ILBK451, 2016/2017. I. félév, ea: Kovács Zita Az Informatikai biztonság alapjai Felhasználó hitelesítés ILBK451, 2016/2017. I. félév, ea: Kovács Zita

Azonosítás Személyi igazolvány, van, tehát én létezem Személyi igazolvány, az egyetlen igazolvány Mellyel hitelt érdemlően Igazolhatom, hogy azonos vagyok velem (Bródy János, Személyi igazolvány, 1980)

Robert Merle, Madrapur …És főképp mivel magyarázom azt a kínzó és a lelkem mélyén erős nyomot hagyó érzést, hogy az útlevelemmel együtt a személyazonosságomat is elvesztettem? Nem tudom megfejteni ezt a lelkiállapotot. Csak körülírni. És ha jól meggondolom, nem is olyan képtelenség, mert aki nem tudja igazolni a többi ember előtt, hogy ki, rögtön semmivé válik, elmerül a sokmilliós egyforma tömegben. Európa Könyvkiadó, 1981. Fordította: Somogyi Pál László. 181. old.

Azonosítás fontosabb alkalmazási területei Közösséghez való tartozás bizonyítása pl. a személyi igazolvány, az útlevél, klubok, társaságok, stb. által kiadott azonosítók. Képesség bizonyítása például gépjármű vezetői engedély, érettségi bizonyítvány, diploma, nyelvvizsga bizonyítvány, stb. Szolgáltatás igénybevétele bank-, hitel- és városkártyák, bérletek, stb. Védett térbe való belépés Informatikai rendszerekhez való hozzáférés (védett ez is, csak virtuális)

Felhasználó hitelesítési technikák Birtoklás alapú: kulcs, pecsét, jelvény, igazolvány, kártya, token, RFID Viselkedés: aláírás, kézírás, beszédhang, gépelési ritmus, járási mód, szóhasználat, testbeszéd, arcmimika Biometrikus: ujjlenyomat, írisz, DNS Tudás alapú: jelszó, PIN kód (personal identification number), aszimmetrikus kulcs

Azonosítók Egyszerű Összetett (több szintű vagy többcsatornás) egyetlen ellenőrzésre alkalmas jegyet tartalmaz Összetett (több szintű vagy többcsatornás) több, egymástól független ellenőrzésre alkalmas jegyet tartalmaz pl. a személyi szám és születés dátuma nem független függetlenek erősítik egymást (pl banki azonosítás)

Felhasználók életciklusa

Azonosítók életciklusa Regisztráció szolgáltatás igénybevételkor: kapcsolatfelvétel és azonosító készítése meg kell adni az előírt természetes azonosítókat ezeket a szolgáltató ellenőrzi ezután készül el az azonosító szükség esetén tárolja az azonosító másolatát tárolhatják pl az azonosító érvényességi idejét, a felhasználó szerepét, jogosultságainak listáját Egy felhasználóhoz tartozó rekord standard kereső kulcsát felhasználó névnek nevezzük.

Azonosítók életciklusa Ellenőrzés szolgáltatás igénybevételekor történik az ügyfél megadja a felhasználói nevét (ez azonosítja a felhasználót) és a jelszavát (ez hitelesíti)

A felhasználó hitelesítés mechanizmusa 1. Inicializálás: felhasználónév + azonosító(k) megadása és tárolása. Azonosítás: Felhasználónév megadása Ha van ilyen felhasználó, akkor tovább, különben elutasítás Azonosító megadása Ha a felhasználóhoz tartozik ilyen azonosító, akkor tovább, különben elutasítás

A felhasználó hitelesítés mechanizmusa 2. Egyirányú függvény – h - használata Inicializálás: felhasználónév + h(azonosító)(k) megadása és tárolása. Azonosítás: Felhasználónév megadása Ha van ilyen felhasználó, akkor tovább, különben elutasítás Azonosító - a – megadása h(a) kiszámítása Ha a felhasználóhoz tartozik ilyen h(a), akkor tovább, különben elutasítás A mai azonosító mechanizmusok nagy része így működik.

Egyirányú függvény Olyan h függvény, amelynek értékét h(x)-et könnyen ki lehet számítani, de a h-t kiszámító algoritmus és h(x) ismeretében x-et nagyon nehéz meghatározni. Pl. telefonkönyv. Példa. Legyen p egy nagy prímszám, 1<g<p-1 olyan, hogy {1,g,g2 mod p,…,gp-2 mod p} = {1,2,…,p-1}, 0<x<p-2 és h(x) = gx mod p. Akkor h(x) egyirányú függvény.

Azonosító kódolása a szervernél Hash függvény Csatorna összehasonlítás Azonosító+ jelszó Probléma: a jelszót a csatornán le lehet hallgatni!

Azonosító kódolása a kliensnél Hash függvény Csatorna összehasonlítás Azonosító+ jelszó Szótáras támadás gyenge jelszavak ellen!

Szótáras támadás Éva összeállít egy bőséges szótárt a lehetséges jelszavakból. A szótári bejegyzések mindegyikére alkalmazza az egyirányú függvényt. Előállítja a kódolt jelszavak szótárát. Kriszta kódolva elküldi a jelszavát Aladárnak. Ezt Éva lehallgatja és megkeresi a megfelelő bejegyzést a kódolt szótárban. Ha talál ilyet, akkor megvan Kriszta jelszava és a nevében bejelentkezhet. Jelszavak legalább 7 karakterből álljanak és tartalmazzanak különleges karaktereket (számok, írásjelek, stb.)

Azonosító kódolása a kliensnél Hash függvény Nyilvános kulcs Titkos kulcs Csatorna összehasonlítás Azonosító+ jelszó Jelentős költségei vannak.

Azonosítók életciklusa Azonosítók pótlása és visszavonása a birtoklás alapú azonosítót elveszíthetjük, ellophatják, károsodhat, érvényességi idő lejárhat visszavonás és új azonosító visszavonáshoz igazolni kell, hogy a miénk volt a visszavonás végleges is lehet (haláleset, stb., ekkor is tárolni kell a másolatot) új azonosító előállítása azonos az eredeti azonosító elkészítési folyamatával

Azonosítók életciklusa Azonosítók pótlása és visszavonása a tudás alapú érvényességi ideje is lejárhat, munkahelyet elhagyva nem érvényes, kompromittálódhat, elfelejthetjük, ez esetben is szükséges lehet a pótlás, csere, törlés (több szinten) jelszavak rendszeres módosítás, nem lehet azonos az előzővel

Azonosítók kompromittálódása fizikailag sérülhetnek, megsemmisülhetnek, ellophatják (pl trójai) ki is lehet találni (szótáras) monitorra ragasztják

Összefoglaló táblázatok A következő két táblázat összefoglalja a biztonsági osztályok és a hozzájuk tartozó azonosító, valamint jogosultságkezelővel szemben támasztott követelményeket.

Hozzáférési feltételek Osztály Meghatározás Hozzáférési feltételek Nyilvános Nyilvános információ. Mindenki hozzáférhet. Személyes Védett információ, amelyeknek illetéktelenekhez jutása esetleg veszélyt okozhat. A szervezet minden dolgozója hozzáférhet. Az információ külsők számára tiltott, de partnerek hozzáférést kaphatnak. Az IBSz-ben nem kell jogosultsági szabályokat megadni. Bizalmas Jelentős üzleti értékű védett információ. Illetéktelenekhez jutása lényeges gazdasági kárt okozhat. Csak meghatározott felhasználói csoport jogosult a hozzáféréshez. A jogosultak csoportját az információ tulajdonosa (pl. az IBSz-ben) határozza meg. Titkos Nagyon jelentős üzleti értékű védett információ. Illetéktelenekhez jutása megsemmisítő gazdasági kárt okozhat. Csak egy megnevezett felhasználói csoport jogosult a hozzáféréshez.

Osztály Biztonsági szint Nyilvános Személyes Bizalmas Titkos Hozzáférési szabályok Azonosítás/jogosultságkezelés Nyilvános Nincsenek követelmények Személyes Jogosultsági szabályok csak az „egyszerű” felhasználókra vonatkoznak. Vannak kivételezett felhasználók (rendszergazdák), az információ tulajdonosa nem ellenőrzi a hozzáférési szabályokat. Egyszerű azonosítási eljárások, p.l. eszköz birtoklása. Elegendő hozzáférési joggal rendelkező felhasználók meghatározhatják a jogosultságokat. Bizalmas Jogosultsági szabályok minden felhasználóra vonatkoznak. Lehetnek kivételezett felhasználók, de akcióikat korlátozottak és nyomon követhetőek. Explicit azonosítás szükséges, a digitális azonosítót hozzá kell rendelni a személyekhez, csoportokhoz, stb. Világos jogosultsági szabályrendszer. Csak az információ tulajdonosa által kinevezett csoport határozhatja meg a jogosultsági szabályokat. Titkos Nincsenek kivételezett felhasználók. Minden hozzáférési döntés nyomon követhető Explicit azonosítás szükséges, digitális azonosítót személyhez kell hozzárendelni. Csak az információ tulajdonosa határozhatja meg a jogosultsági szabályokat.