11. Autentizace uživatelů v počítačových systémech
Autentizace uživatelů v počítačových systémech - tajné informace, tokeny, biometriky. Identifikační systémy a systémy pro správu uživatelů.
Vypracování
Primárním cílem autentizace je zabránit neautorizovaným uživatelům v používání počítačového systému.
Sekundárním cílem je znalost systému, který uživatel s ním vlastně pracuje – tak, aby systém mohl řídit přístup uživatele k datům a službám podle daných pravidel.
Hesla, PIN, passphrase, identifikace obrazové informace …
Aby autentizace tajnou informací byla bezpečná je nutné dodržet:
informace musí být opravdu tajná, tj. nikdo jiný než oprávněný uživatel by ji neměl znát
autentizační informace by měla být vybrána z velkého prostoru možných hodnot
pravděpodobnost všech hodnot z prostoru by měla být pokud možno stejná
pokud dojde ke kompromitaci autentizační informace, musí být možné nastavit novou jinou autentizační informaci
Hesla
Skupinová (uživatelská role) – málo používané, bezpečnost mizivá
Unikátní pro danou osobu (heslo = userid)
Neunikátní (používaná společně s userid)
Jednorázová (ať už unikátní či nikoliv)
Ukládání hesel
V otevřeném tvaru
V nečitelné podobě
šifrovaná - využíváme v situaci, kdy chceme mít přístup k otevřenému tvaru hesla
hašovaná - ukládáme pouze výsledek hašovací funkce
„Solení“
haš není jen funkcí hesla, ale ještě dodatečné náhodné informace (soli)
v tabulce hesel musíme ukládat i sůl: userid, sůl, f(sůl, heslo)
delší efektivní heslo
řešení pro stejná hesla (stejná hesla s různou solí budou mít různé haše)
PIN (Personal Identification Number)
Levnější klávesnice
Obtížněji zapamatovatelné než hesla
Obvykle používány s fyzickým předmětem
Někdy lze změnit podle přání zákazníka
Obvykle 4-8 znaků dlouhé
Procedurální omezení proti útokům hrubou silou
Tokeny (co kdo má)
Nejčastější tokeny v IT/IS
Čipová karta jako aktivní prvek
Čipové karty mají i nezanedbatelnou výpočetní sílu.
Na čipové kartě je možné implementovat kryptografické algoritmy i protokoly.
Je možné na kartě provádět operace s citlivými daty tak, že tato data nemusí opustit čipovou kartu (např. vytváření digitálního podpisu).
Symetrické šifrovací algoritmy běží v prostředí čipové karty bez problémů (často též speciální HW akcelerátory - např. DES, 3DES, AES).
Asymetrické kryptografické algoritmy jsou řádově náročnější, proto vyžadují specifické koprocesory.
Bezpečnost čipových karet
Fyzická bezpečnost (physical security) – překážka umístěná kolem počítačového systému za účelem ztížení neautorizovaného fyzického přístupu k tomuto počítačovému systému.
Odolnost vůči narušení (tamper resistance) – vlastnost části systému, která je chráněna proti neautorizované modifikaci způsobem zajišťujícím podstatně vyšší úroveň ochrany než ostatní části systému.
Zjistitelnost narušení: systém, u kterého jakákoliv neautorizovaná modifikace zanechává zjistitelné stopy.
Detekce narušení: automatické zjištění pokusu o narušení fyzické bezpečnosti.
Odpověď na narušení: automatická akce provedená chráněnou částí při zjištění pokusu o narušení.
Biometriky (co kdo je)
Biometriky – „automatizované metody identifikace nebo ověření identity na základě měřitelných fyziologických nebo behaviorálních vlastností člověka“.
Biometrická data nejsou nikdy 100% shodná, musíme povolit určitou variabilitu mezi registračním vzorkem a později získanými biometrickými daty
Model biometrické autentizace
Chybovost biometrických systémů závisí na řadě faktorů
typ snímače, používání různých typů snímačů
prostředí ((ne)možnost přizpůsobit prostředí, vnitřní, venkovní prostory, zdroje světla…)
nastavení (počet pokusů, omezení kvality vzorků,…)
uživatelé
Fyziologické charakteristiky
Ruka
Otisk prstu
Otisk dlaně
Geometrie (tvaru) ruky
Žíly ruky (geometrie)
Oko
Tvář
Hlas
DNA
Lůžka nehtů
Vůně/pot
Tvar ucha…
Charakteristiky chování
Identifikační systémy a systémy pro správu uživatelů
Identifikačný systémy? TODO
Systémy pro správu uživatelů:
Kerberos viz. jinde
LDAP - stromová struktura odvozená od X.500 standardu, podporuje různé způsoby autentizace (PKI, proxy, jednoduché jméno heslo, SSL)
Další příklady: FreeIPA, Active Directory?
Materiály
Vypracoval