Průvodce zajímavým světem autentizace, 1. část

V současné době klikatých cest rozsáhlých datových sítí je stále více kladen důraz na počítačovou bezpečnost. Její nedílnou součástí se staly také různé autentizační techniky. V dnešním článku si přiblížíme základní principy autentizace.

Důvěřuj, ale prověřuj

Související odkazy

Slovník
autorizace
PAP
server
SSL
token

Pojem autentizace označuje proces, při kterém se ověřuje něčí identita. Stoupencům absolutní internetové anonymity a počítačového soukromí může autentizace na síti připadat jako rána pod pás. Nicméně ať chceme nebo ne, existuje mnoho aplikací, při nichž se musí ověřit totožnost strany na druhém konci informační dálnice.

Pokud je prováděna autentizace člověka například při jeho přihlašování do počítače, pak hovoříme o autentizaci uživatele. Neméně často však také dochází k autentizaci mezi počítači, kdy jeden počítač ověřuje identitu toho druhého, případně se takto prověří navzájem. V posledně jmenovaném příkladu se jedná o oboustrannou autentizaci.

Mnoho uživatelů stále bojuje s pochopením rozdílu mezi autentizací a podobně znějící autorizací. Termín autorizace popisuje přidělení práv pro vykonávání nějakých operací. Autorizace většinou následuje autentizaci – nejprve je ověřena uživatelova totožnost a teprve na základě toho se mu přidělí určitá práva.

Základní rozdělení způsobů autentizace

Autentizační metody lze podle jejich povahy rozdělit do tří základních skupin: hesla, tokeny a biometriky.

Výhody(+) a nevýhody(-) jednotlivých způsobů autentizace
 Hesla  + nejrozšířenější, uživatelé jsou na ně zvyklí, snadná implementace
 - komplikovaná správa, lze je zapomenout, odpozorovat
 Tokeny  + nelze je odpozorovat ani zapomenout ve smyslu hesel
 - dají se ztratit, nebezpečí krádeže, možnost zapůjčení
 Biometriky   + pevně svázány s uživatelem, nelze je zapomenout, ztratit, odpozorovat 
 - častá nedůvěra uživatelů, vyšší realizační náklady

Heslo by mělo být voleno tak, aby jej nepovolaná osoba zrovna lehko neuhodla, ale zároveň si jej musíte bezpečně pamatovat. A zde kosa často dopadá na tvrdý kámen – lidé jsou líní a navíc snadno zapomínají. Nejsou žádnou výjimkou hesla rovná loginu, příliš krátká nebo jinak slabá hesla.

Zvolíte-li krátké heslo (méně než 6 až 8 znaků), útočník může uspět s takzvaným útokem hrubou silou – vyzkoušet všechny možné kombinace znaků. Dále by heslo nemělo sestávat pouze z jednoho běžného, smysluplného slova. Například hesla telegraf, automobil, pocitac a jim podobná nahrávají útočníkovi na smeč takzvaným slovníkovým útokem, kdy systematicky zkouší slova některého jazyka. Zvolíte-li na druhou stranu heslo dlouhé a krkolomné, zcela jistě jej po nějaké době nepoužívání zapomenete.

Kde tedy leží ideál? Jako ve většině případů „někde uprostřed“. Doporučují se hesla tvořená z nějakých frází, básniček, rýmovaček nebo jinak snadno zapamatovatelných textů. Tak například začátek písničky Deset malých černoušků: „Deset malejch černoušků mělo rádo med, jeden z nich se ulízal - zbylo jich devět.“ Snadno se pamatuje a poskytne základ pro bezpečné heslo 10mcmrm1znsu-zj9. Jedná se o dobrý kompromis mezi délkou hesla, jeho složitostí a snadnou zapamatovatelností.

Termín token pochází z anglického jazyka a označuje známku, znak pravosti. Do kategorie tokenů spadají třeba veškeré paměťové nebo čipové karty, jimiž se zaměstnanci prokazují při vstupu na pracoviště, mezinárodní studentské karty ISIC atd.

Do biometrik patří například ze sci-fi filmů dobře známé snímání oka (sítnice, duhovka), ruky (otisk dlaně, geometrie ruky), ověřování hlasu mluvčího (neplést s rozpoznáváním hlasu) nebo i daktyloskopy léta prověřené otisky prstů. Zkoumat však lze nejen uvedené, takzvané fyziologické vlastnosti, nýbrž také behaviorální – založené na našem chování. Do této kategorie spadá například dynamika podpisu či dynamika psaní na klávesnici.

V současné době jsou však zkoumány další, velice zajímavé „lidské otisky“ – geometrie ucha, DNA či tvar ústní dutiny. Na jejich praktické použití si ale budeme muset ještě nějaký ten pátek počkat. Podrobnějšímu popisu jednotlivých biometrik bude věnován celý druhý díl tohoto článku. Hesla, tokeny i biometriky lze v praxi samozřejmě vzájemně kombinovat.

Jednoduchá autentizace heslem

Jedná se o nejjednodušší možnou autentizaci, kdy uživatel zadá heslo, které systém následně ověří, přičemž po celou dobu je s heslem pracováno v čitelné podobě. Nevýhoda je zřejmá – kdokoliv heslo zachytí, má k němu okamžitě přístup a může jej zneužít. Proto by se jednoduchá autentizace heslem neměla používat, ačkoliv některé autentizační protokoly posílají heslo po síti nešifrované (například protokol PAP - Password Authentication Protocol).

Autentizační protokoly typu výzva-odpověď

Při použití tohoto typu protokolu se s trochou nadsázky opravdu jedná o jakýsi dialog mezi dvěma komunikujícími počítači. První z nich posílá druhému výzvy a podle odpovědí dokáže určit, zda na druhém konci komunikační linky je skutečně ta stanice, za kterou se vydává. Základní schéma, kdy si Bob ověřuje Alicinu identitu, pak vypadá takto:

  • Bob pošle Alici výzvu, která je tvořena takzvaným časově proměnným parametrem
  • Alice vypočítá odpověď a pošle ji šifrovanou Bobovi
  • Bob si ověří správnost přijaté odpovědi

Jestliže byla odpověď správná, může Bob s vysokou pravděpodobností spoléhat na to, že komunikuje s Alicí. Časově proměnný parametr použitý v prvním kroku zajišťuje, že případný aktivní útočník nebude schopen některých typů útoku, díky nimž by se mohl vydávat za některou z komunikujících stran.

Základní přehled některých časově proměnných parametrů
 Náhodná čísla  Bob ve výzvě posílá Alici náhodné číslo a následná Alicina odpověď je závislá na hodnotě tohoto čísla. V praxi se nepoužívají skutečně náhodná, nýbrž pouze pseudonáhodná čísla.
 Sekvenční čísla  Alice i Bob generují posloupnost čísel podle předem definovaného předpisu. Podle jejich shody, případně jiného určeného vztahu, se vyhodnocuje správnost odpovědi.
 Časová razítka  Bob do výzvy přidává hodnotu vytvořenou podle aktuálního času. Alice si před odpovědí může ověřit, jak stará Bobova výzva je. Podobně také Bob má možnost kontroly stáří Aliciny odpovědi.

Protokol SSL

Secure Sockets Layer (SSL) protokol spatřil světlo světa v dílnách firmy Netscape a postupem času se stal uznávaným standardem v oblasti zabezpečené a autentizované komunikace mezi síťovými klienty a servery. SSL protokol se skládá z několika dílčích podprotokolů, z nichž nejdůležitější je takzvaný Handshake protokol.

Během něj totiž dochází k autentizaci serveru, případně také autentizaci klienta. Autentizace serveru je ze specifikace protokolu povinná, klient se nemusí prokazovat, pokud server podporuje anonymní přístup. Kromě toho se během Handshake protokolu také vymění náhodné informace nezbytné pro výpočet nadále používaných šifrovacích klíčů.

Systém Kerberos

Tento autentizační a autorizační systém vznikl v laboratořích MIT (Massachusetts Institute of Technology). Autoři se při vymýšlení názvu nechali inspirovat antickou mytologií, kdy trojhlavý pes Kerberos strážil vchod do podsvětí. Alfou a omegou Kerbera je centrální autentizační server, který uchovává informace o heslech a přístupových právech jednotlivých uživatelů systému. Během komunikace tento server vystupuje jako důvěryhodná třetí strana, všechny ostatní komunikující subjekty mu tedy naprosto věří a neočekávají od něj žádná podvržená data.

Získat přístup ke sdílenému síťovému prostředku lze dvěma základními cestami, z nichž tou zajímavější je přidělování takzvaného TGT lístku (Ticket Granting Ticket). Ten je autentizované stanici přidělen pouze jednou během sezení a s jeho pomocí může opakovaně žádat o přístup ke sdíleným prostředkům.

Příště si povíme více o jednotlivých typech biometrik.

Témata článku: Bezpečnost, Token, Omega, Druhý typ, Průvodce, Základní cesta, Zajímavý svět, Kerberos, Náhodné číslo, Alice, Duhovka, Ticket, Alicia, Svět, Častá operace, Náhodný znak

Určitě si přečtěte


Aktuální číslo časopisu Computer

26 procesorů v důkladném testu

Zhodnotili jsme 18 bezdrátových reproduktorů

Jak fungují cash back služby?

Pohlídejte své děti na internetu