Just-In-Time Access (Credenciais efêmeras)

Qual empresa ainda não se deparou com a situação de precisar conceder acesso a um usuário por apenas um dia ou algumas horas? 

Acesso de um terceiro ou parceiro que necessita de uma informação específica ou manutenção do sistema que resulta na criação de outro usuário para acesso ao ambiente, que após algumas horas nunca mais será usado de novo.

Com isso, a superfície de risco aumenta, já que passam a existir mais usuários com certos privilégios a serem explorados. 

Uma coisa é inegável, acessos específicos e temporários são necessários, o problema é entender como controlá-los. 

Este artigo visa apresentar o “Just-In-Time-Access” desde a origem do conceito, como funciona e como pode ser aplicado, para que os acessos privilegiados da sua organização se tornem mais seguros. 

Mas, primeiro, o que é Just-In-Time?

Conhecido como uma filosofia gerencial, o Just-In-Time (JIT) surgiu no Japão nos anos 1970, na Toyta Motors, que desejava criar um sistema que aumentasse a eficiência da produção de veículos de uma demanda específica de cores e modelos. 

O objetivo principal desse conceito é evitar o desperdício com a produção “puxada”, que, na prática, significa que será produzido somente o necessário, na quantidade necessária e no tempo necessário. 

Essa prática resultava em estoques com quantidades menores de matérias, os quais seriam utilizados da melhor forma possível, evitando-se o desperdício. 

Em resumo, essa filosofia dita que os produtos devem ser produzidos e entregues na hora certa para o uso imediato, ou seja, a produção atende somente o que foi requisitado pela demanda. 

Nada de manter produtos em estoque para quando houver procura, já que essa pode nunca acontecer, pois, a organização teria de investir dinheiro a mais para mantê-lo. 

Outro ponto é que os produtos em estoque, aguardando a procura, podem se tornar obsoletos. A única alternativa, portanto, seria descartá-los, jogando fora boa parte do investimento de tempo e dinheiro juntos. 

Just-In-Time-Access

Essa filosofia de gestão de produção de produtos também pode ser aplicada na gestão de acessos a sistemas e ambientes organizacionais. Ou seja, habilitar um acesso na hora certa, para uso imediato, depois disso, o acesso será bloqueado. 

Assim, a ideia de credenciais temporárias surgiu, são as chamadas “Credenciais Efêmeras”, pois não poderão ser usadas novamente ao terem sua validade expirada, equivalente ao período do acesso requisitado.  

Seria como criar uma chave que abre apenas uma porta em um tempo determinado, após, a fechadura se transforma e outra chave seria necessária para ter acesso ao cômodo. 

Essa prática torna mais seguro o acesso aos sistemas, já que a credencial de acesso tem uma validade pequena. Então, se roubada ou interceptada, um atacante não terá tempo hábil para praticar alguma ação maliciosa, inclusive por ter acesso limitado a alguns privilégios. 

Também facilita o trabalho dos administradores de sistemas, que têm que habilitar e revogar privilégios de muitos usuários que necessitam acessar informações específicas por apenas algumas horas. 

Se o administrador se esquecer de revogar um desses acessos, esses privilégios podem ser explorados por atacantes ou até mesmo pelo colaborador que conhece os dados da credencial. 

É como dizer, por exemplo, que existe um número limitado de chaves para ter acesso às várias partes da organização, e essas chaves não podem ser encontradas por em qualquer lugar e muito menos fabricadas por qualquer um. Para entrar no cômodo desejado, o usuário tem que aguardar a chave chegar, e ser convidado a se retirar quando o tempo de utilização se esgotar, e depois de sair, a chave simplesmente se autodestrói, impossibilitando que qualquer pessoa a reutilize. 

Na prática, como funciona?

Primeiro, é necessário que o usuário que deseja realizar alguma ação privilegiada ou até mesmo uma ação simples (caso o modelo seja implementado para além de acessos privilegiados), faça uma requisição de acesso. 

Este usuário terá que justificar o seu acesso e especificar o tempo que será necessário para realizar a ação e aguardar a aprovação para que o acesso seja concedido. É claro que os privilégios e o tempo da atividade podem já ser definidos pelo administrador, entregando apenas o tempo e os privilégios que se acreditam ser necessários. 

Ao ter a aprovação do acesso requisitado, o usuário receberá as credenciais efêmeras e seu período de validade, e será devidamente comunicado sobre as atividades que poderá executar e o tempo que a credencial estará habilitada. 

Ao fim do período de acesso, as credenciais serão bloqueadas ou até mesmo excluídas, de acordo com a preferência do administrador. Se atividade não for finalizada no período concedido para acesso, o usuário terá que fazer uma nova requisição. 

Mesmo com o bloqueio ou exclusão da credencial, é de extrema importância guardar os logs deste acesso para controle e segurança das operações. 

Com isso, o usuário não poderá mais ter o acesso, mesmo que se lembre dos dados da credencial, pois o sistema não o autenticará como um usuário válido, já que o seu período de acesso foi expirado. 

Assim como o JIT no Just-In-Time Access, as credenciais efêmeras são criadas com os privilégios sob demanda, para serem utilizadas imediatamente, no período devido. Não existe um “estoque” de credenciais privilegiadas para serem distribuídas quando requisitadas. 

Vale lembrar que quanto mais credenciais “estocadas”, mais chaves de acesso um atacante pode obter e, consequentemente, poderá acessar qualquer “cômodo” da organização. 

Torne o Just-In-Time Access uma realidade

Como dito, habilitar e revogar acessos é uma tarefa trabalhosa para qualquer administrador de sistemas, mas com o Just-In-Time Access, não seria como intensificar esse trabalho? O volume de revogação de privilégios e bloqueio de credenciais seria muito maior e erros seriam quase inevitáveis. 

Então, como tornar o Just In Time Access uma realidade aplicável em sua organização? Uma ferramenta que automatize esse processo é a solução. 

Provavelmente, você já deve conhecer a tecnologia PAM (Privileged Access Management – Gerenciamento de Acesso Privilegiado), e se ainda não conhece, é uma tecnologia que controla e gerencia os acessos privilegiados a informações críticas de uma organização. 

Este tipo de tecnologia permite que o Just-In-Time Access seja adotado no controle de acesso, já que possibilita controlar as requisições de acesso e auditar todas as atividades realizadas. É capaz, ainda, de definir para cada credencial o seu nível de privilégio e as entregar exatamente para os usuários que necessitam desse acesso.

Alguns benefícios que podemos mencionar ao automatizar o Just-In-Time Access através de uma tecnologia PAM são: 

• Entrega das credenciais efêmeras de forma segura, como o envio por e-mail diretamente ao usuário que as utilizará.
• Revogação de todas as credenciais efêmeras após o tempo determinado
• Automatização do processo de criação de acessos e provisionamento de privilégios.

Com a utilização do senhasegura, que é uma solução PAM, as organizações podem reduzir seus estoques de credenciais, além de criar provisionamentos para períodos específicos, obter os registros detalhados de logs dos acessos e gravação das sessões realizadas com as credenciais cedidas.

Utilizando credenciais efêmeras ou não, a sua organização precisa proteger as chaves do reino, que são as credenciais privilegiadas. 

Entre em contato e saiba como o senhasegura pode fazer isso por você.