Modele uwierzytelniania, autoryzacji i kontroli dostępu do systemów komputerowych.
Uwierzytelnianie, autoryzacja i kontrola dostępu Funkcjonowanie internetu w dużej mierze opiera się na zaufaniu i kontroli dostępu. Nawet anonimowa część sieci nie może funkcjonować bez kontroli pozwalającej określić, kto ma dostęp i kiedy z niego korzysta. Bez takiej kontroli można podważyć zaufanie do każdej witryny WWW, a nawet ją zniszczyć.
Identyfikacja (identification) podmiot deklaruje swoją tożsamość (identity). Na przykład: w rozmowie telefonicznej z centrum obsługi banku klient deklaruje swoje imię, nazwisko i numer konta (bank jest stroną ufającą); w procesie logowania do serwera użytkownik wpisuje nazwę (login) (serwer jest stroną ufającą); podczas połączenia przeglądarki z serwerem SSL, ten ostatni przedstawia certyfikat X.509 zawierający jego nazwę (przeglądarka jest stroną ufającą).
Uwierzytelnianie (authentication) sprawdzenie wiarygodności, autentyczności dokumentu (skąd pochodzi, kiedy powstał, przez kogo utworzony, itp.), a także strony, osoby (identyfikacja) czy jest tym, za kogo się podaje;
Uwierzytelnianie (authentication) Strona ufająca stosuje odpowiednią technikę uwierzytelniania (authentication mechanism) w celu weryfikacji zadeklarowanej wcześniej tożsamości. Na przykład: personel banku prosi o podanie ustawionego wcześniej hasła telefonicznego, daty urodzenia, nazwiska panieńskiego matki; suma poprawnych odpowiedzi daje wysokie prawdopodobieństwo, że dana osoba jest tą, za którą się podaje; serwer prosi użytkownika o wpisanie hasła (lub wskazanie pliku klucza) i weryfikuje jego zgodność z wcześniej ustawioną wartością; przeglądarka weryfikuje podpis cyfrowy złożony pod certyfikatem serwera przez urząd certyfikacji, któremu ufa.
Metody uwietrzytelniania W zależności od kanału komunikacyjnego stosuje się różne metody i protokoły uwierzytelniania. w stosunku do wiadomości i dokumentów elektronicznych podpis cyfrowy, kod uwierzytelniania wiadomości (message authentication code); w stosunku do podmiotów w komunikacji elektronicznej metody oparte na dowodzie posiadania hasła (kryptografia symetryczna) lub klucza prywatnego (kryptografii asymetrycznej), dowód z wiedzą zerową, hasło jednorazowe.
Uwierzytelnianie dwuskładnikowe Przy dostępie do danych lub systemów o szczególnie wysokiej wartości często stosuje się uwierzytelnianie dwuskładnikowe (two-factor authentication), czyli łączące dwie wymienione wyżej metody. Na przykład w komunikacji elektronicznej stosowanie hasła wiąże się z ryzykiem jego przechwycenia (keylogger) lub podsłuchania (sniffer). Przestaje ono być wówczas znane wyłącznie osobie uprawnionej, zaś kradzież może pozostać niezauważona.
Uwierzytelnianie dwuskładnikowe Ryzyko to można ograniczyć, wprowadzając dodatkowy, materialny składnik uwierzytelniania, w postaci tokenu sprzętowego: token istnieje w jednym, unikatowym egzemplarzu, więc jego użycie wymaga fizycznego dostępu lub kradzieży, która zostanie zauważona (cecha coś co masz); użycie tokenu wymaga dodatkowo podania hasła (np. w postaci kodu PIN), więc bez jego znajomości token będzie nieprzydatny, nawet w razie kradzieży (cecha coś co wiesz).
Uwierzytelnianie dwuskładnikowe Uwierzytelnienie dwuskładnikowe stosuje większość banków internetowych, a także platformy gier (Battle.net), usługa poczty Gmail i wiele innych. Stosowane są zarówno tokeny sprzętowe, jak i programowe generatory haseł (np. Google Authenticator) oraz hasła jednorazowe przesyłane za pomocą SMS.
Autoryzacja (authorization) nadawanie uprawnień do wykonania określonych działań na wskazanych obiektach lub podmiotach;
Autoryzacja (authorization) Celem autoryzacji jest kontrola dostępu (access control), która potwierdza, czy dany podmiot jest uprawniony do korzystania z żądanego zasobu. Dla określenia uprawnień danego podmiotu konieczne jest najpierw stwierdzenie jego tożsamości, dlatego w typowym zastosowaniu autoryzacja następuje dopiero po potwierdzeniu tożsamości podmiotu za pomocą identyfikacji i uwierzytelnienia.
Autoryzacja (authorization) Autoryzacja może przybierać bardzo różne formy, w zależności od konkretnego zastosowania. System operacyjny sprawdza uprawnienia zalogowanego (uwierzytelnionego) użytkownika do pliku na podstawie jego atrybutów w systemie plików Użytkownik bankowości internetowej, który zalogował się (uwierzytelnił) za pomocą loginu i hasła, autoryzuje przelew za pomocą podpisu cyfrowego składanego za pomocą hasła jednorazowego ZUS uwierzytelnia deklaracje płatników za pomocą podpisu elektronicznego (planowano także autoryzację prawa osób do reprezentowania poszczególnych podmiotów za pomocą certyfikatów atrybutów) Zapora sieciowa równocześnie uwierzytelnia i autoryzuje dostęp do portu serwera na podstawie adresu IP klienta
Kontrola dostępu (access control) zdolność do ograniczania i kontroli dostępu do systemu i jego zasobów polega na uwierzytelnieniu, a następnie kontroli uprawnień do wykonania żądanej czynności;
Kontrola dostępu (access control) Chroni przed nieautoryzowanym wejściem do systemu lub przed jego użyciem, a także gwarantuje, że osoby uprawione uzyskają dostęp Zapewnia bezpieczeństwo danych i systemów Kontrola fizyczna i logiczna
Kontrola dostępu (access control) fizyczna, dostęp do systemu operacyjnego, dostęp do bazy danych, kontrola (przeciwdziałanie wyciekom informacji). Systemy kontroli dostępu fizycznego. Budowa: Centralka, Koncentratory, Układy wykrywania ingerencji i do kontroli osób, Układy wykonawcze.
Podstawowe modele DAC MAC RBAC
Model DAC Uznaniowa kontrola dostępu Prawo własności do obiektu Wada: Użytkownik, który jest uprawiony do podjęcia działań na konkretnym obiekcie, może to uprawnienie przekazać innemu użytkownikowi, który nie jest do tego uprawiony
Model MAC Obowiązkowa kontrola dostępu Informacja może przepływać tylko w jednym kierunku Administrator systemu Etykiety wrażliwości podmiotu i obiektu Użytkownik nie może w pełni kontrolować zasobów, które sam stworzył
Model RBAC Kontrola dostępu oparta na rolach Uprawienia zamiast podmiotom przypisane są rolom Stosowany w dużych scentralizowanych systemach z wieloma użytkownikami Model elastyczny
Model RBAC