Las configuraciones de una aplicaci贸n heredada podr铆a emplear un LDAP de texto claro para las uniones de algunos directorios en un entorno local. A pesar de que estas uniones tradicionales de LDAP eran relativamente inofensivas dentro de los LAN fortificados de anta帽o, la base de referencia de la seguridad moderna requiere el cifrado de todas las credenciales de usuario en tr谩nsito para protegerlas del husmeo de contrase帽as y otras formas de robo de credenciales.
Con la existencia de m谩s ambientes remotos e h铆bridos, las autenticaciones LDAP se encuentran pasando m谩s com煤nmente el internet p煤blico, y por eso requieren mecanismos adicionales de seguridad.
Habr谩 escuchado que necesita configurar aplicaciones heredadas de terceros para usar LDAP Seguro en vez de LDAP de texto claro. LDAPS (LDAP sobre SSL) y STARTTLS (LDAP sobre TLS) son versiones seguras de LDAP que cifran el proceso de autenticaci贸n. (Tome en cuenta que 鈥淟DAPS鈥� se usa por lo regular para indicar LDAP sobre SSL, STARTTLS, y la implementaci贸n de LDAP Seguro).
El cambiar de LDAP a LDAPS conlleva mirar con atenci贸n al inicio de los eventos del directorio de servicios, identificando manualmente y cambiando los puertos que las aplicaciones heredadas est谩n usando para unirlo al directorio, extrayendo los certificados CA (Certificado de Autoridad) para crear una uni贸n segura y continuar monitoreando.
El proceso puede resultar complicado y requerir de mucho tiempo, pero es posible 鈥搚, ahora m谩s que nunca, obligatorio. Echemos una mirada mas de cerca al protocolo LDAP, lo que hace que LDAPS y STARTTLS sean seguros, y c贸mo implementar un proceso de autenticaci贸n seguro para aplicaciones legales.
驴Qu茅 Es LDAP? Antecedentes Esenciales
LDAP (Lightweight Directory Access Protocol) se usa algunas veces como sin贸nimo o abreviatura del mismo Microsoft Active Directory. Sin embargo, mientras que mucha de la funcionalidad de AD se crea en LDAP, no es todo lo mismo– de hecho, AD impulsa una versi贸n de propietario de Kerberos mas regularmente que LDAP para autentificar el acceso al usuario. LDAP es uno de los protocolos que muchas de las aplicaciones locales y otros recursos utilizan para autentificar usuarios contra un directorio principal como AD o OpenLDAP.
Aqu铆 le damos un vistazo m谩s profundo a c贸mo funciona LDAP. Y si quiere escuchar mas acerca del protocolo directamente de su cocreador, revise nuestra entrevista con Tim Howes:
驴Cu谩l es la Diferencia entre LDAP y LDAPS?
LDAPS no es fundamentalmente un protocolo distinto: es el mismo LDAP antiguo, solo que es empaquetado de manera diferente. LDAPS permite el encriptamiento de la informaci贸n de LDAP (la cual incluye credenciales de usuario) en tr谩nsito durante cualquier comunicaci贸n con el servidor LDAP (como una uni贸n de directorio), por consiguiente, protegi茅ndolo del robo de credenciales.
SSL y TLS son protocolos criptogr谩ficos que utilizan certificados para establecer una conexi贸n segura entre el cliente y el servidor antes de intercambiar cualquier informaci贸n (en este caso, LDAP). TLS es una versi贸n mejorada de SSL, haciendo que STARTTLS sea m谩s seguro y recomendado tanto sobre LDAP, como sobre LDAPS cuando sea posible.
Debido al incremento de riesgos de seguridad y al aumento de la necesidad de encriptamiento en tr谩nsito, LDAPS est谩 reemplazando LDAP como el protocolo de directorio est谩ndar aceptado. Aqu铆 le mostramos como los administradores TI pueden implementar este cambio.
Implementando LDAPS (LDAP Sobre SSL)
Normalmente, LDAP y LDAPS est谩n activados en el nivel base, permitiendo que el LDAP Seguro est茅 disponible en todas las uniones de directorio. En ambientes LDAP albergados en la cloud, por ejemplo, se encuentra disponible en la plataforma LDAP.
En AD, por otra parte, lo activas en el controlador de dominio o el cat谩logo global. En AD, la activaci贸n LDAPS no fuerza LDAPS autom谩ticamente al menos que lo configure para hacerlo; solicitar las uniones LDAPS inmediatamente puede romper v铆nculos con los recursos que todav铆a emplean LDAP de texto sencillo. En tales casos, puede actualizar las ligas legales rastreando a trav茅s de sus recursos vinculados para encontrar y cambiar las ligas LDAP a LDAP Seguro.
Pruebe La Cloud LDAP de 黑料海角91入口 Gratis
驴Actualizar el Servidor Windows o OpenLDAP? Pruebe 黑料海角91入口 para gestionar de forma segura LDAP en la era moderna de las tecnolog铆as de la informaci贸n
Un controlador de dominio u otro servidor LDAP configurado apropiadamente le otorgar谩 LDAPS por medio del puerto 636 (3269 a un servidor de cat谩logo global) y STARTTLS por medio del puerto 389. Puede encontrar y reparar uniones inseguras individualmente rastreando a trav茅s de su bit谩cora de eventos en su servicio de directorio 鈥攃ualquier aplicaci贸n utilizando un puerto que no sea el 636 y el 3269 deber铆an ser investigadas.
En AD, la mayor parte de los culpables mostraron conexiones por medio de un puerto 2889. Para OpenLDAP, el puerto por lo regular es 389. Sin embargo, el puerto 389 soporta tanto texto sencillo como STARTTLS 鈥攕贸lo utilice el puerto 389 para autenticaciones que soporten STARTTLS: de lo contrario, use el puerto 636 para LDAPS. (El consultor de administraci贸n del centro de almacenamiento Kurt Roggen establece los en su blog).
Cuando se trata de unirse con LDAPS, muchas aplicaciones requieren que usted cargue un Certificado de Autoridad de Pares (Peer Certificate Authority).
驴Entonces Necesito LDAP/LDAPS?
Dado que vimos algunas de las soluciones alternativas necesarias con la finalidad de usar LDAP de forma segura, se ha de estar preguntando si LDAP todav铆a tiene un lugar en el panorama de las TI modernas. La respuesta inmediata a esto es que si. A pesar de que la transferencia de cargas de trabajo a la cloud ha llevado al incremento de otros protocolos de autenticaci贸n, muchas soluciones locales de hardware y software y centros de informaci贸n todav铆a usan LDAP. Tim Howes lo resume bien :
鈥淯no observa al mundo moverse m谩s y m谩s a la cloud, pero todav铆a existe un mundo dejado atr谩s en su ambiente local 鈥攗sted tiene dispositivos, tiene impresoras, tiene todo. La gente tambi茅n debe autentificarse en estos contextos diferentes鈥�.
As铆 que la pregunta no deber铆a ser 鈥溌縀ntonces necesito LDAP?鈥�, sino 鈥溌縀xiste una mejor manera de gestionar de forma segura LDAP en la era moderna de las tecnolog铆as de la informaci贸n?鈥�
Un Enfoque Moderno a LDAP & LDAPS
Si pasa por el proceso de evaluaci贸n mostrada arriba y descubre m谩s de un manojo de conexiones inseguras LDAP, esto es, muy probablemente, una se帽al de que su directorio y aplicaciones necesitan actualizarse. Antes de que se comprometa al costo de mejorar su Servidor Windows o OpenLDAP y cualquier hardware asociado, querr谩 considerar una soluci贸n m谩s moderna y comprensible para la gesti贸n de su LDAP.
驴Y qu茅 suceder铆a si en vez de redoblar la apuesta en el Active Directory o OpenLDAP local, migrara sus usuarios y sistemas a un nuevo directorio completo albergado en la cloud? Su nuevo directorio podr铆a gestionar de forma segura tanto la autorizaci贸n y autenticaci贸n para una amplia variedad de recursos, tanto en la cloud y como localmente, con la funcionalidad de LDAP Seguro incluida y toda la informaci贸n en tr谩nsito cifrada autom谩ticamente.
