UNIVERSIDADE FEDERAL DO RIO GRANDE DO SUL
INSTITUTO DE INFORMÁTICA
CURSO DE PÓS-GRADUAÇÃO EM CIÊNCIA DA COMPUTAÇÃO

Uma Solução na Autenticação de Usuários

para Ensino à Distância

por

MAURICIO FIORESE

Plano de Estudos e Pesquisa

Profa. Dra. Liane M. R. Tarouco

Orientador

Porto Alegre, março de 1999.

Hoje em dia, existe um aumento da dependência de sistemas de computador em quase todos os aspectos dos negócios, comércio e educação e muitas organizações estão confiando na efetividade de seus sistemas para terem sucesso. O aumento da ênfase em segurança de computadores significa que apenas pessoas autorizadas devem poder acessar as informações armazenadas nos sistemas. Neste contexto, destaca-se a importância da autenticação de usuários.

A definição mais geral de autenticação dentro de sistemas de computação engloba a verificação da identidade, autenticação da origem e conteúdo da mensagem. O conceito de verificação de identidade, especificamente, se aplica a usuários humanos, sistemas de computação e processos executando nesses sistemas. A autenticação pelo conhecimento de uma informação secreta ou a pela posse de um dispositivo físico de autenticação único são igualmente válidos para todos os tipos de entidades descritos acima. Do outro lado, autenticação por biometria apenas tem sentido no contexto de seres humanos.

Mecanismos de autenticação confiáveis são críticos para a segurança de qualquer sistema de informação automatizado. Se a identidade dos usuários legítimos puderem ser verificadas com um grau aceitável de certeza, as tentativas de acesso ao sistema sem a devida autorização podem ser negadas. Quando um usuário legítimo é verificado, são aplicadas técnicas de controle de acesso para permitir o acesso do usuário aos recursos do sistema. Se um sistema de computação não puder verificar a identidade dos usuários ou de outros computadores, o sistema não poderá se proteger contra acesso não autorizado.

Existem uma variedade de métodos para executar autenticação de usuários, e estes métodos formam a base dos sistemas de controle de acesso. As três categorias de métodos para verificação da identidade de um usuário são baseadas em algo que o usuário sabe, tal qual uma senha; algo que o usuário possui, tal qual um token de autenticação; e alguma característica física do usuário, tal qual a impressão digital ou padrão de voz. De modo a usar estas características para verificar a identidade de um indivíduo, os sistemas de computadores usam softwares, hardwares ou a combinação dos dois.

Este trabalho se propõe a estudar as diferentes técnicas e mecanismos de autenticação de usuários aplicáveis em um cenário de educação à distância, analisando suas características e tendências futuras, e propondo um modelo mais completo, econômico e factível que satisfaça as características de segurança requeridas por este cenário.

A validação da proposta será realizada através da implementação de um protótipo de um sistema de autenticação para educação à distância.

O crescimento das redes abertas fez com que surgissem vários problemas de segurança, que vão desde o roubo de senhas, interrupção dos serviços até problemas de personificação, onde uma pessoa se faz passar por outra para obter acesso privilegiado.

Com isso, surgiu a necessidade de autenticação, que consiste na verificação da identidade tantos dos usuários quanto dos sistemas e processos. Os mecanismos de autenticação de usuários se dividem em três categorias: o que se sabe, o que se possui e o que se é.

A autenticação pelo que se sabe tem sido usada há anos. Porém, técnicas mais aperfeiçoadas de ataque aumentaram as oportunidades de pessoas não autorizadas interceptarem dados de autenticação passando na rede, quebrar senhas fracas e se passar por outros usuários. O uso único de senhas já não é mais suficiente para a proteção de sites que necessitam de maiores requisitos de segurança. A fim de tentar resolver este problema, vários autores propõem criptografia da comunicação, uso de senhas mais longas e randômicas , checagem pró-ativa [BIS95], utilização de senhas descartáveis ( one time passwords ) e sistemas de desafio resposta ( chalenge/response systems ), modificação no processo de login [MAN96] e combinação de senhas com outros métodos de autenticação como cartões inteligentes e dispositivos biométricos [WU96] , fornecendo dois e até três fatores de autenticação.

O avanço da biometria, aliado à redução dos preços dos equipamentos, fez com que nos últimos anos surgissem dúzias de sistemas biométricos a baixo custo, abrindo a possibilidade de uso de dispositivos mais incrementados sem a necessidade de grandes investimentos

Uma das áreas de aplicação que mais cresce na Internet é a aplicação das tecnologias da informação à educação e ao treinamento. Pesquisadores da indústria e do mundo acadêmico estão desenvolvendo modelos e produtos para o treinamento e a educação baseados na Web. No que se refere a autenticação, grande parte destes sistemas são baseados em senhas, o que já não é mais suficiente, principalmente em momentos críticos como avaliações. Problemas de personalizações podem ocasionar avaliações erradas dos alunos.

Objetivo Geral:

O objetivo deste trabalho será estudar , projetar, implementar e testar um sistema de autenticação de usuários para aplicações de ensino à distância.

Objetivos Intermediários

• Análise comparativa em termos de custo, performance, e índice de acertos, de diferentes estratégias para autenticação de usuários em sistemas de ensino à distância.
• Projeto, implementação, testes de um protótipo de autenticação de usuários voltado ao ensino à distância, com possibilidade de integração com um sistema de avaliação;

Este trabalho será desenvolvido nas seguintes etapas:

• Levantamento bibliográfico e estudo das tecnologias e métodos de autenticação existentes: Através de revisão bibliográfica, visa o conhecimento das principais técnicas de autenticação de usuários, suas características, novidades e tendências futuras, afim de adquirir fundamentação para as etapas seguintes;
• Análise da aplicabilidade do métodos de autenticação à educação à distância: Analisar e definir os métodos de autenticação de usuários que mais se adaptam à área de educação à distância, junto com uma análise custo-benefício dos requisitos necessários para sua implementação;
• Proposta do modelo: A partir dos levantamentos realizados, será proposta uma solução para a autenticação de usuários no cenário de educação à distância;
• Preparação e apresentação do seminário de andamento: Discussão dos pontos críticos do modelo e das possíveis soluções;
• Implementação do protótipo: Implementação e testes de um protótipo do modelo proposto na fase anterior;
• Correções do modelo: Correção de detalhes do modelo detectados na fase de implementação do protótipo;
• Redação do texto da dissertação: Escrita da dissertação;
• Correção do texto da dissertação: Verificação do texto em busca de erros;
• Entrega da dissertação.

[BER97] BERNSTEIN, T.; BHIMANI, A.; SCHULTZ, E.; SIEGEL, C.A. Segurnaça na Internet. Rio de Janeiro: Campus, 1997. 461p.

[FIO98] FIORESE, Mauricio. Mecanismos de Autenticação de Usuários. T.I. n. 765 Porto Alegre: CPGCC da UFRGS, 1997. 67p.

[GEM98] GEMPLUS. What is a Smart Card. Disponível por WWW em http://www.gemplus.com/basics/what.htm obtido em setembro de 1998.

[HEN97] HENDRY, Mike. Smart Card Security and Applications. Norwood,, USA: Artech House, Inc, 1997. 282p.

[KAU95] KAUFMAN, Charlie; PERLMAN, Radia; SPECINER, Mike. Network Security: private communication in a public world. USA, New Jersey: Prentice Hall PTR, 1995. 505p.

[KIM95] KIM, Hyun-Jung. Biometrics, is it a viable proposition for identity authentication and access control ?. Computers & Security, vol. 14, n.3, p. 205-214. 1995.

[MAN96] MANBER, Udi. A simple scheme to make passwords based on one-way functions much harder to crack. Computers & Security, vol. 15, n.2, p. 171-176. 1996.

[PFL97] PFLEEGER, Charles P. Security in Computing. 2^nd Edition. New Jersey, USA: Prentice Hall, 1997. 574p.

[YOU96] YOUNG, I.T.; KIRSTEIN, P.T.; IBBETSON, A. Technologies to Support Authentication in Higher Education. UK Joint Information Systems Committee. Disponível por WWW em http://www.ukoln.ac.uk/services/elib/papers/other/scoping/ obtido em setembro de 1998.

[WEB98] WEBER, Raul Fernando. Segurança em Sistemas de Computadores Notas de aula da disciplina do CPGCC-UFRGS. Porto Alegre, 1998.

[WU96] WU, Tzong-Chen; SUNG, Hung-Sung.Authenticating passwords over an insecure channel. Computers & Security, vol. 15, n.5, p. 431-439. 1996.