Sistema de Autorización para Web Services basado en XACML

Abstract

Un concepto clave de seguridad informática es el de «autorización»: luego de autenticar a una persona o sistema, es necesario determinar cuáles son sus derechos de acceso sobre los servicios o recursos ofrecidos. Una forma de administrar derechos de autorización de diferentes personas o sistemas es mediante la utilización de ACLs (Access Control Lists). Los ACLs utilizados en determinados contextos constituyen un repositorio que relaciona recursos, individuos, grupos y acciones para determinar «quién puede hacer qué». Los conceptos en torno a ACLs están presentes en prácticamente todos los sistemas que contemplan algún mecanismo de autorización. A pesar del difundido uso de este sistema, no se ha propagado aún una forma de expresar las listas de control (o políticas de acceso) de manera portable y unificada. Hoy en día existen controles de acceso en bases de datos, sistemas operativos, servidores Web, aplicaciones a medida, etc., y cada uno de los sistemas mencionados utiliza su propia infraestructura ACL, lo que implica: - Distintos modelos de seguridad - Distintos lenguajes para expresar las políticas. - Distintas interfaces para consultar y definir las ACLs. Esto plantea problemas de integración y mantenimiento de las distintas ACLs que es necesario consultar para realizar una acción que acceda distintos dominios o sistemas.