Uma abordagem de privacidade no gerenciamento de identidade na nuvem

(1)

Jorge Werner

UMA ABORDAGEM DE PRIVACIDADE NO GERENCIAMENTO DE IDENTIDADE NA NUVEM

Florian´opolis 2017

(2)

(3)

Tese submetida à Pós-Gradua¸cão em Ciência da Computa¸cão para a ob-ten¸cão do Grau de Doutor em Ciência da Computa¸cão.

Orientadora: Profa_{. Dr}a_{. Carla}

Mer-kle Westphall

Florian´opolis 2017

(4)

UFSC.

Werner, Jorge

Uma abordagem de privacidade no gerenciamento de identidade na nuvem / Jorge Werner ; orientadora, Carla Merkle Westphall, 2018.

245 p.

Tese (doutorado) - Universidade Federal de Santa Catarina, Centro Tecnológico, Programa de Pós Gradua¸cão em Ciência da Computa¸cão, Florianópolis, 2018.

Inclui referˆencias.

1. Ciência da Computa¸cão. 2. Computa¸cão em nuvem. 3. Federa¸cão. 4. Gerenciamento de Identidades. 5. Privacidade. I. Westphall, Carla Merkle. II.

Universidade Federal de Santa Catarina. Programa de Pós-Gradua¸cão em Ciência da Computa¸cão. III. T´ıtulo.

(5)

Esta Tese foi julgada aprovada para a obten¸cão do T´ıtulo de “Doutor em Ciência da Computa¸cão”, e aprovada em sua forma final pela Pós-Gradua¸cão em Ciência da Computa¸cão.

Florian´opolis, 28 de Novembro 2017.

Prof. Dr. Jos´e Lu´ıs Almada G¨untzel Coordenador

Profa_{. Dr}a_{. Carla Merkle Westphall}

Orientadora Banca Examinadora:

Prof. Dr. Eduardo James Pereira Souto Universidade Federal do Amazonas

Prof. Dr. Raul Ceretta Nunes Universidade Federal de Santa Maria

Profa. Dra. Patr´ıcia Della M´ea Plentz Universidade Federal de Santa Catarina

(6)

(7)

(8)

(9)

Neste momento tão especial quero expressar de cora¸cão meu agradecimento às seguintes pessoas:

Em primeiro lugar a Deus pela sabedoria e conhecimento, pela oportu-nidade de estar aqui, por guiar meus passos cada dia.

`

A minha querida fam´ılia: meus pais, Pedro Werner e Marlene Werner. Agrade¸co pelo exemplo de vida, por estarem sempre ao meu lado em todas as minhas conquistas e realiza¸c˜oes.

`

A minha amada esposa, Keity Pacheco Werner pela paciˆencia e pelo companheirismo em todos os momentos. Obrigado pelo amor, carinho e apoio incondicional. Te amo!

`

A Professora Dra. Carla Merkle Westphall, por ser mais do que minha orientadora, por acreditar em minha capacidade, pelo apoio em todos os momentos, principalmente pela amizade.

Ao Professor Dr. Carlos Becker Westphall, por todo o apoio e incentivo, desde a época do mestrado. À CAPES pela concessão de bolsas durante o meu doutorado. Agrade¸co também à Renasic por fomentar parte dos meus estudos. Enfim, a todos que, de alguma forma contribu´ıram para a realiza¸cão deste estudo.

(10)

(11)

A computa¸cão em nuvem oferece benef´ıcios em termos de dinamici-dade, elasticidinamici-dade, disponibilidade e custo, porém cria dificuldades na gestão da seguran¸ca da informa¸cão. Em especial, sob o ponto de vista do gerenciamento de identidade, o ambiente de nuvem é um desafio importante por ter múltiplas regras de acesso às aplica¸cões, diferentes dados dos usuários e diversas tecnologias envolvidas. A questão de segu-ran¸ca, incluindo preservar a privacidade dos dados é uma preocupa¸cão constante e um tópico de pesquisa essencial no ambiente de computa¸cão em nuvem. Garantir privacidade envolve ter mecanismos de prote¸cão para minimizar libera¸cão de dados necessários, para garantir que pre-ferências do usuário sejam consideradas e, para garantir o cumprimento de obriga¸cões ou acordos estabelecidos entre provedores e consumido-res de servi¸cos. Esta tese propõe um modelo de privacidade para o gerenciamento de identidade em ambientes de nuvem, que promove a privacidade individual dos dados dos usuários. No modelo o ambiente de gerenciamento de identidades na nuvem efetua o controle no lado do usuário, define as pol´ıticas de privacidade dos usuários, garante a pri-vacidade nas intera¸cões, e controla a autentica¸cão e a autoriza¸cão dos usuários. O modelo possui ainda um acordo para a intera¸cão dinâmica entre os provedores que auxilia no processo de cria¸cão dinâmica do am-biente. Foram desenvolvidos protótipos para implementar o modelo proposto. Nos protótipos, que usaram como base uma implementa¸cão dispon´ıvel do OpenID Connect, foram feitas extensões para desenvolver uma prova de conceito dos principais aspectos do modelo.

Palavras-chave: Computa¸c˜ao em nuvem. Federa¸c˜ao. Gerenciamento de Identidades. Privacidade.

(12)

(13)

The Cloud Computing offers benefits in terms of dynamicity, elasti-city, availability, and cost, however, cause difficulties in information security management. In particular, from the point of view of iden-tity management, the cloud environment is an important challenge be-cause has multiple access rules into applications, different user data and technologies involved. The security question, including preserve the data privacy is an ongoing concern and a search essential topic in cloud computing environment. Certify the privacy involve to have a protection mechanism for reducing the releasing necessary data, for certifying that user preferences become considered and for certifying the compliance of obligations or agreement established between provi-ders and services consumers. This paper proposes the privacy model for the cloud computing identity management that promotes the user individual data privacy. In this model, cloud identities management environment doing the control in user side, defining the user privacy policies, assure the privacy of interactions and controlling the authen-tication and user authorities. The model has an agreement for the dynamic interaction among providers that assist the environment dy-namic creation process. Were developed prototypes to implement the proposed model. These prototypes were used an available implemen-tation of OpenID Connect, have been made extensions to develop a model principals aspects concept test.

Keywords: Cloud Computing. Identity management. Federation. Privacy

(14)

(15)

Figura 1 Privacidade no IdM, caracter´ısticas versus propriedades 39 Figura 2 Ciclo de vida da identidade (adaptado de (BERTINO;

TA-KAHASHI, 2010)). . . 47

Figura 3 Gerenciamento de identidades em um dom´ınio. . . 50

Figura 4 Gerenciamento de identidades federado. . . 50

Figura 5 Fluxo de mensagens no sistema de gerenciamento de identidades. . . 51

Figura 6 Fluxo do modelo Shibboleth (SHIBBOLETH, 2016). . . 55

Figura 7 Modelo OpenID Connect. . . 57

Figura 8 Metodologia LIND(D)UN 2.0 (WUYTS, 2015) . . . 80

Figura 9 DFD dos pontos de intera¸c˜ao dos agentes do IdM . . . 81

Figura 10 Amea¸ca falta de privacidade no processo de autoriza¸c˜ao de acesso . . . 82

Figura 11 Amea¸ca falta de controle da privacidade nas intera¸c˜oes 83 Figura 12 Amea¸ca falta de controle na dissemina¸c˜ao de PII´s . . . . 85

Figura 13 Amea¸ca falta de privacidade no estabelecimento dinˆamico de federa¸c˜oes . . . 86

Figura 14 Modelo IdM com privacidade na nuvem. . . 92

Figura 15 Modelos de intera¸c˜ao proposto . . . 97

Figura 16 Processo para a escolha de op¸c˜oes . . . 106

Figura 17 Fluxo simplificado da combina¸c˜ao de op¸c˜oes . . . 114

Figura 18 Exemplo das listas de confiabilidade (BODNAR, 2017). . 117

Figura 19 Exemplo de conex˜ao de TPCs (BODNAR, 2017). . . 118

Figura 20 Exemplo de lista de SPs semi-confiáveis (BODNAR, 2017).119 Figura 21 Exemplo de lista de SPs não confiáveis (BODNAR, 2017).119 Figura 22 Fluxo de atualiza¸cão das listas dinâmicas. . . 121

Figura 23 Fluxo de acesso dinˆamico. . . 121

Figura 24 Exemplo de m´ultiplos modelos de controle de acesso . . . 127

Figura 25 Exemplo de pol´ıtica de privacidade.. . . 138

Figura 26 Representa¸c˜ao de esquema de sticky policy . . . 139

Figura 27 Exemplo de regra na padroniza¸c˜ao de XACML (SPYRA; BUCHANAN, 2016). . . 140

(16)

Figura 31 Fluxo de autoriza¸c˜ao (FARAJI et al., 2014) . . . 144

Figura 32 Fluxo de autoriza¸c˜ao estendido . . . 145

Figura 33 Fluxo sticky policies . . . 147

Figura 34 Adapta¸c˜ao nas atuais ferramentas de gerenciamento de identidades federadas . . . 149

Figura 35 Processo de consentimento do Google . . . 157

Figura 36 Perfil b´asico em formato JSON.. . . 160

Figura 37 Interface de dissemina¸c˜ao estendida. . . 161

Figura 38 Alerta de recomenda¸cão para sele¸cão de atributo/op¸cões.161 Figura 39 Objeto anonimo em formato JSON.. . . 163

Figura 40 Op¸c˜oes de escolha em formato JSON. . . 163

Figura 41 Objeto pseudˆonimo em formato JSON. . . 164

Figura 42 Tela de dissemina¸c˜ao estendida . . . 165

Figura 43 Configura¸c˜ao de um novo cliente . . . 166

Figura 44 Registro do emissor definido para o novo cliente . . . 167

Figura 45 Tela de login de usu´ario . . . 168

Figura 46 Tela de autoriza¸c˜ao para acesso de mesmo usu´ario em diferente cliente . . . 169

Figura 47 Tela de autoriza¸c˜ao para acesso de mesmo usu´ario em um cliente diferente . . . 169

Figura 48 Token id e de Acesso . . . 169

Figura 49 UserInfo Response e Access Token Response (VARGAS, 2017) . . . 170

Figura 50 Cadastro das sticky policy . . . 171

Figura 51 Modelo de combina¸c˜oes das pol´ıticas de privacidade do usu´ario. . . 171

Figura 52 Modelo da proposta para controle de privacidade . . . 172

Figura 53 Modelo de pol´ıtica desenvolvido . . . 174

Figura 54 Tela do Criador do Token de Privacidade . . . 175

Figura 55 Tela do Criador da Requisi¸c˜ao . . . 176

Figura 56 Requisi¸c˜ao em JSON . . . 177

Figura 57 Exemplo de descoberta de configura¸c˜oes do IdP. . . 178 Figura 58 JSON de exemplo de descoberta de configura¸c˜oes do IdP

(17)

Figura 60 Trecho da politica de privacidade. . . 191

Figura 61 Tela do prot´otipo com os quatro perfis predefinidos e o personaliz´avel (VILLARREAL, 2017). . . 194

Figura 62 Mapa hist´orico de dissemina¸c˜ao. . . 195

Figura 63 Desafios de privacidade em IdM na nuvem (WERNER; WESTPHALL; WESTPHALL, 2017). . . 201

Figura 64 Fluxo cadastro cifrado . . . 210

Figura 65 Fluxo para o cadastro cifrado . . . 211

Figura 66 Fluxo acesso cifrado . . . 215

Figura 67 Fluxo para a valida¸c˜ao do dado . . . 217

Figura 68 Tag utilizada para entrada dos atributos (input ) (WEING ¨ ART-NER, 2014). . . 219

Figura 69 Tag formul´ario (form) para entrada dos atributos (WEING ¨ ART-NER, 2014). . . 219

Figura 70 Cadastro dos dados com privacidade (WEING ¨ARTNER, 2014). . . 220

Figura 71 Endpoint para armazenamento tempor´ario dos atributos (WEING ¨ARTNER, 2014). . . 220

Figura 72 Inje¸c˜ao do objeto “lrgUserInfoTempService” no “userIn-foUserDetailsService” (WEING ¨ARTNER, 2014). . . 221

Figura 73 Parte da implementa¸cão do objeto de armazenamento de atributos temporários (WEING ÄRTNER, 2014). . . 222

Figura 74 Javascript com fun¸cão AJAX para envio dos dados para o servi¸co de armazenamento temporário (WEING ÄRTNER, 2014). . . 222

Figura 75 Javascript da fun¸c˜ao de abertura do atributo (WEING ¨ ART-NER, 2014). . . 223

(18)

(19)

Tabela 1 Exemplo de PII . . . 46

Tabela 2 Comparativo das propostas com sticky policies . . . 70

Tabela 3 Modelos propostos versus caracter´ısticas de IdM baseado em privacidade para a nuvem. . . 76

Tabela 4 N´ıveis de privacidade versus atributos . . . 103

Tabela 5 Um exemplo de servi¸co . . . 132

Tabela 6 Relacionamento entre as preferˆencias, as pol´ıticas e os perfis . . . 151

Tabela 7 Caracter´ısticas das ferramentas de federa¸c˜ao (WEING ¨ ART-NER, 2014) . . . 154

Tabela 8 Representa¸c˜ao da pol´ıtica . . . 189

Tabela 9 Representa¸c˜ao das requisi¸c˜oes . . . 189

Tabela 10 Comparativo do trabalho final . . . 201

Tabela 11 Modelos propostos versus caracter´ısticas de IdM baseado em privacidade para a nuvem. . . 205

Tabela 12 Mapeamento entre problemas, propostas e implementa¸c˜ao (WEING ¨ARTNER, 2014) . . . 225

Tabela 13 Caso de uso de seguran¸ca administradores acessando in-forma¸c˜oes indevidamente (WEING ¨ARTNER, 2014) . . . 226

Tabela 14 Caso de uso de seguran¸ca sobre a falta de ciência no processo de dissemina¸cão (WEING ÄRTNER, 2014) . . . 227

Tabela 15 Caso de uso de seguran¸ca sobre o processo de disse-mina¸cão com ciência ser complicado (WEING ÄRTNER, 2014) . . . 228

(20)

(21)

ABAC Attribute Based Access Control AC Autoridade de Confian¸ca

API Application Programming Interface CAS Central Authentication Service CDCiber Centro de Defesa Cibern´etica

CDDL Common Development and Distribution License CC Cloud Computing

CSA Cloud Security Alliance DFD Diagrama de Fluxo de Dados DS Descoberta de Servi¸co

EPIC Electronic Privacy Information Center FIdM Federated Identity Management

GERPRI Gerenciamento de Identidade com Privacidade IaaS Infrastructure as a Service

IBE Identity-Based Encryption IdM Identity Management IdP Identity Provider IoT Internet of Things

JSON JavaScript Object Notation

LATIM Laborat´orio Virtual de Implementa¸c˜oes

LINDDUN Linkability, Identifiability, Non-repudiation, Detectabi-lity, Disclosure of information, Unawareness, Non-compliance LDAP Lightweight Directory Access Protocol

LRG Laboratório de Redes e Gerência MIT Massachusetts Institute of Technology MV Máquina Virtual

NIST National Institute of Standards and Technology OIDC OpenID Connect

ONU Organiza¸c˜ao das Na¸c˜oes Unidas PaaS Platform as a Service

(22)

PETS Privacy-Enhancing Technologies PII Personally Identifiable Information PLA Privacy Level Agreement

PMP Policy Management Point

PPID Pairwise Pseudonymous Identifier PPL PrimeLife Policy Language PV Provedor de Valida¸c˜ao RBAC Role-based access control

RENASIC Rede Nacional de Seguran¸ca da Informa¸c˜ao e Criptogra-fia

REST Representational State Transfer RNP Rede Nacional de Ensino e Pesquisa RP Relying Party

SaaS Software as a Service

SAML Security Assertion Markup Language SLO Single Sign-off

SP Service Provider SSL Secure Sockets Layer SSO Single Sign-on

TCPA Trusted Computing Platform Alliance TPC Terceiras Partes Confi´aveis

TPM Trusted Platform Module

XACML eXtensible Access Control Markup Language .

(23)

1 INTRODUÇ ÃO . . . 27 1.1 ABORDAGENS DE PRIVACIDADE . . . 28 1.2 MOTIVAÇ ÃO . . . 30 1.3 OBJETIVOS . . . 31 1.4 CONTRIBUIÇ ÕES . . . 31 1.5 ORGANIZAÇ ÃO DO TRABALHO . . . 33 2 CONCEITOS FUNDAMENTAIS . . . 35 2.1 PRIVACIDADE . . . 35 2.1.1 Anonimato . . . 39 2.1.2 Pseudo anonimato . . . 40 2.1.3 Legisla¸cão sobre privacidade . . . 40 2.1.3.1 Internacional . . . 40 2.1.3.2 Nacional . . . 41 2.2 COMPUTAÇ ÃO EM NUVEM . . . 42 2.3 SEGURANÇ A . . . 44 2.4 IDENTIDADE . . . 45 2.4.1 Ciclo de vida de uma identidade . . . 46 2.5 MODELOS DE CONTROLE DE ACESSO . . . 47 2.6 GERENCIAMENTO DE IDENTIDADE . . . 47 2.6.1 Fluxo de mensagens em um sistema IdM . . . 50 2.7 TECNOLOGIAS DE IDM . . . 51 2.8 FEDERAÇ ÃO . . . 58 2.9 SÍNTESE E DESAFIOS DA PESQUISA . . . 59 3 REVIS ÃO DOS TRABALHOS RELACIONADOS . . . 61 3.1 MAPEAMENTO SISTEM ÁTICO . . . 61 3.1.1 Questões de pesquisa . . . 61 3.1.2 Fontes de pesquisa . . . 62 3.1.3 Identifica¸cão dos estudos . . . 62 3.2 PROJETOS DE IDM COM PRIVACIDADE . . . 63 3.3 PRIVACIDADE NA NUVEM . . . 64 3.4 PRIVACIDADE COM STICKY POLICY . . . 66 3.5 PRIVACIDADE NOS SISTEMAS IDM . . . 71 3.6 SÍNTESE E DESAFIOS DA PESQUISA . . . 77 4 MODELAGEM DE AMEAÇ AS . . . 79 4.1 DIAGRAMA DE FLUXO DE DADOS . . . 80 4.2 CEN ÁRIOS DE AMEAÇ A . . . 81 4.2.1 Falta de privacidade na autoriza¸cão de acesso . . . 82

(24)

4.2.4 Falta de privacidade no estabelecimento dinâmico de federa¸cões . . . 85 4.3 SÍNTESE E DESAFIOS DA PESQUISA . . . 86 5 PRIVACIDADE NO GERENCIAMENTO DE

IDEN-TIDADE . . . 89 5.1 MODELO DE IDM COM PRIVACIDADE . . . 92 5.2 MECANISMOS DO MODELO DE PRIVACIDADE EM IDM 98 5.2.1 Métricas nas intera¸cões . . . 98 5.2.2 N´ıveis de privacidade . . . 100 5.2.2.1 Mapeamento de privacidade . . . 101 5.2.2.2 Perfis de usuários . . . 104 5.2.3 Padrões de intera¸cões . . . 105 5.2.3.1 Acesso anônimo . . . 107 5.2.3.2 Acesso com pseudônimo . . . 108 5.2.3.3 Acesso com atributos parciais . . . 110 5.2.3.4 Acesso com atributos totais . . . 111 5.3 NEGOCIAÇ ÃO DIN ÂMICA PARA PRIVACIDADE EM

SISTEMAS IDM . . . 111 5.3.1 Caracter´ısticas da negocia¸cão de privacidade . . . 113 5.3.2 Fluxo do registro dinâmico com privacidade . . . 113 5.3.3 Federa¸cão Dinâmica . . . 115 5.3.3.1 N´ıvel de Confian¸ca . . . 116 5.3.3.2 Listas de confiabilidade . . . 117 5.3.3.3 Utiliza¸cão do Modelo . . . 120 5.4 SÍNTESE E DESAFIOS DA PESQUISA . . . 123 6 POLÍTICAS NO GERENCIAMENTO DE

IDENTI-DADE . . . 125 6.1 POLÍTICAS . . . 126 6.2 DIFERENTES TIPOS DE POLÍTICAS . . . 127 6.3 POLÍTICAS DE PRIVACIDADE . . . 128 6.4 APRESENTAÇ ÃO DAS POLÍTICAS . . . 130 6.5 FORMALIZAÇ ÃO DAS POLÍTICAS DE PRIVACIDADE . . 131 6.5.1 Provedor de servi¸cos . . . 131 6.5.2 Pol´ıtica de privacidade . . . 132 6.5.3 Pol´ıtica de controle de acesso . . . 136 6.5.4 Solicita¸cão de acesso . . . 136 6.6 ESTRUTURA DAS POLÍTICAS DE PRIVACIDADE . . . 137 6.7 CRIAÇ ÃO DAS STICKY POLICIES . . . 138 6.8 ESTRUTURA DAS STICKY POLICIES . . . 139

(25)

6.11 FLUXO DO IDM COM PRIVACIDADE . . . 148 6.12 RELACIONAMENTO ENTRE PREFER ˆENCIAS, POL´ITICAS

E PERFIS . . . 150 6.13 SÍNTESE E DESAFIOS DA PESQUISA . . . 150 7 RESULTADOS EXPERIMENTAIS . . . 153 7.1 AMBIENTE DE NUVEM . . . 153 7.2 PLATAFORMA DE FEDERAÇ ÃO . . . 153 7.3 OPENID CONNECT . . . 154 7.4 PROT ÓTIPO NO OPENID CONNECT . . . 156 7.4.1 Ferramentas utilizadas . . . 157 7.4.2 Métricas nas intera¸cões . . . 159 7.4.3 Método padrão de intera¸cão . . . 162 7.4.4 Token de privacidade . . . 165 7.4.5 Pol´ıticas anexadas aos PIIs . . . 167 7.4.6 Servi¸co de Sticky Privacy Policy . . . 171 7.4.6.1 Montagem das pol´ıticas de privacidade . . . 173 7.4.6.2 Passos do controle de privacidade . . . 175 7.4.7 Negocia¸cão dinâmica nas intera¸cões . . . 177 7.4.8 Fluxo do protótipo estendido . . . 180 7.5 ESTUDOS DE CASO . . . 181 7.5.1 Ambiente de saúde . . . 181 7.5.1.1 Dados relacionados . . . 183 7.5.1.2 Caso de uso de perfis de privacidade . . . 185 7.5.1.3 Aplica¸cão do Modelo . . . 187 7.5.2 Ambiente de comércio eletrônico . . . 188 7.5.2.1 Caso de uso de Sticky Privacy Policy . . . 188 7.5.2.2 Caso de uso de padrões de intera¸cão . . . 192 7.6 USABILIDADE . . . 194 7.7 SÍNTESE E DESAFIOS DA PESQUISA . . . 195 8 CONSIDERAÇ ÕES FINAIS . . . 197 8.1 CONTRIBUIÇ ÕES DA TESE . . . 197 8.2 METODOLOGIA DE EXPERIMENTAÇ ÃO . . . 204 8.3 LIMITAÇ ÕES . . . 204 8.4 TRABALHOS FUTUROS . . . 206 ANEXO A -- Camada de prote¸cão e controle sobre os

dados armazenados . . . 209 REFER ˆENCIAS . . . 231

(26)

(27)

1 INTRODUC¸ ˜AO

A computa¸cão em nuvem tem como objetivo melhorar a gestão dos recursos de computa¸cão aliando conceitos, tais como, a elastici-dade, uso sob demanda e aloca¸cão dinâmica de recursos (BUYYA; YEO; VENUGOPAL, 2008). O modelo proporciona servi¸cos em camadas de infraestrutura, plataforma e aplica¸cão, providos sob demanda, adequa-dos às necessidades dos usuários. O paradigma da computa¸cão em nuvem integra diferentes tecnologias para o compartilhamento de re-cursos, o que implica numa análise mais detalhada sobre os conceitos de seguran¸ca (WERNER et al., 2012). A utiliza¸cão compartilhada de recursos por diferentes usuários e uma quantidade elevada de dados e informa¸cões dispon´ıveis (big data) (FUGKEAW; SATO, 2015), impõe um n´ıvel de confian¸ca adicional nos fornecedores de servi¸co.

Os sistemas de gerenciamento de identidade e acesso, também chamados de Identity Management (IdM) são responsáveis pela manu-ten¸cão e controle de dados e atributos utilizados em todo o processo de autentica¸cão e autoriza¸cão do usuário. As federa¸cões de identidade são rela¸cões de confian¸ca estabelecidas entre ambientes (empresas, uni-versidades, órgãos governamentais), de tal forma que seja poss´ıvel a autentica¸cão de um usuário no seu dom´ınio de origem para usar um servi¸co prestado por outro dom´ınio da federa¸cão (HANSEN; SCHWARTZ; COOPER, 2008). Alguns sistemas de gerenciamento de identidades fede-rados usados atualmente são Shibboleth (SHIBBOLETH, 2016) e OpenID Connect (OIDC) (OIDF, 2016).

O gerenciamento de identidades está sendo cada vez mais uti-lizado em ambientes de nuvem, já que integram o controle de dados de identidade, além de buscar mecanismos para garantir a seguran¸ca dos usuários. Entretanto, a integra¸cão entre a computa¸cão em nuvem e gerenciamento de identidades ainda é um desafio – especialmente em rela¸cão às questões de seguran¸ca e privacidade (HANSEN; SCHWARTZ; COOPER, 2008; BETGé-BREZETZ et al., 2013; SANCHEZ et al., 2012; TO-OSI; CALHEIROS; BUYYA, 2014).

A privacidade refere-se à capacidade dos indiv´ıduos para proteger informa¸cões sobre si mesmos (LANDWEHR, 2001;GOLDBERG; WAGNER; BREWER, 1997). Em todo o mundo, muitas leis estão sendo propostas a fim de cuidar de privacidade no ambiente digital. Quando a privacidade dos usuários é considerada, somente os atributos e dados realmente ne-cessários devem ser utilizados para a identifica¸cão e libera¸cão do acesso (TOOSI; CALHEIROS; BUYYA, 2014).

(28)

Em cenários de larga escala de computa¸cão em nuvem com di-versas federa¸cões, onde múltiplos provedores de identidade e de servi¸co trabalham cooperando entre si para prestar servi¸cos, o intercâmbio de dados sens´ıveis é intenso. Assim, a falta de padroniza¸cão na comu-nica¸cão, bem como a falta de confian¸ca entre as partes interessadas, são alguns problemas desafiadores.

A prote¸cão da privacidade dos usuários, das entidades, dos dados e das informa¸cões deve ocorrer em todo ciclo de vida em que é utilizado o ambiente de nuvem (BERTINO; TAKAHASHI, 2010). Esta prote¸cão é dif´ıcil pois existem diferentes contextos, ambientes, pol´ıticas e dados sens´ıveis espalhados na nuvem.

A utiliza¸c˜ao de pol´ıticas de seguran¸ca auxiliam a distinguir dados sens´ıveis, promovem o controle das credenciais e dos atributos compar-tilhados entre os servidores na nuvem, melhorando as chances de obter privacidade (CHADWICK; FATEMA, 2012).

1.1 ABORDAGENS DE PRIVACIDADE

A privacidade é um tema atual e está cada vez mais sendo explo-rado, principalmente no contexto digital, tanto devido ao surgimento de novas tecnologias (por exemplo, a nuvem computacional), quanto pelo vazamento de informa¸cões e pela própria espionagem.

Vimercati, Foresti e Samarati (2012) destacam que a privaci-dade representa um grande desafio para todas as partes que usam e desenvolvem tecnologia em nuvem.

Já em 1997, o artigo (GOLDBERG; WAGNER; BREWER, 1997), descreve o enorme impacto social sobre a privacidade dos indiv´ıduos devido a grande exposi¸cão de dados e atividades online na Internet. As amea¸cas para a privacidade na Internet podem surgir de monito-ramentos não autorizados, assim como, por dados de históricos de na-vega¸cão, ou de acesso preservados. Muitos dados de acesso, endere¸co, telefone e documentos estão dispon´ıveis na Internet sem conhecimento do público. O próprio governo pode ser um grande distribuidor de da-dos devido a manipula¸cão indiscriminada do cadastro de milhares de pessoas (GOLDBERG; WAGNER; BREWER, 1997).

As aplica¸cões para plataforma de computa¸cão em nuvem dei-xam em aberto vários desafios de seguran¸ca e privacidade, dependendo do modelo de entrega e implementa¸cão. A terceiriza¸cão no armazena-mento de dados e nas aplica¸cões, a responsabilidade do armazenamento compartilhado, os acordos de n´ıvel de servi¸co, a heterogeneidade dos

(29)

ambientes, os regulamentos e a virtualiza¸c˜ao, s˜ao alguns desafios rela-tados em diferentes trabalhos (TAKABI; JOSHI; AHN, 2010;XIAO; XIAO, 2013;TORRES; NOGUEIRA; PUJOLLE, 2013;TOOSI; CALHEIROS; BUYYA, 2014;HAZEYAMA et al., 2016).

O artigo (TAKABI; JOSHI; AHN, 2010) propõe a discussão sobre algumas questões: a autentica¸cão, o gerenciamento de identidade, o controle de acesso, a auditoria, a gestão da confian¸ca, a pol´ıtica de integra¸cão, o gerenciamento do servi¸co seguro, a privacidade, a prote¸cão de dados e a gestão da seguran¸ca organizacional. Por exemplo, quanto a autentica¸cão e gerenciamento de identidade existem trabalhos sobre IdM centrado no usuário, nos quais identificadores e atributos auxiliam na identifica¸cão do usuário, porém é necessário avan¸car na autentica¸cão em servi¸cos compostos, nos protocolos de preserva¸cão da privacidade e no IdM centrado no usuário federado.

Quanto à privacidade, o artigo (XIAO; XIAO, 2013) menciona al-guns conflitos: (a) entre responsabiliza¸cão e a privacidade, conside-rando que a presta¸cão de contas feita pelos usuários na nuvem dificulta manter a privacidade em algum grau; (b) entre anonimato e rastreabi-lidade, já que o uso de comunica¸cões anônimas dificulta a responsabi-liza¸cão das a¸cões. Também se faz necessário defini¸cões dos requisitos de privacidade nos acordos de n´ıveis de servi¸co, tanto para a privacidade dos dados, quanto para a privacidade durante o processamento.

O artigo (ROMAN; NAJERA; LOPEZ, 2011) trata sobre a segu-ran¸ca no conceito de Internet of Things (IoT). É necessário um con-trole mais rigoroso sobre a privacidade do usuário, possibilitando ao usuário definir quais dados e informa¸cões podem ser divulgadas e uti-lizadas. Deve-se ter um modelo de privacidade que possua ferramentas de consentimento dinâmicas que permitam a gerência dos seus próprios dados. Um modelo que forne¸ca transparência, de modo que os usuários saibam como estão sendo utilizados seus dados. E por fim, um modelo de gestão de dados que verifique as pol´ıticas, a legisla¸cão e a prote¸cão dos dados.

Em (BIRRELL; SCHNEIDER, 2013) foi feito um estudo sobre o tema privacidade nos sistemas de gerenciamento de identidade. Se-gundo o estudo os dois principais problemas relacionados com o geren-ciamento de identidades são: (i) cada prestador de servi¸cos mantém um conjunto de identidades de usuários (uma para cada fornecedor de servi¸cos com os quais interage); e (ii) os usuários não têm controle sobre a divulga¸cão dos seus atributos.

Os sistemas de gerenciamento de identidade são de extrema im-portância para o crescimento seguro do uso de dispositivos portáteis e,

(30)

portanto, alguns dos requisitos são primordiais como a gestão da priva-cidade. Os usuários de dispositivos móveis muitas vezes são obrigados a liberarem informa¸cões que vão além de identificadores, por exemplo, localiza¸cão e dados pessoais, o que prejudica e gera dúvidas sobre a utiliza¸cão dessas informa¸cões. O refor¸co da seguran¸ca e privacidade é essencial para prevenir o roubo de dados pessoais, ou até mesmo a utiliza¸cão indevida. É desejável que provedores de servi¸co disponibili-zem ambientes ou mecanismos de escolha, informando quais atributos e dados cada aplica¸cão utiliza de acordo com o contexto.

As empresas que utilizam aplicativos em ambiente de nuvem in-tegrado com dispositivo móvel (AHMAD; HASSAN; AZIZ, 2014) devem utilizar um sistema de IdM, com possibilidade de escolha dinâmica de pol´ıticas, obriga¸cões (SOMMER; MONT; PEARSON, 2008), atributos de acordo com o contexto da aplica¸cão e perfis dos seus funcionários ( TOR-RES; NOGUEIRA; PUJOLLE, 2013; TOOSI; CALHEIROS; BUYYA, 2014). 1.2 MOTIVAÇ ÃO

A falta de mecanismos de gestão da privacidade provocados pela grande quantidade de dados disseminados através da nuvem computa-cional foi a principal motiva¸cão deste trabalho. Servi¸cos são oferecidos por múltiplos prestadores de servi¸co, cada qual possuindo suas próprias pol´ıticas administrativas e também de seguran¸ca, tornando cada vez mais dif´ıcil operar de forma segura neste meio.

O grande questionamento está em como gerenciar as informa¸cões pessoais distribu´ıdas por diversos provedores de servi¸co. A necessidade de sempre ter que fornecer um conjunto de dados completo para todo servi¸co com o qual queiram interagir é parte do problema. A outra parte está relacionada com a privacidade de suas informa¸cões pessoais. Existem dificuldades para garantir que abusos sobre tais informa¸cões não serão realizadas pelos provedores ou administradores, que manipu-lam os dados.

Chadwick e Fatema (2012) afirmam que os provedores de nuvem devem possuir um servi¸co de controle de acesso baseado em pol´ıticas. Este servi¸co protegeria a privacidade dos dados dos usuários, garan-tindo o acesso autorizado aos dados pessoais. O proposta de ( CHAD-WICK; FATEMA, 2012) é permitir que os usuários possam definir suas próprias pol´ıticas de privacidade. A estratégia de pol´ıticas, em ambi-entes inerentemente dinâmicos onde há múltiplas intera¸cões entre dife-rentes provedores, é uma solu¸cão abordada em alguns trabalhos na

(31)

lite-ratura (CHADWICK; FATEMA, 2012; PEARSON; CASASSA-MONT, 2011; TRABELSI; SENDOR, 2012). Contudo, a principal dificuldade que recai sobre tal modelo, est´a em garantir o cumprimento de tais pol´ıticas.

1.3 OBJETIVOS

A abordagem desta tese tem como objetivo geral propor uma nova estratégia para gerenciamento de identidades em ambientes de computa¸cão em nuvem mantendo a privacidade das entidades. O mo-delo deve considerar a dinamicidade do ambiente em nuvem, promo-vendo a confian¸ca na utiliza¸cão dos recursos, e na rela¸cão entre as partes envolvidas.

Assim, a hipótese principal da pesquisa que esperamos responder ao final do trabalho é: É poss´ıvel criar um modelo para gerenciar identidades em nuvem que garanta a privacidade dos usuários?

Os objetivos espec´ıficos deste trabalho s˜ao:

- Desenvolver meios para manter a privacidade no gerenciamento de identidade na computa¸c˜ao em nuvem, considerando a dinami-cidade do ambiente;

- Conceber um modelo de gerência da privacidade que sirva de apoio no processo de gerenciamento de identidade. O modelo de privacidade nesta tese está fundamentado sobre as pol´ıticas de seguran¸ca. Assim sendo, o estabelecimento da privacidade está condicionado a diferentes pol´ıticas entre as partes interessadas; - Propor uma maneira de negociar os aspectos de privacidade entre

as partes que interagem em sistemas IdM na nuvem;

- Aprimorar o ambiente de gerenciamento de identidade para pro-mover o estabelecimento da federa¸c˜ao semi-dinamicamente.

Nesta tese foi feita a implementa¸cão de um protótipo para de-senvolver os aspectos principais do modelo e observar os resultados ex-perimentais obtidos em um ambiente de gerenciamento de identidade dispon´ıvel e prático.

1.4 CONTRIBUIC¸ ˜OES

Esta tese tem como foco a proposi¸c˜ao de um modelo que garante requisitos de privacidade no gerenciamento de identidade em

(32)

ambien-tes dinˆamicos como a nuvem computacional. O desenvolvimento deste trabalho resultou em algumas contribui¸c˜oes apresentadas a seguir:

- Levantamento sobre as amea¸cas de privacidade no gerenciamento de identidade em ambientes de nuvem;

- Defini¸c˜ao de um modelo de privacidade que agrupa os requisitos de seguran¸ca no gerenciamento de identidade na nuvem;

- Proposi¸cão da extensão da especifica¸cão do gerenciamento de identidade, para atender demandas inerentemente dinâmicas e ao mesmo tempo garantir a privacidade dos usuários. O acordo dinâmico entre as partes deve fazer uso dos mecanismos definidos no modelo anteriormente definido;

- Ado¸cão de mecanismos para a privacidade no processo de auten-tica¸cão, bem como na autoriza¸cão em sistemas de IdM;

- Aprimoramento de uma implementa¸c˜ao do OpenId Connect dis-pon´ıvel, adicionando as propostas da tese: o modelo e os meca-nismos.

Alguns dos resultados obtidos com os estudos realizados nesta tese foram divulgados na forma de publica¸cões. Foram publicadas em conferências internacionais os artigos: “An Approach to IdM with Pri-vacy in the Cloud ” Qualis B1 (WERNER et al., 2015), “Towards Privacy in Identity Management Dynamic Federations” Qualis B1 (BODNAR et al., 2016), “A Model for Identity Management with Privacy in the Cloud ” Qualis A2 (WERNER; WESTPHALL, 2016), “Privacy Token: A Mechanism for User’s Privacy Specification in Identity Management Systems for the Cloud ” Qualis B1 (VILLARREAL et al., 2017), “Privacy Preserving in Finer-grained Access Control using XACML and OpenID Connect ” Qualis B1 (CAMILLO et al., 2017). Em conferência nacional o artigo: “Implementa¸cão de mecanismos de privacidade no OpenID Connect” (MARTINS et al., 2015). Por fim, publicamos um artigo em periódico internacional intitulado “Cloud identity management: A sur-vey on privacy strategies” Qualis A1 (WERNER; WESTPHALL; WEST-PHALL, 2017).

A pesquisa também contribuiu para o desenvolvimento da meta 38, relacionada ao Gerenciamento de Identidade com Privacidade (GER-PRI) do Laboratório Virtual de Implementa¸cões (LATIM) do projeto da FINEP/ Rede Nacional de Seguran¸ca da Informa¸cão e Criptografia (RENASIC). A RENASIC é vinculada ao Centro de Defesa Cibernética (CDCiber), do Comando do Exército.

(33)

1.5 ORGANIZAC¸ ˜AO DO TRABALHO

Neste primeiro cap´ıtulo foi descrita a introdu¸c˜ao ao tema, rela-cionando o contexto ao problema da pesquisa, a motiva¸c˜ao ao tema e os objetivos do trabalho.

No segundo cap´ıtulo são apresentadas as principais defini¸cões necessárias ao desenvolvimento da pesquisa, como os conceitos de pri-vacidade, computa¸cão em nuvem, seguran¸ca e gerenciamento de iden-tidade.

O terceiro cap´ıtulo ´e referente ao estado da arte da proposta da pesquisa, mostrando a metodologia da pesquisa, os trabalhos relacio-nados e sua an´alise.

No quarto cap´ıtulo apresentamos uma modelagem de amea¸cas de privacidade em sistemas de gerenciamento de identidades na nuvem.

O quinto cap´ıtulo apresenta e detalha a proposta do modelo de privacidade para o gerenciamento de identidade na nuvem.

O sexto cap´ıtulo descreve a proposta de pol´ıticas no gerencia-mento de identidade na nuvem.

No sétimo cap´ıtulo as solu¸cões propostas são implementadas através de um protótipo.

O oitavo cap´ıtulo aborda as considera¸cões finais, mostrando os encaminhamentos e as possibilidades de como alcan¸car os objetivos pro-postos. O cap´ıtulo descreve também as limita¸cões da pesquisa e propõe novas dire¸cões de estudo em fun¸cão da complementa¸cão do problema focado.

(34)

(35)

2 CONCEITOS FUNDAMENTAIS

Neste cap´ıtulo define-se o que é privacidade e como o conceito se relaciona com o gerenciamento de identidades na nuvem. Também são estudados os princ´ıpios da privacidade e quais os requisitos legais e técnicos que devem ser cumpridos para a garantia da privacidade. O foco do estudo é definir a privacidade e elencar as suas carater´ısticas principais com foco na nuvem. O estudo da literatura serve de base para o tratamento das amea¸cas de privacidade nos sistemas de geren-ciamento de identidades utilizados em ambientes de nuvem. Ainda neste cap´ıtulo descrevemos os principais conceitos de computa¸cão em nuvem, da seguran¸ca da informa¸cão, do gerenciamento de identidades, e, por fim, da federa¸cão de identidades. Esses são alguns conceitos que norteiam a pesquisa cient´ıfica e auxiliam no entendimento do funciona-mento dos sistemas de IdM.

2.1 PRIVACIDADE

O direito à privacidade engloba a esfera ´ıntima da pessoa, sem a interferência de terceiros em suas decisões, bem como no controle dos seus dados pessoais, desde a coleta, o armazenamento, a manipula¸cão e a dissemina¸cão dos dados do indiv´ıduo, haja vista que as novas tec-nologias colaboram para o aumento do fluxo de informa¸cões (SOLOVE, 2006).

Segundo a Organiza¸cão das Na¸cões Unidas (ONU) em sua de-clara¸cão dos direitos fundamentais, artigo doze (NATIONS, 2012), priva-cidade é um direito fundamental do ser, todos têm direito a privacidade e a mesma deve ser garantida por meios legais. Além disso, o conselho dos direitos humanos reafirma em sua resolu¸cão sobre os direitos do ser humano na Internet (NATIONS, 2012), que os direitos que todo cidadão possui no ambiente off-line devem ser estendidos para o âmbito digital. Westin (2007) define a privacidade das informa¸cões como “A reivindica¸cão dos indiv´ıduos para decidir se a informa¸cão pessoal sobre eles devem ser recolhidas, processadas e utilizadas por outras pessoas.” Diaz e Gürses (2012) afirmam ainda que a privacidade é “o di-reito do indiv´ıduo de decidir qual a informa¸cão sobre si mesmo deve ser comunicada aos outros e em que circunstâncias.”

A privacidade aborda ainda a confidencialidade dos dados para entidades espec´ıficas, como consumidores ou outros cuja informa¸c˜ao ´e

(36)

processada em um sistema. A privacidade traz preocupa¸cões legais e de responsabilidade, e deve ser vista não apenas como um desafio técnico, mas também como uma preocupa¸cão legal e ética. Proteger a privaci-dade de qualquer sistema de computa¸cão é um desafio técnico, em um ambiente de nuvem este desafio é complicado pela natureza distribu´ıda de nuvens e da poss´ıvel falta de sensibiliza¸cão dos consumidores para saber onde os dados são armazenados e sobre quem tem ou pode ter acesso a tais dados (BADGER et al., 2012).

A privacidade na computa¸cão em nuvem é a capacidade de um usuário para controlar a informa¸cão que é revelada sobre si mesmo na nuvem ou em um provedor, e a capacidade de controlar quem pode acessar essa informa¸cão (ANGIN et al., 2010). Deve haver a possibi-lidade de autogerenciamento da privacidade, devido ao direito legal sobre todo o ciclo de vida das informa¸cões, de modo que a pessoa deve ser responsável sobre suas informa¸cões (SOLOVE, 2013).

A privacidade é um desafio em FIdM e um ponto de pesquisa recorrente. Como o FIdM compartilha dados de identifica¸cão pessoal (atributos de identidade), existem muitas preocupa¸cões sobre a pri-vacidade, prote¸cão de dados, conformidade com a legisla¸cão, volume da troca de informa¸cões entre diferente dom´ınios, troca dinâmica de informa¸cões, a execu¸cão de pol´ıticas, o consentimento dos usuários, mi-tigar a preocupa¸cão dos usuários e controle de credenciais (JENSEN, 2012).

Birrell e Schneider (2013) argumenta que existem trˆes principais caracter´ısticas de privacidade em sistemas de gerenciamento de identi-dades:

- Undetectability – possibilita ocultar as transa¸cões efetuadas pelo usuário, impedindo a deteçcão das a¸cões do usuário em um deter-minado sistema (PFITZMANN; HANSEN, 2010; BIRRELL; SCHNEI-DER, 2013);

- Unlinkability – possibilita ocultar a liga¸cão entre identidade dos usuários e histórico de transa¸cões efetuadas (por exemplo, as-suntos, mensagens, eventos, a¸cões (PFITZMANN; HANSEN, 2010; BIRRELL; SCHNEIDER, 2013));

- Confidentiality – habilita o controle dos usu´arios sobre a disse-mina¸c˜ao dos seus atributos. Trata sobre o acesso autorizado, sobre os seus dados (PFITZMANN; HANSEN, 2010;BIRRELL; SCH-NEIDER, 2013).

(37)

são relacionadas, pois se preocupam em definir a¸cões ou métodos para lidar com as partes envolvidas no acesso a um conjunto de dados par-ticular e sens´ıvel.

Privacidade no ambiente de nuvem também deve envolver me-canismos ou caracter´ısticas espec´ıficas que levam em considera¸cão a dinâmica do ambiente. Se a privacidade não pode ser assegurada na nu-vem, os usuários podem não estar dispostos a utilizarem esses servi¸cos (VIMERCATI; FORESTI; SAMARATI, 2012).

Nesta se¸cão listamos as caracter´ısticas que consideramos impor-tantes para o gerenciamento de identidade em cloud com enfase na privacidade do usuário. O levantamento das caracter´ısticas procura considerar pontos importantes para garantir a privacidade dos dados sens´ıveis dos usuário utilizados no gerenciamento de identidade, con-siderando a troca dinâmica de informa¸cões no ambiente elástico da computa¸cão em nuvem.

A literatura (T ÜRK; PIZZETTI, 2009; MADRID, 2009; ANGIN et al., 2010; DIAZ; G ÜRSES, 2012; WESTIN, 2007; SOLOVE, 2006) não in-clui caracter´ısticas de privacidade exatamente para gerenciamento de identidade na nuvem. Alguns autores tratam apenas as caracter´ısticas inclu´ıdas no seu trabalho, como por exemplo, a autentica¸cão forte ( AR-DAGNA et al., 2010). Outros autores abordam a privacidade dos dados armazenados no ambiente de nuvem (WATADA et al., 2013), ou no geren-ciamento de identidade (MADRID, 2009; ISO/IEC, 2011a) sem conside-rar a nuvem. Nossa sele¸cão de caracter´ısticas procura adicionar pontos de privacidade sobre o padrão de princ´ıpios de privacidade (ISO/IEC, 2011b).

- Transparência – refere-se à notifica¸cão sobre o uso de atributos. O ambiente deve ser transparente e deverá notificar o indiv´ıduo sobre a coleta, utiliza¸cão, divulga¸cão e modifica¸cão das dados de identifica¸cão pessoal (PII);

- Controle – refere-se às op¸cões para permitir o uso de atributos, é o controle efetivo sobre os dados. Um sistema de TI deve fornecer aos titulares meios eficazes de controle de dados sobre seus dados pessoais. Deve envolver o indiv´ıduo no processo de uso de PII e, quando poss´ıvel, buscar o seu consentimento individual a coleta, utiliza¸cão, divulga¸cão e gestão dos dados pessoais;

- Minimiza¸cão – permite que o usuário encaminhe apenas as in-forma¸cões necessárias para acessar o recurso. Deve haver uma propaga¸cão m´ınima de dados dentro da nuvem, especialmente no processo de controle de acesso;

(38)

- Presta¸cão de Contas – representa a auditoria e o acompanha-mento das a¸cões, de acordo com os requisitos legais. E uma´ maneira de rastrear dinamicamente os passos dos dados e dos usuários, utilizando o histórico e a localiza¸cão da identidade e dos atributos vinculados. Assim, é poss´ıvel identificar o mau uso e as viola¸cões de privacidade entre os diferentes provedores de identi-dade e de servi¸cos, permitindo a¸cões de auditoria. As leis exigem a identifica¸cão e a puni¸cão dos envolvidos no caso de acesso não autorizado ou uso indevido dos dados acessados;

- Qualidade – refere-se a verifica¸cão e a valida¸cão dos atributos. É necessário garantir a integridade das informa¸cões de identifica¸cão pessoal, confirmando a valida¸cão dos dados, de modo que a pri-vacidade do indiv´ıduo é preservada;

- Limita¸cão – refere-se a razão ou a inten¸cão de utilizar os da-dos. Apenas as entidades autorizadas devem ter acesso aos dados pessoais, garantindo a confidencialidade dos dados;

- Amigável – refere-se à facilidade de utiliza¸cão de aplica¸cões com recursos de privacidade. As fun¸cões e instala¸cões relacionadas com a privacidade deve ser amigável, isto é, as aplica¸cões devem fornecer ajuda suficiente e interfaces simples, para serem utiliza-das por usuários menos experientes. A solu¸cão deve incluir uma interface de usuário que permite aos mesmos gerenciar suas di-ferentes identidades, para verificar quais dados foram divulgados e em que condi¸cões e para quem. Assim, o usuário pode dar o consentimento solicitado e pode visualizar transa¸cões passadas (TRABELSI; SENDOR, 2012);

- Confian¸ca – refere-se à verifica¸cão da confian¸ca usando métricas como reputa¸cão e risco. Em um ambiente de nuvem elástico e dinâmico, onde vários prestadores se comunicam com diferentes usuários, é essencial criar maneiras de manter ou assegurar a con-fian¸ca entre as partes;

- Ofusca¸cão – refere-se ao uso de mecanismos ou artefatos que permitem a identifica¸cão de usuários, através do uso do anoni-mato ou de pseudônimos. Estes são mecanismos importantes na federa¸cões onde os usuários acessam aplica¸cões de diferentes con-textos e dom´ınios. Os usuários não enviam os seus atributos para o provedor e por causa disso, por exemplo, informa¸cões potenci-almente identificáveis, como o endere¸co IP do utilizador ou a sua localiza¸cão não podem serem revelados.

(39)

Na literatura (ARDAGNA et al., 2010; WATADA et al., 2013; VI-MERCATI; FORESTI; SAMARATI, 2012;ANGIN et al., 2010) existem vários mecanismos e tecnologias utilizadas para garantir um tratamento efi-caz dos recursos de privacidade apresentados, chamados de Privacy-Enhancing Technologies (PETs). Neste trabalho destacamos um estudo sobre as caracter´ısticas necessárias para a privacidade em sistemas de IdM, não envolvendo necessariamente mecanismos ou tecnologias utili-zadas para garantir o funcionamento do sistema com a privacidade.

Figura 1 – Privacidade no IdM, caracter´ısticas versus propriedades

A Figura 1 elenca uma rela¸c˜ao entre as propriedades de priva-cidade em sistemas IdM de (BIRRELL; SCHNEIDER, 2013) e as carac-ter´ısticas agrupadas neste trabalho. A rela¸c˜ao mostra que foi poss´ıvel abordar detalhadamente cada ponto de privacidade. Assim busca-se uma melhoria da privacidade nos sistemas estudados, facilitando ava-liar os trabalhos desenvolvidos em diferentes estudos.

2.1.1 Anonimato

O anonimato pode ser caracterizado como a situa¸cão em que um indiv´ıduo não é identificável entre um conjunto de indiv´ıduos. Ou seja, é o estado pelo qual a entidade não é identificável dentro de um conjunto de sujeitos, o conjunto de anonimato (PFITZMANN; HANSEN, 2010).

(40)

prote-ger a informa¸c˜ao sobre si mesmo, desta forma, (GOLDBERG; WAGNER; BREWER, 1997) afirma que o anonimato ´e a privacidade de identidade. 2.1.2 Pseudo anonimato

Os pseudônimos permitem a comunica¸cão entre um usuário e um recurso sem a necessidade de revelar uma informa¸cão de identifica¸cão real. O uso de pseudônimos impede que provedores mal intenciona-dos correlacionem seus daintenciona-dos de identifica¸cão, por exemplo, com dados históricos e credenciais, revelando os desejos do usuário, ferindo a pri-vacidade dos usuários (CAMENISCH et al., 2013).

Basicamente, a utiliza¸cão de pseudônimos, consiste em criar ape-lidos para o usuário, de forma que ele possa acessar diferentes sistemas, porém disfar¸cando sua verdadeira identidade (PFITZMANN; HANSEN, 2010).

2.1.3 Legisla¸c˜ao sobre privacidade

A Internet não possui uma legisla¸cão espec´ıfica de forma mun-dial, porém cada pa´ıs procura aplicar suas leis referente à privacidade de seus cidadãos, aos usuários da Internet. Em sistemas computacio-nais interligados, é necessário que exista uma pol´ıtica (ou um conjunto de pol´ıticas), dentro do dom´ınio da aplica¸cão, que descreva qual será o comportamento desses sistemas e seu impacto na privacidade dos usuários.

Existem legisla¸cões internacionais e nacionais para proteger a privacidade, além da legisla¸cão pertinente que garante o direito dos indiv´ıduos à privacidade.

2.1.3.1 Internacional

A regulamenta¸cão de prote¸cão de privacidade sempre é colocada em pauta nas discussões de leis ao redor do mundo. O Electronic Pri-vacy Information Center (EPIC) é um centro americano de pesquisa de interesse público, juntamente com o Privacy International, uma or-ganiza¸cão não-governamental que trabalha com direitos humanos, ela-boraram conjuntamente um relatório anual sobre as legisla¸cões e os avan¸cos sobre prote¸cão de privacidade no mundo inteiro.

(41)

1995) que não permite qualquer processamento de dados referentes ao usuário sem o seu consentimento. A diretiva estabelece que os usuários devem possuir efetivo controle sobre os seus dados de identifica¸cão que são coletados e armazenados em diferentes provedores. E quando hou-ver dissemina¸cão e/ou processamento dos dados deve ser requisitado o seu consentimento.

Nos Estados Unidos, existem leis como HIPAA (CONGRESS, 1996), Gramm-Leach-Bliley-Act (CONGRESS, 1999) e Children’s Online Pri-vacy Protection Rule (COMMISSION, 2013) que respectivamente tratam de privacidade e seguran¸ca nos sistemas de sa´ude, nos sistemas finan-ceiros e de dados de crian¸cas com idade menor ou igual a 13 anos.

No Canadá há uma lei chamada Personal Information Protection and Electronic Documents Act (CANAD Á, 2011), que define como o se-tor privado pode coletar, usar e disseminar as PIIs, em suas transa¸cões. De forma geral as preocupa¸cões tratam da privacidade da iden-tidade, realizando o controle da distribui¸cão das informa¸cões de identi-fica¸cão. Inclusive é tendência mundial a preocupa¸cão, sendo que muitos pa´ıses tem elaborado regras de privacidade em suas leis. As leis apre-sentadas têm como objetivo penalizar organiza¸cões que utiliza¸cão de forma fraudulenta os dados pessoais. A lei de prote¸cão de dados da Alemanha exige ainda que os provedores ofere¸cam a op¸cão de anoni-mato e pseudônimo para a utiliza¸cão em seus sistemas (GOLDBERG, 2003).

2.1.3.2 Nacional

A legisla¸cão brasileira apresenta algumas determina¸cões a res-peito da privacidade. A Constitui¸cão (CIVIL, 1988), no artigo 5o_,

des-creve que a intimidade, e a vida privada s˜ao inviol´aveis. O mesmo artigo 5o_{, tamb´}_{em cita o habeas data, uma a¸}_c˜_{ao destinada `}_{a tutela dos}

direitos do cidadão a frente dos bancos de dados, a fim de permitir o fornecimento das informa¸cões, e uma eventual retifica¸cão, caso não corresponda à verdade.

No C´odigo Civil brasileiro (CIVIL, 2002), no Cap´ıtulo II - “Dos di-reitos da personalidade”, artigos 18o_{e 21}o_{, tamb´}_{em refere-se `}_{as quest˜}_oes

de privacidade, garantindo os direitos da vida privada.

Por fim, o Marco Civil da Internet (CIVIL, 2014) (oficialmente chamado de Lei no12.965, de 23 de abril de 2014) é a lei que regula o uso da Internet no Brasil, por meio da previsão de princ´ıpios, garantias, direitos e deveres para quem usa a rede, bem como da determina¸cão de

(42)

diretrizes para a atua¸c˜ao do Estado.

O texto da lei, um marco regulatório, trata de temas como neu-tralidade da rede, privacidade, reten¸cão de dados, a fun¸cão social que a rede precisará cumprir, especialmente garantir a liberdade de expressão e a transmissão de conhecimento, além de impor obriga¸cões de respon-sabilidade civil aos usuários e provedores. Buscando sanar a lacuna que existe entre os direitos de privacidade dos brasileiros e o ambiente da Internet, a recém-aprovada Lei declara no artigo 3o_{, inciso II, que a}

prote¸c˜ao da privacidade deve ser considerada. E no artigo 7o _declara

que o usuário deve ter direitos assegurados para resguardar sua vida privada tendo sigilo das comunica¸cões. O usuário também deve con-sentir expressamente sobre coleta, uso, armazenamento e tratamento de dados pessoais.

No artigo 8ogarante o direito da privacidade de modo que todos os usuários possam ter seu acesso e comunica¸cão dentro da internet de forma sigilosa sem interferência externa.

Por outro lado os artigos 10o, 11o, 12oe 13otratam do dever dos prestadores de servi¸co em mesmo resguardando o direito da privacidade eles devem possuir mecanismos para a guarda de registros, de modo que possibilite identificar a¸cões indevidas por usuários mal intencionados. Inclusive estipulando san¸cões em caso de viola¸cão tanto da privacidade, uso indevido das informa¸cões, para quanto a falta de registros numa solicita¸cão dos órgãos competentes (CIVIL, 2014).

2.2 COMPUTAC¸ ˜AO EM NUVEM

A computa¸cão em nuvem é um paradigma da computa¸cão dis-tribu´ıda em grande escala (FOSTER et al., 2008), também chamada de Cloud Computing (CC). Trata-se de um ambiente que tem se mostrado muito desafiador e revolucionário principalmente para aplica¸cões que demandam muito poder de processamento, memória e armazenamento. Armbrust et al. (2009) afirmam que a computa¸cão em nuvem refere-se tanto a aplica¸cões entregues como servi¸cos pela Internet, quanto aos sistemas de hardware e software, nos data centers que oferecem es-ses servi¸cos.

Outros trabalhos (FOSTER et al., 2008; MELL; GRANCE, 2011; BUYYA; YEO; VENUGOPAL, 2008) afirmam ainda que a computa¸cão em nuvem oferece servi¸cos sob demanda, dinamicamente escaláveis e con-figuráveis. Os recursos devem ser liberados rapidamente com m´ınimo esfor¸co gerencial ou de intera¸cão com os provedores.

(43)

A computa¸cão em nuvem faz uso das tecnologias existentes, tais como virtualiza¸cão, computa¸cão distribu´ıda, computa¸cão em grade, computa¸cão utilitária (LLORENTE et al., 2006) e Internet. Assim, se possibilita um modelo de computa¸cão “pague-por-uso” (pay-per-use) semelhante aos tradicionais servi¸cos públicos como o de água ou de ele-tricidade. O modelo fornece suporte inerente às ideias de terceiriza¸cão e disponibilidade no ato (on demand ) de recursos, o que é desejável para a cria¸cão de servi¸cos compostos em ambientes dinâmicos.

Os servi¸cos dispon´ıveis na nuvem computacional seguem uma classifica¸c˜ao de acordo com modelos:

- Infrastructure as a Service (IaaS) – a infraestrutura como um servi¸co, oferece a infraestrutura f´ısica, o hardware com seus re-cursos para o acesso sob demanda;

- Platform as a Service (PaaS) – a plataforma como servi¸co, pro-porciona um ambiente para desenvolvimento acessado on-line; - Software as a Service (SaaS) – software como servi¸co,

disponibi-liza uma aplica¸c˜ao para acesso on-line.

O modelo de implanta¸cão na nuvem computacional é dividido quanto à estrutura dispon´ıvel, conforme definido em (MELL; GRANCE, 2011): privado, público, comunitária e h´ıbrido. Esta classifica¸cão trata da restri¸cão de acesso ao negócio, assim os requerimentos de seguran¸ca nos diferentes cenários podem e devem ser diferenciados.

- Privado – a infraestrutura de nuvem que é utilizada apenas para uma organiza¸cão, sendo esta nuvem local ou remota, e adminis-trada pela própria empresa;

- Público – os recursos computacionais são disponibilizados na In-ternet para qualquer usuário utilizar, sem restri¸cões;

- Comunitária – uma estrutura de computa¸cão em nuvem é consi-derada como comunitária quando ocorre o compartilhamento dos recursos por diversas organiza¸cões de uma nuvem;

- H´ıbrido – no caso do modelo de estrutura h´ıbrido, ocorre uma composi¸c˜ao de duas ou mais nuvens, de qualquer tipo, que devem ser interligadas por uma tecnologia padronizada que possibilite a portabilidade de dados e aplica¸c˜oes.

(44)

2.3 SEGURANC¸ A

A seguran¸ca da informa¸cão visa a prote¸cão da informa¸cão de vários tipos de amea¸cas para garantir a continuidade do negócio, mini-mizar o risco ao negócio, maximizar o retorno sobre investimentos e as oportunidades de negócio (ISO/IEC, 2005).

As caracter´ısticas básicas para garantir a seguran¸ca da informa¸cão segundo (LANDWEHR, 2001;BERTINO; TAKAHASHI, 2010), são cinco:

- Confidencialidade – refere-se a oculta¸cão de informa¸cões ou recur-sos. A informa¸cão somente está vis´ıvel a sujeitos (usuários e/ou processos) explicitamente autorizados;

- Integridade – refere-se à confiabilidade dos dados ou recursos. A informa¸cão não é modificada sem a devida autoriza¸cão, prote-gendo a exatidão da informa¸cão;

- Disponibilidade – refere-se à capacidade de utilizar a informa¸cão ou recurso desejado. A informa¸cão deve estar prontamente dis-pon´ıvel sempre que for necessário o acesso;

- Não Repudio – refere-se a prote¸cão contra uma falsa nega¸cão. A capacidade de provar que uma afirma¸cão é verdadeira;

- Autenticidade – assegura que a informa¸c˜ao ´e realmente da fonte que se declara ser, garantindo a identidade.

Em (GOLDBERG, 2003) o autor relata que existem muitas propostas para seguran¸ca relacionadas com privacidade, porém as propostas não atendem adequadamente ambientes práticos, como é o caso de ambien-tes de nuvem. Algumas propriedades que a tecnologia de seguran¸ca e privacidade devem conter, são:

- Usabilidade – as tecnologias de seguran¸ca e privacidade devem ser de fácil utiliza¸cão pelos usuários em geral;

- Deployability – a implanta¸cão em diversos sistemas operacionais, navegadores e clientes de e-mail deve ser fácil. O ideal é que as medidas de seguran¸ca e privacidade possam ser utilizadas sem a necessidade de instala¸cão de softwares separados;

- Eficácia – para uma tecnologia ser útil, tem que funcionar e dar ao usuário o benef´ıcio que promete, sem incluir vulnerabilidades adicionais;

(45)

- Robustez – as medidas propostas devem contemplar o m´aximo de prote¸c˜ao poss´ıvel.

2.4 IDENTIDADE

A identifica¸cão dos usuários, assim como das entidades, tem se tornado cada vez mais importante, sobretudo devido ao crescimento do uso da computa¸cão em nuvem, e de servi¸cos on-line. É necessário que os usuários estabele¸cam suas identidades e tenham confian¸ca nas entidades para que possam trocar informa¸cões.

Pfitzmann e Hansen (2010) afirmam que uma identidade ´e qual-quer subconjunto de atributos de um indiv´ıduo que identifica essa pes-soa dentro de qualquer conjunto de indiv´ıduos. Com isso, os indiv´ıduos podem ter diferentes identidades, que lhes representam em diferentes contextos.

No contexto social é normal uma pessoa apresentar várias iden-tidades diferentes dependendo do ambiente em que se encontra. Num banco, por exemplo, podem ser necessárias as informa¸cões financeiras e num consultório médico as informa¸cões médicas, portanto seria in-comum liberar informa¸cões financeiras para um médico e informa¸cões médicas para um banco. No contexto digital a mesma ideia se aplica, por isso uma entidade (por exemplo, pessoas, organiza¸cões, sistemas, máquinas) pode ter diversas identidades parciais que são utilizadas em diferentes contextos. Num sistema de comércio eletrônico, o usuário deve ter a possibilidade de informar os dados financeiros para a em-presa de pagamento, os dados de endere¸co para a empresa de entrega, informando subconjuntos de atributos espec´ıficos para as entidades que necessitam.

A literatura, no contexto de identidade digital, trata as informa-¸

cões pessoais, os dados de identifica¸cão sens´ıveis, como Personally Iden-tifiable Information (PII), apresentados na Tabela 1. Estas são quais-quer informa¸cões que podem ser usadas para identifica¸cão do usuário, por exemplo, número de cartão de crédito, marca favorita de determi-nada roupa, ou comida (GOLDBERG, 2003;PEARSON; CASASSA-MONT, 2011).

Birrell e Schneider (2013) afirmam que identidades digitais são cole¸cões de dados que representam atributos. Os atributos são carac-ter´ısticas associadas a essa entidade, dados que caracterizam a entidade para identificar, classificar ou qualificar de forma única em um contexto. As preferências representam os desejos dessa entidade.

(46)

Tabela 1 – Exemplo de PII

Atributo Valor

ID 11111010101

Nome Jo˜ao da Silva

R.G. 403289440

C.P.F. 362.122.327-41 e-mail joao.silva@lrg.ufsc.br

Os atributos são classificados em dois tipos: obrigatórios e fa-cultativos. O provedor solicita atributos obrigatórios para determinar a autoriza¸cão (permitir ou negar o acesso ao recurso), e solicita atri-butos opcionais para fornecer acesso a conteúdos ou servi¸cos adicionais (ORAWIWATTANAKUL et al., 2010).

2.4.1 Ciclo de vida de uma identidade

Uma identidade digital normalmente passa pelo seguinte ciclo de vida (BERTINO; TAKAHASHI, 2010), apresentado na Figura 2:

- Cria¸cão – é o processo de registro, cadastro do usuário e cria¸cão de sua identidade, pode incluir uma prova de identidade e a atri-bui¸cão de privilégios. E o momento em que o usu´´ ario fornece suas informa¸cões pessoais e essas são relacionadas a identidade que esta sendo criada;

- Utiliza¸cão – é a fase em que a identidade criada se encontra dispon´ıvel para a utiliza¸cão. Essa identidade pode ser propa-gada para diferentes provedores de acordo com as necessidades de acesso do usuário detentor;

- Atualiza¸cão – é a fase em que as identidades são atualizadas. Por exemplo, nos casos de mudan¸ca na preferência dos usuários; - Revoga¸cão – é o momento em que a identidade é revogada, ou

seja, o usuário não terá mais privilégio de acesso. Nesta fase, ´

e importante a remo¸cão de todas as contas, dos atributos, das informa¸cões vinculadas e dos privilégios de acesso;

- Auditoria – componente do ciclo de vida que registra todos as opera¸c˜oes realizadas pela identidade.

(47)

Figura 2 – Ciclo de vida da identidade (adaptado de (BERTINO; TA-KAHASHI, 2010)).

2.5 MODELOS DE CONTROLE DE ACESSO

O relatório técnico do instituto americano de padrões e tecno-logia (HU et al., 2014), National Institute of Standards and Technology (NIST), descreve alguns dos principais conceitos sobre o controle de acesso. Hu et al. (2014) descreve os mecanismos de controle de acesso como o componente lógico que serve para receber o pedido de acesso a partir do sujeito, decidir, e por fim, fazer cumprir a decisão de acesso. Existem diversos mecanismos para o controle de acesso, como por exemplo, baseado em confian¸ca, contexto, papéis e atributos. Este trabalho utiliza o modelo de controle de acesso baseado em atributo, Attribute Based Access Control (ABAC), já que este modelo é utilizado em sistemas de gerenciamento de identidade conhecidos como Shibbo-leth e OIDC.

O modelo ABAC é um modelo de controle de acesso, onde as requisi¸cões dos sujeitos para executar opera¸cões em objetos são con-cedidas ou negadas com base em atributos, estes atribu´ıdos ao su-jeito, atribu´ıdos ao objeto, as condi¸cões do ambiente, e a um con-junto de pol´ıticas que estão especificadas nos termos desses atributos e condi¸cões.

2.6 GERENCIAMENTO DE IDENTIDADE

A gestão de identidade é um processo em que cada pessoa ou recurso é fornecido com credenciais de identificadores exclusivos, que são usados para identificar essa entidade única. A gestão de identidade é

(48)

usada para controlar o acesso a qualquer sistema ou recurso associando direitos de usu´arios e restri¸c˜oes da identidade.

Josang e Pope (2005) definem o gerenciamento de identidades como um sistema integrado de pol´ıticas, processos de negócios e tecno-logias que permitem às organiza¸cões, o tratamento e manipula¸cão de identidades de seus usuários. De modo geral, tratam do processo de cria¸cão, gerenciamento e utiliza¸cão de identidades de usuários e a infra-estrutura que suporta esse processo (LEE; JEUN; JUNG, 2009;HANSEN et al., 2004;HANSEN; SCHWARTZ; COOPER, 2008).

Os pap´eis desempenhados num sistema de gerenciamento de iden-tidades s˜ao (HANSEN; SCHWARTZ; COOPER, 2008; BIRRELL; SCHNEI-DER, 2013; BERTINO; TAKAHASHI, 2010):

- Usu´ario – aquela pessoa que deseja acessar algum servi¸co; - Identidade – ´e representada por um conjunto de atributos de um

usu´ario, por exemplo, o nome, o endere¸co, a filia¸c˜ao, a data de nascimento, entre outros;

- Identity Provider (IdP) – o provedor de identidades é responsável por fornecer os servi¸cos de gerenciamento de identidades, ne-cessário para que o usuário utilize o provedor de servi¸cos. O IdP armazena os atributos que compõem a identidade dos usuários e emite a identidade válida para acesso aos recursos requeridos, assim realiza o processo de autentica¸cão;

- Service Provider (SP) – o provedor de servi¸cos é aquele que for-nece os servi¸cos, as aplica¸cões ou os recursos que o usuário efeti-vamente deseja utilizar, por exemplo, e-mail, e-commerce. O SP ´

e respons´avel pela libera¸c˜ao do acesso ao recurso requisitado, de acordo com seus requisitos.

Os sistemas de gerenciamento de identidades podem ser res-ponsáveis tanto pela tarefa de autentica¸cão quanto pela tarefa da au-toriza¸cão (ou controle de acesso) de diferentes aplica¸cões.

A autentica¸cão é o processo de assegurar que o indiv´ıduo é re-almente a pessoa que afirma ser. A autentica¸cão pode ser conceituada ainda como a prova da posse do atributo de identifica¸cão. Este é um passo fundamental e necessário antes de permitir que qualquer pessoa realize uma opera¸cão em um sistema.

A autoriza¸cão é a necessidade de fornecer diferentes n´ıveis de acesso (por exemplo, negar ou permitir) em diferentes partes ou opera¸cões de um sistema de computa¸cão. O tipo de acesso é determinado pela

(49)

identidade da pessoa de acordo com a necessidade de acesso, do tipo de opera¸cão ou da parte do sistema que precisam ser acessados. As autoriza¸cões são baseadas em atributos associados ao usuário, a¸cão ou recurso. No eXtensible Access Control Markup Language (XACML), as autoriza¸cões são expressas em fórmulas lógicas que envolvem valores de atributos.

Além de fornecer maior seguran¸ca na manipula¸cão de identida-des a principal vantagem do uso de um sistema de gerenciamento de identidade é a possibilidade de uma autentica¸cão única, ou seja, Single Sign-on (SSO). O SSO é um acesso único que um usuário faz em um servi¸co e, a partir da´ı, está autenticado para utilizar outros servi¸cos.

Existe também o conceito de Single Sign-off (SLO), que é a a¸cão reversa ao SSO, ou seja, a possibilidade de encerrar todas as sessões de acesso a diferentes servi¸cos a partir de um acesso único.

Os modelos de sistemas para o gerenciamento de identidade (LEE; JEUN; JUNG, 2009) s˜ao:

- Tradicional – o modelo mais comum e mais fácil de ser implemen-tado, modelo dedicado de cada aplica¸cão. O próprio SP gerencia as identidades utilizadas e que são válidas apenas no seu dom´ınio de servi¸co. Nesse caso o usuário deve ter uma identidade diferente para cada SP, apresentado na Figura 4(a);

- Centralizado – modelo em que um único provedor gerencia as identidades que podem ser usadas em diferentes servi¸cos providos num mesmo dom´ınio. É o modo mais simples de se implemen-tar o SSO, também tratado como dom´ınio único, apresentado na Figura 4(b);

- Federado – no modelo federado, o IdP compartilha as identidades entre SPs inclu´ıdos num c´ırculo de confian¸ca. Esse dom´ınio é montado através de acordos prévios entre os SPs e os IdPs. O modelo também provê SSO, com a vantagem de estender esse servi¸co para organiza¸cões em diferentes dom´ınios, apresentado na Figura 4;

- Centrado no usuário – esse último modelo o próprio usuário gerência as pol´ıticas de uso de suas identidades e informa¸cões, ele controla a cria¸cão, uso e remo¸cão dessas mesmas informa¸cões.

(50)

Figura 3 – Gerenciamento de identidades em um dom´ınio.

(a) Tradicio-nal.

(b) Centralizado.

Figura 4 – Gerenciamento de identidades federado.

2.6.1 Fluxo de mensagens em um sistema IdM

O gerenciamento de identidades em uma federa¸c˜ao pode ocor-rer envolvendo m´ultiplos provedores de identidades e provedores de servi¸cos.

As múltiplas organiza¸cões têm a possibilidade de cooperar entre si, agregando valor aos seus servi¸cos com a união de diferentes funcio-nalidades providas por diferentes parceiros. Nesse modelo, a identidade digital do usuário em um dom´ınio, é aceita num dom´ınio diferente de modo transparente e seguro.

A Figura 5 resume as troca de mensagens em um ambiente que possui um sistema de gerenciamento de identidades nos seguintes pas-sos:

(51)

Figura 5 – Fluxo de mensagens no sistema de gerenciamento de identi-dades.

negado o acesso, pois o usuário não fez a autentica¸cão e por isso não existe um contexto de seguran¸ca na aplica¸cão com os dados referentes ao usuário. Com isso o SP direciona o usuário para o seu IdP;

2. O usu´ario se autentica no IdP, apresentando suas credenciais; 3. O IdP cria a resposta da autentica¸c˜ao e envia ao SP. O IdP

co-leta os atributos relacionados à identidade do usuário que são necessários pelo SP. A resposta gerada é então entregue pelo IdP ao SP;

4. O recurso protegido é devidamente liberado, com a valida¸cão do processo de autentica¸cão e entrega dos dados.

2.7 TECNOLOGIAS DE IDM

Existem diferentes tecnologias ou aplica¸cões que estão sendo de-senvolvidas como sistemas de gerenciamento de identidade. Na busca das aplica¸cões estudamos as principais tecnologias dispon´ıveis. En-tre elas Authentic 2 (ENTR’OUVERT, 2014), Higgins (ECLIPSE, 2009), PingFederate (IDENTITY, 2016), CardSpace (CARDSPACE, 2007), Ope-nAM (FORGEROCK, 2016), Shibboleth (SHIBBOLETH, 2016) e o OpenID Connect (OIDF, 2016).

Authentic 2 ´e um sistema de gerenciamento de identidade pa-trocinado pela Entr’ouvert, uma empresa francesa estruturada em forma de cooperativa, que trabalha em projetos de software livre. O sistema ´