Bezpečnost na Centru a Mageu II.

Včerejší článek o nebezpečí předávání parametrů uživatelů na příkazové řádce zvedl velkou pozornost. K tématu se vracíme, protože některé věci vyžadují upřesnění a uvedení na pravou míru. Dozvíte se tedy například, proč je Centrum bezpečné.
Včerejší článek o nebezpečí předávání parametrů uživatelů na příkazové řádce zvedl velkou pozornost. K tématu se vracíme, protože některé věci vyžadují upřesnění a uvedení na pravou míru. Stručně zopakuji o co jde. Některé internetové servery řeší personalizaci svých stránek přes uvádění unikátního identifikačního řetězce každého návštěvníka na adresním řádku v rozšířeném URL. Výhodou tohoto postupu je, že funguje i v případech, kdy má daný člověk vypnuté cookies, nevýhodou pak je, že je třeba pamatovat na všechna možná bezpečnostní rizika. Nabízí se řešení i přes použití session, jakýsi vyhrazený prostor pro data na serveru s omezenou časovou platností a vazbou na dané aktuální spojení počítače se serverem. Tam je ale problém v tom, že na serveru Apache nejsou sessions standardně podporované, je to třeba řešit dodatečnými moduly. I na Internet Information Serveru jsou se sessions problémy, protože se občas ukončují dříve, než by měly a podobně. Proto a i z dalších důvodů je u velkých serverů odklon od používání sessions. Oblíbenou metodou personalizace jsou také cookies. Zde hrozí, že někdo nepovolaný přijde k vašemu počítači a vytáhne si konkrétní cookie serveru, čímž může na daném serveru vystupovat pod vaší identitou. Tento problém se řeší většinou tak, že samotná cookie obsahuje jen bezpečné informace, přístup do citlivých částí (například placení v internetovém obchodě) je pak chráněn dodatečným heslem. Problémem cookie také je, že je jen jedna pro daný server, proto například nemůžete s cookies vystupovat na Mageu pod několika různými identitami.

Nejprve k serveru Mageo. Tento server vám ve výchozím nastavení zapíná ochranu přes IP adresu. Ta se dá ovšem vypnout v nastavení účtu u změny hesla. Problémem ale je, že opravdu značné procento uživatelů Magea má tuto ochranu vypnutou a vystavuje se tak nebezpečí. Nebudu tady uvádět žádné přesné adresy ani konkrétní jména, ale v klidu jsem se dostal do identity správce jednoho auditoria a mohl v něm mazat příspěvky. Proto zřejmě k Mageu jedno významné doporučení – opravdu si zkontrolujte, zda nemáte vypnutou ochranu. Vystavujete se jinak nebezpečí vstupu někoho jiného pod vaší identitou.

K serveru Centrum.cz jsem poprosil Oldřicha Bajera z firmy NetCentrum, aby stručně charakterizoval různé použité stupně zabezpečení a zejména řešení klíče posílaného v URL jednotlivých stránek:

Každá stránka na Centrum.cz má definovánu úroveň zabezpečení. Používají se tři úrovně zabezpečení:

1 - bez autorizace - tyto stránky jsou přístupné anonymně bez nutnosti zadávat jakékoliv heslo nebo kód. Jde o stránky, na kterých nejsou žádné citlivé informace - např. stránky fulltextového vyhledávače nebo katalogu.

2 - slabá autorizace kódem XX - jde o jednoduché zabezpečení uživatelským jménem a dvouznakovým kódem, který si může uživatel nastavovat a měnit dle libosti (tvar "http://www.centrum.cz/username-XX") - toto zabezpečení je použito jen na osobních stránkách uživatelů a to z důvodu, že někteří uživatelé chtějí mít svou osobní stránku v bookmarcích (oblíbené...) tak, aby nemuseli zadávat žádné heslo. Pochopitelně každý uživatel si může nastavit, že i pro osobní stránku chce silnou autorizaci (heslem).

3 - silná autorizace - autorizace jménem a heslem. Tato metoda je použita pro přístup na stránky mail.centrum.cz. Uživatel volí ze dvou způsobů přihlašování:

a) HTML formulář - jméno a heslo uživatel vepíše do HTML formuláře a ten se odešle (metoda POST) na server. Na základě jména, hesla, IP adresy, případně IP adresy proxy serveru a pořadového čísla přihlášení a dalších údajů se vypočte 128bitový klíč, který se posléze stane prefixem v URL a slouží pro verifikaci uživatele při postupu na další stránky Centra.

Platnost klíče vyprší za jednu hodinu (automaticky se inkrementuje pořadové číslo přihlášení). To znamená, že s daným klíčem se může uživatel v rámci jednoho přihlášení připojit jen z jedné IP adresy po dobu 1 hodiny. Uživatel také má možnost kliknout na odkaz "odhlásit se", čímž explicitně zruší platnost aktuálního hashe. Protože tento hash je součástí URL a je tedy zaznamenaváván rozličnými proxy a cache servery, mohlo by se zdát, že je snadné zneužití hashe jinou osobou. Opak je pravdou - hash je generován pro jedinečnou IP adresu, ze které bylo zadáno jméno a heslo, tj. přístup z jiné IP adresy není možný.

HTTP autorizace (401) - autorizace klasickým extra-okénkem, které otevře prohlížeč a žádá jméno/heslo pro další přístup.

Tato metoda se liší od předchozí tím, že autorizační údaje se nepředávají přes URL, ale jsou součástí HTTP protokolu - tudíž nejsou uchovávány na proxy serverech. Nevýhoda je ta, že při každém HTTP requestu se předává komplet jméno/heslo (sice v kódované podobě, ale není problém to dekódovat). Odchycení TCP komunikace ovšem vyžaduje složitější podmínky - být na stejném ethernetovém segmentu jako uživatel, případně na cestě mezi uživatelem a serverem. A mít k tomu znalosti a jiné podmínky.

HTTP standard definuje rovněž autorizaci pomocí MD5, při které se heslo neposílá a u které ani odchycení nepomůže. Náš autorizační server ji umí používat, bohužel, Netscape ani Explorer nikoli. Jinak by to byla poměrně bezpečná cesta.

Navíc na všechny servery Centra se dá připojit přes HTTPS (SSL) tj. pomocí kryptované komunikace, takže v kombinaci s metodami přihlášení si může uživatel volit ze čtyř možností. Takže celkové zabezpečení dat na Centrum.cz proti přístupu neoprávněných osob je více než dostatečné a leckdy oproti konkurenci nabízí více možností.

Ještě pár vět k interní bezpečnosti dat na serverech. Data uživatelů jsou každou noc zálohována na pásku. Jednou týdně celá, potom šest dní inkrementálně. Jednou za týden je záloha kopírována mimo budovu IOL, (pro případ požáru nebo jiné živelné pohromy). Jednou měsíčně se provádí i kompletní zálohování všech systémových disků.

Potud tedy Oldřich Bajer. Já snad jen dodám závěrečné upřesnění. Ono totiž opravdu často není až tak podstatná ochrana co se týče technického řešení serveru, jako ochrana na úrovni uživatele. Například Mageo i Centrum jsou bezpečné servery, i když Mageo nabízí uživatelům významnou část bezpečnosti vypnout a kupodivu jich řada má bezpečnost vypnutou. Každý server dokáže velmi rychle zareagovat na možný průnik a při zjištění potencionálních děr jsou tyto rychle opravitelné. Pokud ovšem je uživatel natolik neznalý základů bezpečnosti a má třeba stejné přihlašovací jméno a heslo, nebo velmi jednoduchou kontrolní otázku, má prostě smůlu a může být odhalen. To ale již překračuje téma bezpečnosti při používání kódovaného řetězce v URL.

Váš názor Další článek: Šifrování GSM prolomeno

Témata článku: Bezpečnost, MD5, Základ bezpečnosti, Mag, Případ požáru, Vypnutí, Cookies, Přihlášení, Vyhrazený prostor, Proxy, Citlivý uživatel, Osobní klíč, Jedinečný parametr, Mág, Proxy Server, Přesný tvar, Dodatečná data, Centrum, Jednoduchá cesta, Celkové zabezpečení



Jak rozmazat dům, aby vás sousedi nemohli šmírovat. Jde to v Mapách Google i na Mapy.cz

Jak rozmazat dům, aby vás sousedi nemohli šmírovat. Jde to v Mapách Google i na Mapy.cz

** Nelibí se vám, když cizí lidé okukují váš dům? ** Všechny mapové aplikace nabízejí možnost rozmazání snímku ** Máme návod pro Apple Maps, Bing Maps, Mapy Google a Mapy.cz

Karel Kilián
SoukromíNávodyMapy
50 věcí, které potřebuje každý bastlíř. Čipy, desky, páječky, šuplery a bužírky

50 věcí, které potřebuje každý bastlíř. Čipy, desky, páječky, šuplery a bužírky

** Co potřebuje každý bastlíř do své nové dílničky? ** Stavebnice Arduino a pytlík rezistorů je pouze základ ** Vybrali jsme 50 věcí, které by tam neměly chybět

Jakub Čížek
BastleníPojďme programovat elektroniku
40 ženských erotických symbolů osmdesátých let

40 ženských erotických symbolů osmdesátých let

Vyzývavá krása, rafinovanost, nevinnost i perverzní voyeurské fantazie. Filmaři už se sexu ve filmu nebáli, a tak dala 80. léta vzniknout řadě kultovních ženských erotických symbolů.

Marek Čech
Filmy a seriály
Tohle nejsou Jedenáctky, ale Linux. Windowsfx 11 opisuje opravdu důkladně
Lukáš Václavík
Windows 11Operační systémyLinux