Mandatory access control (MAC): ¿cómo funciona?

La protección de los datos es un tema cada vez más importante y omnipresente en los medios de comunicación. Para las empresas en particular, contar con una estrategia de seguridad integral es un requisito imprescindible para proteger los datos de los clientes y la información interna contra el acceso no autorizado o el uso no deseado. Por ello, cada usuario obtiene derechos de acceso limitados, que se comprueban cada vez que este intenta acceder a algún dato.

Existen varios modelos para implementar y mantener este control de acceso, y uno de ellos es el mandatory access control conocido también como control de acceso obligatorio. Este modelo también se utiliza en ámbitos como el político o el militar, en los que proteger los datos y ponerlos a prueba de manipulaciones es especialmente importante. Te explicamos cómo funciona el control de acceso basado en reglas, así como las ventajas e inconvenientes de este método.

Para proteger los datos y la configuración del sistema frente a los accesos o cambios no autorizados, las empresas suelen otorgar a los usuarios únicamente los derechos que necesitan para llevar a cabo su trabajo. Sin embargo, definir y asignar autorizaciones de acceso puede resultar una tarea compleja hasta para las empresas de medio tamaño, ya que cada empresa se divide en diferentes departamentos, que suelen incluir los de finanzas, marketing y recursos humanos, en los cuales los empleados necesitan de diferentes derechos de acceso para realizar sus mansiones. Además, cada empleado necesita extensiones individuales de sus derechos, dependiendo de su cargo. Para implementar y controlar eficazmente estas autorizaciones de acceso, se han desarrollado varias estrategias de seguridad, incluido el mandatory access control (MAC), o control de acceso obligatorio. Con este método, cada usuario solo puede acceder a los recursos del sistema de archivos que necesita imperativamente. El término “obligatorio” ya implica que el control de acceso se basa en unas reglas que deben cumplirse.

Por lo general, asignar los derechos de acceso es competencia de la administración central de las empresas. De ello suele encargarse una persona que conozca lo suficiente las tareas de los empleados, lo que garantiza que todos ellos puedan llevar a cabo sus actividades sin restricciones y que nunca se vean limitados por no disponer de una autorización concreta. En las empresas, se suelen encargar de este proceso los administradores de sistemas. Normalmente, el uso y actualizaciones continuas del sistema están automatizadas por el sistema operativo o un núcleo de seguridad. Cuando un usuario intenta acceder a los datos, el sistema evalúa la solicitud y la acepta o la deniega. La principal ventaja de la implementación automatizada es que impide que los datos se manipulen casi por completo.

Las decisiones sobre los derechos de acceso se toman sobre la base de los siguientes factores:

• Usuarios y procesos
• Objetos: recursos a los que se accede
• Reglas y propiedades: categorizaciones, etiquetas y palabras de código

El control de acceso obligatorio sigue un modelo jerárquico: se asigna un nivel de seguridad a cada objeto del sistema de archivos, dependiendo de la confidencialidad de los datos. Por ejemplo, son típicos los niveles de seguridad “confidencial” y “alto secreto”. Los usuarios y los dispositivos están sujetos a la misma calificación. Si un usuario intenta acceder a un recurso, se comprueba automáticamente si esta coincide para determinar si el acceso debe permitirse o denegarse. Además, a todos los datos y usuarios se les asigna una categoría, que el sistema también verifica automáticamente cuando se solicita el acceso. El usuario debe cumplir con ambos criterios (nivel de seguridad y categoría) para poder acceder a los datos.

Existen dos tipos de control de acceso obligatorio:

Este modelo, que es la forma original y más sencilla del MAC, consiste en una estructura vertical de protección y niveles de seguridad. La información solo fluye dentro de esta área. También se asigna un nivel de protección a los usuarios, que, de esta manera, solo pueden acceder a su mismo nivel o a niveles inferiores.

Estos sistemas son más complejos y asignan el acceso en función de segmentos que forman asociaciones y que, a su vez, consisten en niveles de protección y palabras de código. Todo ello da como resultado un sistema de seguridad horizontal que también incluye niveles de protección verticales.

El mandatory access control es uno de los sistemas de acceso más seguros, porque está a prueba de manipulaciones. A diferencia del RBAC, los usuarios del MAC no tienen manera de realizar cambios. El control y el cumplimiento de los derechos de acceso están totalmente automatizados y son aplicados por el propio sistema. En consecuencia, el control de acceso obligatorio es muy fiable. Además, el sistema se caracteriza por su alto grado de integridad: los datos no pueden modificarse sin la correspondiente autorización y, por lo tanto, están protegidos contra la manipulación.

Sin embargo, el MAC requiere una planificación detallada y un gran esfuerzo de mantenimiento, incluso después de ser implementado. Cada asignación de derechos a objetos y usuarios necesita ser revisada y actualizada continuamente. Este trabajo de mantenimiento permanente también incluye añadir nuevos datos o usuarios e implementar cambios en la categorización o en la clasificación. Por lo general, solo hay una persona autorizada para realizar estas tareas. Esto garantiza un alto nivel de seguridad, pero, obviamente, supone mucho trabajo para el administrador.

El alto nivel de confidencialidad e integridad del control de acceso obligatorio implica que este método se utilice al gestionar datos confidenciales y en ámbitos críticos en materia de seguridad, como el militar, gubernamental, político, sanitario, de comercio exterior o, incluso, periodístico. No obstante, el MAC también se utiliza en los entornos empresariales habituales. El sistema operativo Security-Enhanced Linux (SELinux) se basa, por ejemplo, en una implementación de MAC en el nucleo de Linux.