cartão de Cidadão, pode ser feita de várias formas, algumas delas mais vantajosas para o utente: 1. A interação poderá ser feita através da interface do navegador, o que implica a existência de uma interação HTTP específica entre o navegador e a Aplicação de Autenticação. 2. A interação poderá ser feita através de uma interface própria da Aplicação de Autenticação. 3. A introdução do PIN de autenticação do Cartão de Cidadão poderá ser feita de 3 modos: (i) através do navegador (usando o primeiro modelo de interface), (ii) através da interface da Aplicação de Autenticação (usando o segundo modelo de interface) ou (iii) através da interface da biblioteca PKCS#11 do Cartão de Cidadão, caso nenhum dos anteriores seja usado. A vantagem dos dois primeiros face a este último é a possibilidade de guardar e manter o PIN na Aplicação de Autenticação para poder realizar várias autenticações do utente sem que para o efeito tenha de ser introduzido novamente o PIN. Face às hipóteses acima enunciadas, será mais valorizada aquela que integrar a interação do utente com a Aplicação de Autenticação no navegador. No que diz respeito à reutilização do PIN pela Aplicação de Autenticação, a mesma será valorizada desde que devidamente acompanhada por uma política bem definida e defendida para o tempo de manutenção desse PIN (lembre-se, por exemplo, da política de memorização da senha durante um intervalo temporal após a execução de um comando sudo em Linux). 7 Grupos de Trabalho e Avaliação Trabalho em grupo de SIO,

5 Os projetos devem ser realizados em grupos de 2 elementos. A nota final dependerá de 3 aspetos: 1. O grau de satisfação dos requisitos expostos neste enunciado. 2. O grau de complexidade da solução apresentada. São mais valorizadas soluções simples que conseguem o maior grau de integração de funcionalidades e que melhor satisfazem a experiência dos utentes. É também valorizada a identificação, discussão e proposta de solução de alguma eventual vulnerabilidade no protocolo implementado. 3. A participação individual de cada elemento do grupo. Esta será aferida numa discussão oral. Para além da demonstração final do trabalho, os alunos deverão entregar um relatório da sua realização e fazer uma apresentação oral do trabalho. Esta apresentação será seguida de uma discussão individualizada onde o grupo fará a defesa do seu trabalho. O relatório deverá referir todas as decisões tomadas pelo grupo na realização do projeto e todos os requisitos não cumpridos. O relatório deverá ainda conter imagens devidamente comentadas que evidenciem a correção da solução implementada. As datas de entrega do relatório e de apresentação e discussão do trabalho serão posteriormente indicadas. Trabalho em grupo de SIO,