Blog

Témata:

14. 11. 2024

Kryptografie

Základní problémy vztažené k přihlašování

Přihlašování se skládá z několika fází, ale nakolik jsme schopni je skutečně kvalitně využívat? Jak moc věříme přihlašování bez důkazů a co jsme skutečně schopni řešit?

Identifikace, autentizace a autorizace

Ověření je základem důvěry, protože přidělení práv předpokládá odpovídající ověření uživatelů. Bez tohoto ověření přidělování práv nedává smysl, poskytovalo by oprávnění mimo rámec důvěry. A pokud někomu nevěříme, proč by jsme mu měli poskytovat nějaké informace? Z uvedeného důvodu je nutné pochopit, jak ověřování pracuje. Na začátku ověřování je proto identifikace.

Identifikace a její vysvětlení

Identifikace popisuje proces, kdy se žadatel o přihlášení prohlásí za nějakou osobu. V realitě je tomuto procesu nejblíže podoba představení. Tedy určitá osoba o sobě oznámí, že se nějak jmenuje (identifikuje se). Teď to ještě musí dokázat, to zajišťuje autentizace.

Autentizace a její vysvětlení

Autentizace je výrazně složitější. Dochází k ověření žadatele systémem, do kterého se přihlašuje. To může mít různé způsoby a má spoustu omezení, kterým se tento článek bude věnovat. Ověření je založeno zpravidla na nějakých neveřejných znalostech, vlastnostech nebo držení zařízení. V realitě je možné si představit autentizaci heslem, tedy sdíleným tajemstvím stejně, jako když se potkají po letech spolužáci. Nemusí se poznat, ale mají společné vzpomínky na školní léta. Ty mohou fungovat stejně, jako heslo. V běžném životě nám vzpomínku na setkání může připomenout i hlas a další „biometrické údaje“, u počítačů je ale jich vypovídací hodnota nízká. Až na základě prokázání pravosti dané identity můžeme řešit přidělení odpovídajících práv.

Autorizace a její vysvětlení

Autorizace je poslední částí uvedené triády. Zajišťuje přidělení práv žadateli, který se správně prokázal, tedy dokázal systému prokázat pravdivost poskytnutých informací. Následně systém přiděluje žadateli práva přístupu k nabízeným informacím. Převedeno na příklad ze života, probírat historky ze školy a novinky z vašeho života budete s bývalým spolužákem či spolužačkou. Ale patrně se takto nebudete chovat k náhodnému známému.
V současnosti je snahou zajistit při přidělení práv minimální nezbytná oprávnění, tzv. LUA (Least User Access nebo Least-privileged User Account). Pro přidělení práv se zpravidla používá tzv. RBA (Role Based Access), stejně tak je možné použít další metody (MAC, DAC ...). O těch ale někdy jindy, stejně jako o problémech řízení přístupu k informacím.

Problémy autentizace vůči službě

Zatím to vše vypadá rozumně, ale je to až tak jednoduché? Pokud se podíváme na samotnou autentizaci blíže, začínají se objevovat problémy. Jak je uvedeno, žadatel (uživatel) se ověřuje proti serveru. Ale proti jakému serveru? Je tento server ověřen? Ne vždy to tak je. V současnosti je k dispozici téměř na dvě stovky autentizačních mechanismů, některé z těchto mechanismů podporují i desítky algoritmů. Velká část jich je starších několik dekád. Rozhodně nebyly tvořeny na základě kritérií odpovídajících současným bezpečnostním požadavkům. Proč je to takový problém? Ve zkratce, ne každý mechanismus dovoluje ověřit, ke komu se uživatel ověřuje. A protože je to někdy technologickou výzvou, návrh mechanismů tiše předpokládá, že tuto kontrolu zajistí uživatelé. Následky takového postupu mohou být například podvržené přihlašovací služby, které následně dovolí zneužití účtů. Proto je snahou tyto problémy řešit, jako přístup se nabízí takzvané MFA (Multi Factor Authentication).

Proč je zajímavé MFA

MFA je využití principů, kdy uživatel sice zná nějaké tajemství (heslo, klíč), ale zároveň je možné zajistit jeho ověření pomocí něčeho dalšího, co vlastní, kým je nebo i dalším tajemstvím. Například zařízení, které mu poskytne údaje důležité pro přihlášení jako je mobil či e-mail účet, na který přijde ověřovací zpráva. Slabinou uvedených postupů je maximální snaha o zjednodušení a zajištění pohodlí uživatelů. To lze jen do určité míry. Proto je obtížné pro uživatele určit, zda náhodou nedošlo k několikanásobnému přihlášení, nebo nedošlo k podvržení cílového serveru. Stejně tak je problémem detekovat případného útočníka, který odchytává komunikaci se zařízením, nebo případně zařízení přímo napadl a má ho pod kontrolou. Taková snaha přináší velké množství technických výzev. Proto se je cílem používat jako jednu z metod ochrany rozšíření vlastností MFA o metodu ověření skrz další kanál (OOB - Out Of Band).

Proč použít OOB

Jedná se o využití MFA, kdy každý faktor (každá samostatná vlastnost) je ověřovaná jiným kanálem. Tím se omezuje možnost zaútočit na platformu nebo kanál, protože bez dalších informací poskytovaných jiným kanálem není přihlášení možné. Ale protože se všechny systémy postupně přizpůsobují pohodlí uživatelů a bezpečnost je až na druhém místě, stává se právě „vektor pohodlí“ tou největší slabinou. Uvedené riziko se v současnosti nachází u velkého množství mobilních aplikací, které z důvodu pohodlí zajišťují identifikaci a autentizaci uživatele na jednom místě. Zpravidla se používá jeden kanál, protože pohodlí má maximální prioritu a to na úkor bezpečnosti. Ovládnutí takového zařízení pak může mít fatální následky na uživatelské soukromí.

Biometrické ověření

Patrně každý si kladě otázku, proč složitě řešit autentizaci, když je možné zajistit ověření otiskem prstu, fotografií, hlasem nebo dalšími měřitelnými charakteristikami osoby. Na tuto připomínku se velice těžko odpovídá. Důvodem obtížnosti takové odpovědi jsou vlastně jenom měření schopností biometrických čidel. Každé takové čidlo má určitou spolehlivost, tzv. False Positive Rate (FPR - falešně pozitivní četnost, zpravidla 0,01%) a False Negative Rate (FNR - falešně negativní četnost, zpravidla 0,1%). Tyto hodnoty určují chybovost zařízení, kde falešně pozitivní četnost specifikuje, s jakou pravděpodobností bude náhodný uživatel falešně akceptován v systému. Naproti tomu, falešně negativní četnost určuje pravděpodobnost odmítnutí správného uživatele. Navíc, nikdy nemáte jistotu, pokud takové zařízení nemáte pod kontrolou.
Pro bližší vysvětlení termínu FPR a FNR. Příkladem falešně pozitivního potvrzení může být situace, kdy lékař na základě ranních nevolností identifikuje mladého muže jako těhotného. A naopak, falešně negativní potvrzení je v případě prohlášení ženy v pozdní fázi těhotenství za simulanta, protože ji ranní nevolnosti chybí.
V současnosti je díky vývoji v bezpečnosti možné vytvářet univerzální otisky, falešné audiostopy nebo i univerzální tváře. Umělá inteligence je pro biometrii obrovským a obtížně řešitelným problémem. Mimo umělé inteligence tu je rozvoj technologií, kdy se podařilo zachytit fotoaparáty mobilů otisky na sklenicích, které by teoreticky mohlo být možné použít pro přihlášení. Kdo ví, kde jsou hranice, biometrie jsou měřitelné znaky specifické pro každého člověka. Protože se jedná o data, jsou také padělatelné. Další zajímavost vychází z matematiky, jedná se o prostou práci s procenty. Pokud je na světě přibližně 8 miliard lidí, bylo by potřeba použít minimálně 4 různé biometrické faktory, aby dostatečně spolehlivě určily odpovídajícího člověka (0,01% z 0,01% z 0,01% z 0,01%). V současnosti je proto možné biometrii použít pouze na základě odpovídající analýzy rizik. Pro některé situace postačuje, jindy je absolutně nevhodná. Uvedená rizika ale musí vždy započítat vliv prostředí.

Problémy ověřování stanice

I když by se pokryjí výše uvedené problémy, není vyřešeno vše. Bohužel, v tomto rozboru chybí základní článek. Uživatel se přihlašuje z určitého stroje. Ověřujeme uživatele a teoreticky i server, ale jak ověříme důvěryhodnost zařízení? Jak zjistit soulad s bezpečnostní politikou? Jak pracovat s neznámým zařízením? Pokud se rozebírá tento problém, zařízení pod vaší kontrolou lze do jisté míry řídit. Zařízení třetích stran nikoliv. Kdy a za jakých podmínek dovolit přihlášení z takových strojů i s rizikem úniku přihlašovacích informací? Nebo s rizikem, že si do interní sítě pustíte vetřelce? To jsou záležitosti, které už nelze řešit technicky a je nutné vhodně nastavit pravidla pro přihlašování. Obecně se uvedený problém zahrnuje pod BYOD (Bring Your Own Device – přines si svoje zařízení), ale není to zcela pravda. Občas je to „použil jsem cizí zařízení“ (IUFD - I Used a Foreing Device), což je naprosto odlišný problém.

Problémy, které řeší kryptografie

Kryptografie v průběhu přihlašování řeší spoustu zajímavých problémů. Jednak je samozřejmě nutné zajistit ochranu přenášených informací a jejich celistvost. Je potřeba zajistit jejich autenticitu a bylo by hezké zajistit i neodmítnutelnost (odesílal to doopravdy tento uživatel a nikdo jiný). Ale mimo uvedeného tu jsou i další problémy. Jednak, přenášené přihlašovací údaje se nesmí nikdy opakovat a musí být téměř náhodné a nepředvídatelné. Tedy hlavně se nesmí opakovat heslo, jak ho tedy zpracovat, aby bylo pokaždé odlišné? Je vůbec nutné ho přenášet, není možné ho nahradit jinými způsoby? Zároveň je nutné zajistit, že jednou použité přihlášení není možné odeslat znovu, je těžké až nemožné ho padělat, není možné ho „přeposílat“, bez souhlasu uživatele není možné použít starší verzi algoritmu, nepoužívají se zastaralé nebo slabé algoritmy … a to vše musí zároveň akceptovat ověření cílového systému, podporovat technologie jako je MFA, OOB a další. Co se dá dělat, žádná z technologií není zcela bez chyby a na trhu moc možností není.

Centrální autority

Zajímavým přístupem jsou různé centrální autority. Mají své výhody, protože ověřování probíhá vůči autoritě a cílem je zajistit bezpečné ověření hlavně vůči ní. Následně dochází k poskytování ověřené identity do dalších systémů, které mohou provádět pouze autorizaci. Je tu pouze jedno velké ALE. V případě napadení takové autority, nebo její nefunkčností (signle point of failure) může dojít k zneužití všech navázaných účtů. Snaha o centralizaci je sice smysluplná, ale ne za všech podmínek. Použití centrálních bodů tak má význam jen dokud nedojde k jejich napadení, tedy je věcí důvěry. Na druhou stranu má takový centrální bod velký význam pro interní použití v různých organizacích. Proč náročně mazat účet z desítek až stovek systémů, když je možné ho centrálně řídit. Odchod pracovníka tak znamená odstranění všech jeho přihlašovacích údajů. Nezůstává nikde jako pohrobek roky zapomenutý účet, který se pomalu stává časovanou bombou.

Typ přihlašování

Přestože je přihlašování základní metodou, málokdy podporuje tzv. dočasné zamykání (Intruder lock-out), které zamyká účet v případě velkého počtu špatných přihlášení. Až na vzácné případy nepodporuje ani nátlakové a poplachové přihlášení, kdy dochází k omezení uživatelských oprávnění, nebo informování odpovědné osoby. Tyto metody jsou prakticky zapomenuty a jejich nasazení je zcela minimální. Mimo uvedené způsoby ochrany se dnes dostává do kurzu i password-less autentizace. Název je trochu zavádějící, vždy je nutné nějaké heslo použít, ať se jedná o heslo do systému, pro otevření databáze atd. Ale, a to je důležitější, dobře použité metody nejenom zajišťují ochranu přenášených informací, ale zároveň zajišťují jejich nepředvídatelnost. Zpravidla se dnes pro tyto účely používá postup označovaný jako „bilinerání párování“. Bohužel, některé password-less mechanismy používají odlišné nebo zastaralé metody, které dostatečnou ochranu nenabízí.

Závěr

Přihlašování je komplikovaný systém, který dodnes nemáme úplně podchycen. Některé z metod jsou dnes přežitkem, jiné mohou mít závažné problémy. Stejným přežitkem jsou také správci, kteří si pletou pojem politika hesel a řízení přihlašování, ale s tím je možné pracovat podstatně lépe. Centralizace přihlašování ve firmách je prakticky nezbytná, ale u centralizace přihlašování pro osobní použití to tak vždy neplatí. Může vést ke ztrátě soukromí a mělo by být součástí rozhodnutí konkrétní osoby, zda ho chce či nechce použít. Proto je nutné velice dobře zvážit, co chceme řešit a před čím se chráníme.

Autor článku:

Jan Dušátko

Jan Dušátko se počítačům a počítačové bezpečnosti věnuje již skoro čtvrt století. V oblasti kryptografie spolupracoval s předními odborníky např. s Vlastimilem Klímou, či Tomášem Rosou. V tuto chvíli pracuje jako bezpečnostní konzultant, jeho hlavní náplní jsou témata související s kryptografií, bezpečností, e-mailovou komunikací a linuxovými systémy.

1. Úvodní ustanovení

1.1. Tyto všeobecné obchodní podmínky jsou, není-li ve smlouvě písemně dohodnuto jinak, nedílnou součástí všech smluv týkajících školení, pořádaných nebo poskytovaných školitelem, Jan Dušátko, IČ 434 797 66, DIČ 7208253041, se sídlem Pod Harfou 938/58, Praha 9, zapsané u Úřadu městské části Praha 9 (dále jen „školitel“).
1.2. Smluvními stranami ve všeobecných obchodních podmínkách jsou míněni školitel a objednatel, kdy objednatel může být zároveň zprostředkovatelem smluvního vztahu.
1.3. Záležitosti, které nejsou upravené těmito obchodními podmínkami, se řeší podle Občanského zákoníků, tj. zákon č. 89/2012 Sb.

2. Vznik smlouvy přihlášením ke kurzu

2.1. Přihláškou se rozumí jednostranný úkon objednatele adresovaný školiteli prostřednictvím datové schránky s identifikací euxesuf, e-mailu na adresu register@cryptosession.cz nebo register@cryptosession.info, internetových stránek cryptosession.cz, cryptosession.info nebo kontaktním telefonem +420 602 427 840.
2.2. Odesláním přihlášky objednatel souhlasí s těmito všeobecnými podmínkami a prohlašuje, že se s nimi seznámil.
2.3. Přihláška se považuje za přijatou momentem potvrzení (stadnardně do 2 pracovních dní) školitelem nebo zprostředkovatelem. Toto potvrzení je zasláno do datové schránky nebo na kontaktní e-mail.
2.4. Standardní doba pro přihlášení je nejpozději 14 pracovních dní před konáním vzdělávací akce, pokud není uvedeno jinak. V případě fyzické nepodnikající osoby musí být objednávka alespoň 28 pracovních dní před konáním vzdělávací akce.
2.5. Na jednu přihláškou lze přihlásit i více než jednoho účastníka.
2.6. Pokud je více než 10 účastníků od jednoho objednatele, je možné se domluvit na školení v místě sídla zprostředkovatele nebo objednatele.
2.7. Přihlášky jsou přijímány a zpracovávány v pořadí, v jakém došly poskytovateli. Poskytovatel neprodleně informuje objednatele o všech skutečnostech. Těmi se míní naplnění kapacity, příliš nízký počet účastníků, nebo jiný závažný důvod, jako je nemoc lektora nebo zásah vyšší moci. Objednateli bude v tomto případě nabídnut nový termín, případně účast na jiné vzdělávací akci. V případě, že objednatel nebude s přesunutím či účastí na jiné nabídnuté vzdělávací akci souhlasit, poskytovatel mu vrátí účastnický poplatek. Nedostatečný účastníků je oznámen objednateli alespoň 14 dní před začátkem plánovaného termínu.
2.8. Smlouva mezi poskytovatelem a objednatelem vzniká odesláním potvrzení poskytovatelem objednateli.
2.9. Smlouvu lze změnit nebo zrušit pouze za splnění zákonných předpokladů a pouze písemně.

3. Zánik smlouvy zrušením přihlášky

3.1. Přihláška může být objednatelem zrušena pomocí e-mailu, nebo pomocí datové schránky.
3.2. Zákazník má právo stornovat svoji přihlášku na kurz 14 dní před konáním kurzu bez jakýchkoliv poplatků. Pokud se jedná o kratší dobu, dochází k následné změně. V intervalu 7-13 dní je účtován administrativní poplatek 10%, storno účasti v kratším intervalu než 7 dní pak poplatek 25%. V případě storna přihlášky nebo objednávky ze strany zákazníka je nabízena možnost účasti zákazníka v náhradním termínu bez dalšího poplatku. Právo na zrušení přihlášky zaniká realizací objednaného školení.
3.3. Při zrušení přihlášky školitelem náleží objednateli plná náhrada za neuskutečněnou akci.
3.4. Objednatel má právo žádat náhradní termín nebo náhradní školení. V takovém případě bude objednatel informován o všech otevřených kurzech. Náhradní termín si nelze vymáhat ani vynucovat, závisí na aktuální dostupnosti kurzu. Pokud má náhradní školení nižší cenu, objednatel doplatí rozdíl. Pokud má náhradní školení nižší cenu, školitel vrátí rozdíl cen školení objednateli.

4. Cena a platební podmínky

4.1. Odesláním přihlášky objednatel akceptuje smluvní cenu (dále jen účastnický poplatek) uvedenou u daného kurzu.
4.2. V případě více účastníků přihlášených jednou přihláškou je možná sleva.
4.3. Účastnický poplatek musí být uhrazen na bankovní účet společnosti vedený u Komerční banky č. 78-7768770207/0100. Při platbě je nutné uvést variabilní symbol, který je uveden na faktuře, odeslané objednateli školitelem.
4.4. Účastnický poplatek zahrnuje náklady poskytovatele včetně školicích materiálů. Poskytovatel je plátce DPH.
4.5. Účastnický poplatek je objednatel povinen uhradit do 14 pracovních dní od přijetí faktury, pokud nebylo samostatnou smlouvou uvedeno jinak.
4.6. Pokud se přihlášená osoba neúčastní školení a nedošlo k jiné domluvě, je její neúčast považována za storno příhlášku v intervalu kratším než 7 dní, tj. školiteli náleží odměna ve výši 25% z ceny kurzu. Přeplatek je vrácen do 14 dní na platební účet odesílatele, ze kterého byly prostředky odeslány. Platba na jiné číslo účtu není možná.
4.7. Nejdéle do 5 pracovních dní od začátku školení bude školitelem vystavena faktura, která bude dle dohody odeslána e-mailem nebo datovou schránkou.

5. Podmínky školení

5.1. Školitel je povinnen informovat objednatele 14 dní dopředu o místě a času školení, včetně termínu zahájení a ukončení denního programu.
5.2. Pokud objednatel není studentem kurzu, je povinnen zajistit distribuci těchto informací koncovým účastníkům. Za nesplnění těchto podmínek školitel nenese odpovědnost.
5.2. Standardně školení probíhá v čase od 9:00 do 17:00 na předem určeném místě.
5.3. Školitel může být dle aktuálních podmínek k dispozici od 8:00 do 9:00 a následně od 17:00 do 18:00 pro dotazy účastníků.
5.4. Na konci školení je koncovým uživatelům předán certifikát o absolovování.
5.5. Na konci školení koncoví uživatelé vyhodnocují přístup lektora a mají se vyjádřit k ohodnocení jeho prezentace, způsobu přednesení a ohodnotit významn poskytnutých informací.

6. Reklamace

6.1. Pokud je účastník hrubě nespokojen s průběhem kurzu, je školitel o této informaci vyrozuměn.
6.2. Důvody nespokojenosti jsou ten samý den zapsány do protokolu ve dvou kopiích. Jedna je předána objednateli a jednu má školitel.
6.3. Vyjádření k reklamaci bude podáno e-mailem do dvou týdnů. Následně do jednoho týdne bude domluven způsob řešení.
6.4. Nespokojenost zákazníka může být důvodem k rozvázání další spolupráce, nebo finanční kompenzaci až do výše ceny školení po odečtení nákladů.

7. Autorská práva k poskytnutým materiálům

7.1. Školicí materiály poskytnuté školitelem v rámci konání školení splňují znaky autorského díla dle zákona č. 121/2000 Sb.
7.2. Žádný ze školicích materiálů ani jeho část nesmí být bez předchozího písemného souhlasu školitele jakýmkoli způsobem dále zpracovávána, rozmnožována, rozšiřována nebo využívána k dalším prezentacím nebo školením.

8. Zodpovědnost

8.1. Školitel nepřebírá odpovědnost za nedostatky ve službách kterékoliv třetí strany, kterou využívá při školeních.
8.2. Školitel nepřebírá odpovědnost za zranění, škody a ztráty, vzniklé účastníkům vzdělávacích akcí, nebo které byly účastníky způsobeny. Takové náklady, způsobené uvedenými okolnostmi, ponese výhradně účastník vzdělávací akce.

9. Platnost podmínek

9.1 Tyto všeobecné obchodní podmínky jsou platné a účinné od 1. října 2024.