La plataforma de
Infraestructura de Clave pública integrada de ACE
evita riesgos importantes en las soluciones de negocio distribuido.
Las empresas están explotando cada vez más la potencia de la red de SAP R/3 para revolucionar procesos de negocio como la gestión de cadenas de producción, negocios B2B, ventas, distribución, y administración de recursos humanos. El uso de SAP R/3 sobre Internet o en configuraciones de extranet, maximiza la influencia de SAP R/3 prolongando el alcance de las aplicaciones de R/3 a socios de negocio remotos, afiliados, agentes, empleados y clientes. Sin embargo, el uso de R/3 sobre Internet u otras redes intrínsecamente inseguras puede traer consigo riesgos substanciales, incluyendo el acceso potencial a información confidencial, piratería o la manipulación de las transacciones con propósitos fraudulentos.
ACE OnSite proporciona la infraestructura necesaria para que una empresa proteja de forma transparente sus comunicaciones entre clientes distribuidos por SAP R/3 y sus servidores de aplicaciones R/3. Estas protecciones permiten transacciones de SAP R/3 usando un cliente estándar R/3 para operar con seguridad sobre Internet u otras redes abiertas. Las protecciones incluyen la encriptación del tráfico para combatir las escuchas, comprobación de la integridad del tráfico para prevenir las modificación de un interceptor, autenticación robusta cliente-servidor para combatir la utilización de ilegítimos usuarios por parte de hackers y autenticación fuerte de servidor-cliente para combatir que sitios camuflados puedan utilizarse como sitios legítimos.
La solución de seguridad de ACE para SAP R/3 incluye la combinación de ACE OnSite con infraestructuras de claves publicas de empresas (PKI) , plataformas SECUDE para SAP R/3 – ACE posibilita a R/3 la seguridad de productos por parte de SECUDE GmbH, el número uno como asociado tecnológico en seguridad de SAP.
Cuando un cliente descarga el software firmado con la verificación de autenticidad de ACE puede estar seguro de lo siguiente:
La solución de seguridad de ACE/SECUDE para SAP R/3 tiene ventajas importantes para una empresa, en comparación con otras ofertas de seguridad R/3 que implican a la empresa en la construcción de su propia Infraestructura de Clave Pública (PKI) enteramente en local, usando productos de software independientes PKI. Un PKI utilizado en aplicaciones críticas necesita un ambiente de alta seguridad y necesita ser utilizado como servicio directo. Para establecer que el backbone funcione fuera de los centros de datos, ACE OnSite proporciona a la empresa una garantía de máxima seguridad y alta disponibilidad PKI con un riesgo mucho más bajo, un tiempo de acceso de mercado más rápido y un costo de adquisición más bajo que cualquier otra alternativa disponible 2.
Protección de las sesiones cliente servidor
Con ACE OnSite y SECUDE, un cliente de SAP R/3 puede establecerse en cualquier sitio, conectando los servidores de la empresa por medio de Internet u otra red. El PC del usuario ejecuta un cliente estándar R/3 más el módulo del cliente de SECUDE, que mantiene un conjunto de credenciales digitales privadas para el usuario final. Estas credenciales, que incluyen una clave privada y un certificado digital emitido por ACE, se mantienen en un fichero local llamado fichero de Entorno de Seguridad Personal (PSE). Los ficheros PSE normalmente son generados centralmente por el administrador R/3 y distribuidos, en línea o en tarjeta inteligente, a los usuarios finales cuando el sistema lo requiere. Un PSE solo se puede activar por un usuario que entre con un PIN secreto que desbloquee el PSE.
Cuando un usuario remoto de R/3 desea tener acceso a un servidor R/3 con el cual se registró, el usuario invoca al cliente de SECUDE y entra con su PIN. Siempre que se introduzca el PIN correcto, el cliente SECUDE lanza el cliente R/3 operando de un modo especial, en el que todas las comunicaciones de cliente-servidor son protegidas criptograficamente por los módulos de SECUDE en el servidor del cliente. La conexión de SECUDE substituye con eficacia la conexión R/3, incluyendo la password de entrada. Después del establecimiento de una conexión cliente-servidor, todas las comunicaciones R/3 se ejecutan igual que con un terminal local. SECUDE protege todas las comunicaciones de una manera que sea enteramente transparente para el usuario final.
Establecimiento del cliente
Nuevos usuarios son inscritos en el entorno de ACE/SECUDE por un administrador de la Autoridad de Inscripción (RA) interface de administración de SECUDE. Los usuarios pueden ser inscritos por batch, o uno a uno. Las listas de usuarios pueden exportarse en batch desde la base de datos de R/3 3 e importar la base de datos de administración RA, o se pueden introducir manualmente dentro de la última base de datos. Entonces los usuarios son seleccionados, ya sea por batch o uno a uno, para la seguridad de la iniciación. El proceso del lanzamiento implica:
- Generación de un par de claves públicas/privadas para el usuario por el sistema de administración RA;
- Transmisión de claves públicas al centro de certificación de ACE , en una transacción que está firmada digitalmente con el administrador de claves privadas RA, de tal modo que se autoriza la emisión de un certificado digital para ese usuario;
- Emisión de un certificado digital para el usuario por una autoridad certificadora (CA) en el centro de ACE. La CA puede ser una CA privada establecida solamente para una empresa determinada, o puede ser un CA conectada en la red global de confianza de ACE, que permite que inmediatamente el certificado sea utilizado y sea de confianza para cualquier organización externa;
- Devolver el certificado digital a la empresa, donde se introdujo;
- Generación de un fichero de PSE para el usuario; el PSE contiene la clave privada del usuario y su certificado digital, protegido bajo un PIN; el PIN es comunicado al usuario por otros medios, tales como envío físico (el producto utiliza la generación de un formulario para enviar el PIN);
- El usuario copia el fichero PSE a un drive del disco local del directorio compartido o del medio externo aconsejado/proveído por el administrador, después lo instala por medio de la instalación de clientes SECUDE diálogo PSE; alternativamente, el PSE se puede entregar y ser utilizado por una tarjeta inteligente.
Existe también una secuancia de iniciación alternativa en la que el usuario genera su propio par de claves dentro del cliente SECUDE, comunica la clave pública al administrador para su aprobación y la emisión de un certificado y genera un PSE localmente. Este modo del iniciación es menos convencional, por lo tanto menos probable de ser usado, pero tiene características de seguridad que pueden ser interesantes en algunos entornos..
Configuración del sistema
El cuadro1 ilustra la configuración del sistema de ACE/SECUDE, según
lo utilizado para soportar comunicaciones de SAP R/3 en Internet. La administración
RA de SECUDE es una aplicación de Windows NT que mantiene su propia información
en una base de datos de Microsoft Access. Las claves se generan en software
u, opcionalmente, en el módulo de hardware criptográfico Racal PCSM 722.
ACE OnSite abarca funciones del proceso del certificado en el centro de
datos seguro de ACE, más las funciones de administración de empresa que,
por ejemplo, permiten que un administrador de la empresa controle la política
del CA. ACE OnSite incluye el símbolo criptográfico de hardware Chrysalis
Luna que protege las comunicaciones entre la empresa y el centro de ACE.
1 Para una descripción más completa de la tecnología de claves públicas, certificados digitales y PKI, ver: Warwick Ford and Michael S. Baum, "Secure Electronic Commerce: Building the Infrastructure for Digital Signatures and Encryption," Prentice-Hall, 1997.
2 para obtener mayor información sobre ACE OnSite y sus ventajas sobre las ofertas de la competencia, ver "Public-Key Infrastructure – The VeriSign Difference," White Paper de VeriSign#98-01, 1998.
3 Exportar mediante la función
R/3 RSUSR402.
SECUDE para SAP R/3:
Mircorsoft*, WINDOWS* y NT* son marcas registradas de Microsoft Corporation.
SAP* y R/3* son marcas registradas por SAP AG.
ACE y VeriSign son marrcas registradas y OnSite es un servicio registrado
por VeriSign. SECUDE es una marca registrada de GMD – Forschungszentrum
Informationstechnik GmbH.
Luna es una marca registrada de Chrysalis-ITS, Inc.
