Modelos de autorización: RBAC, MAC y DAC

Los modelos de control de acceso definen las reglas y políticas que determinan qué sujetos (usuarios y procesos) pueden acceder a qué objetos (archivos, sistemas y datos). El modelo elegido determina quién puede conceder acceso, cómo se asignan los permisos y cómo se aplica el control. El examen Security+ cubre cuatro modelos principales: control de acceso discrecional (DAC), control de acceso obligatorio (MAC), control de acceso basado en roles (RBAC) y control de acceso basado en reglas. Comprender las ventajas de cada modelo y sus casos de uso adecuados es esencial para diseñar sistemas de autorización eficaces.

En el control de acceso discrecional (DAC), el propietario del recurso decide quién puede acceder a sus recursos y puede conceder o revocar el acceso de otros usuarios. El aspecto «discrecional» significa que los propietarios toman las decisiones: el sistema las aplica, pero no las impone. Este es el modelo utilizado en la mayoría de los entornos informáticos personales (permisos de archivos de Windows NTFS y permisos de archivos de Linux/Unix). La limitación de seguridad del DAC es que requiere que cada propietario de recursos tome decisiones correctas sobre el acceso: un usuario que obtiene acceso a un archivo puede conceder ese acceso a otros sin la intervención del administrador, lo que puede propagar datos confidenciales más allá de la audiencia prevista.

El DAC presenta dos riesgos de seguridad inherentes. Acceso transitivo: el usuario A concede acceso al usuario B y el usuario B concede acceso al usuario C; es posible que el propietario original ni siquiera sepa que C tiene acceso a su recurso. El problema del delegado confundido: un programa con privilegios que actúa en nombre de un usuario con menos privilegios puede utilizar inadvertidamente sus privilegios de una forma que el usuario no podría utilizar directamente. En entornos DAC, una sola cuenta comprometida puede acceder potencialmente a todos los recursos a los que se ha concedido acceso a ese usuario y también puede conceder acceso a otros antes de que se detecte el compromiso. El DAC es cómodo, pero plantea dificultades para contener estrictamente la información.

En el control de acceso obligatorio (MAC), el sistema operativo aplica políticas de acceso basadas en etiquetas de seguridad asignadas tanto a los sujetos (usuarios) como a los objetos (datos). Los usuarios no pueden omitir ni cambiar estas políticas; solo el administrador del sistema o la política de seguridad pueden modificarlas. El MAC se utiliza en entornos gubernamentales y militares con información clasificada, donde los datos deben compartimentarse estrictamente. Un usuario con autorización «Secreto» no puede acceder a datos etiquetados como «Alto secreto», aunque el propietario de los datos quisiera concederle acceso. El modelo Bell-LaPadula (no leer hacia arriba, no escribir hacia abajo) y el modelo Biba (no escribir hacia arriba, no leer hacia abajo) son implementaciones formales de MAC.

Dos modelos MAC formales expresan objetivos de seguridad mediante reglas matemáticas. Bell-LaPadula se centra en la confidencialidad: los sujetos no pueden leer datos por encima de su nivel de clasificación (no leer hacia arriba) ni escribir datos en un nivel de clasificación inferior (no escribir hacia abajo). Esto impide que la información confidencial llegue a usuarios no autorizados. Biba se centra en la integridad: los sujetos no pueden escribir en un nivel de integridad superior (no escribir hacia arriba) ni leer desde un nivel de integridad inferior (no leer hacia abajo). Biba evita que las entradas de baja integridad contaminen los datos de alta integridad. Los sistemas MAC reales (como SELinux) combinan aspectos de ambos modelos.

El control de acceso basado en roles (RBAC) asigna permisos a roles en lugar de asignarlos directamente a usuarios individuales y, después, asigna los usuarios a los roles. Esto resuelve el desafío de gestionar permisos individuales a gran escala. Algunos roles habituales en entornos empresariales son: admin, auditor, developer, HR_manager y finance_analyst. Cuando se incorpora un nuevo empleado, se le añade al rol adecuado y hereda inmediatamente todos los permisos que requiere dicho rol. Cuando un empleado cambia de puesto, cambia su rol y los permisos se ajustan automáticamente. RBAC es el modelo predominante en los sistemas IAM empresariales.

La principal ventaja de RBAC es la escalabilidad administrativa. Modificar los permisos de un rol afecta instantáneamente a todos los usuarios de ese rol; no es necesario actualizar los registros de usuarios individuales en cientos de sistemas. RBAC admite de forma natural la separación de funciones al garantizar que ningún rol tenga permisos incompatibles (por ejemplo, un rol que pueda crear y aprobar transacciones financieras). RBAC también simplifica el cumplimiento: los auditores pueden revisar los roles y sus permisos en lugar de auditar miles de asignaciones de usuarios individuales. La limitación es la proliferación de roles: a veces las organizaciones crean demasiados roles granulares, lo que genera una complejidad de gestión que reduce la ventaja de escalabilidad.

El control de acceso basado en reglas (que no debe confundirse con RBAC) concede o deniega el acceso según un conjunto de reglas condicionales, en lugar de basarse únicamente en la identidad o el rol. Las reglas de firewall son el ejemplo clásico: «Permitir TCP desde 192.168.1.0/24 a cualquier destino en el puerto 443. Denegar todo el tráfico restante». El acceso se evalúa siguiendo las reglas en orden hasta encontrar una coincidencia. El control basado en reglas se combina habitualmente con otros modelos: MAC utiliza etiquetas de seguridad como reglas y el control de acceso basado en atributos (ABAC) amplía la lógica basada en reglas para evaluar simultáneamente varios atributos (departamento del usuario, tipo de dispositivo, hora del día y clasificación del recurso) y tomar decisiones detalladas.

El ABAC (control de acceso basado en atributos) es el modelo de control de acceso más flexible y detallado. Las decisiones de acceso evalúan simultáneamente varios atributos: atributos del sujeto (departamento del usuario, nivel de autorización y ubicación), atributos del objeto (clasificación de los datos, departamento propietario y etiqueta de retención), atributos del entorno (hora del día, tipo de dispositivo y ubicación de la red) y atributos de la acción (leer, escribir y eliminar). Una política podría indicar: «Permitir el acceso si user.department = Finance AND resource.classification = Internal AND device.type = corporate AND time.hour BETWEEN 8 AND 18». ABAC permite tomar decisiones de políticas de confianza cero y se implementa mediante productos como XACML y motores de políticas IAM en la nube.

El modelo de control de acceso adecuado depende de los requisitos de seguridad y del contexto de la organización. DAC: adecuado para la informática personal y equipos pequeños en los que se prioriza la comodidad sobre el control estricto. MAC: necesario en entornos gubernamentales o militares con información clasificada y una compartimentación estricta de la información. RBAC: ideal para empresas en las que la escalabilidad administrativa es fundamental y los roles se corresponden claramente con las funciones laborales. ABAC: adecuado para entornos de nube y arquitecturas de confianza cero en las que se necesitan políticas detalladas y basadas en el contexto. En la práctica, la mayoría de las organizaciones utiliza una combinación: RBAC como base y ABAC para las decisiones de acceso sensibles al contexto.

Independientemente del modelo de control de acceso, las listas de control de acceso (ACL) son el mecanismo de implementación técnica más común. Una ACL asociada a un recurso especifica qué sujetos pueden realizar qué acciones. Las ACL del sistema de archivos (Windows NTFS, ACL POSIX de Linux) controlan el acceso a archivos y directorios. Las ACL de red controlan el flujo de tráfico en el router o a nivel de la red en la nube. Las ACL de base de datos controlan el acceso a nivel de tabla y de fila. Las ACL pueden implementar cualquiera de los modelos descritos: la ACL de un archivo implementa DAC cuando el propietario la controla; la ACL de un sistema de seguridad implementa MAC cuando las etiquetas determinan las entradas; la ACL de una aplicación implementa RBAC cuando las entradas hacen referencia a roles.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección ha aprendido que: DAC permite a los propietarios de los recursos controlar el acceso (es flexible, pero arriesgado); MAC utiliza etiquetas de seguridad aplicadas por el sistema (es estricto y se usa en entornos clasificados); RBAC asigna permisos a roles para ofrecer escalabilidad empresarial; y ABAC evalúa varios atributos para tomar decisiones detalladas de confianza cero. A continuación, exploraremos la identidad federada: SAML, OAuth y OpenID Connect.