Revista >> Numarul 104 [Aprilie 2008] >> Securitate

Securitatea autentificării - Knock, knock, knock, who is there?

Redactia

25 Aprilie 2008

Cred că nu aţi uitat (deh, se făcea educaţie mai bună pe vremea aceea...) celebra „fază” cu lupul din povestea lui Ion Creangă, „Capra cu trei iezi” (de mi-ar fi spus cineva printr-a IV-a că am să-l folosesc pe Creangă în probleme de securitate...). Cam aşa stăm şi cu autentificarea: „băieţii răi” folosesc o multitudine de deghizări şi tertipuri ca să intre în perimetrul reţelei sau chiar pe PC-ul dumneavoastră, propriu şi personal. Riscurile le cunoaşteţi, nu mai trebuie să vi le povestesc. Pentru a fi siguri cine „vă bate la uşă” trebuie să fiţi pregătiţi, altfel cineva o să vă mănânce leii... şi nu iezii, ca în povestirea lui Creangă.
Mai înainte de a începe să vă interesaţi despre vreun produs de autentificare, trebuie să faceţi două lucruri. Trebuie să ştiţi foarte bine ce informaţii aveţi în organizaţie şi, dintre acestea, care sunt expuse riscului. Aceasta, deoarece puteţi proteja doar bunurile despre care aveţi cunoştinţă. Iar aici intervine implementarea unui Sistem de Management al Securităţii Informaţiei, capitol la care suntem încă datori. Ca să fiu şi mai explicit, Politica de Securitate a Informaţiilor ar trebui să fie cea care guvernează protecţia tuturor informaţiilor existente în interiorul organizaţiei. Şi abia apoi vor urma tehnologia pe care o alegeţi (ascultaţi-i pe specialiştii de securitate), precum şi implementarea acesteia (partea asta chiar că nu o pot face decât ei).
Tehnologia (mai ales de una singură) nu poate conduce politicile. Este fundamental greşit.
Mai departe, Politica trebuie să aibă un standard clar definit de clasificare a datelor.
Datele pot fi clasificate ca având un grad mare, mediu sau scăzut de risc. Ele pot fi stratificate chiar şi mai bine, atunci când acest lucru este necesar, în funcţie de necesităţile bussines-ului, de mediul competitiv sau de alte cerinţe de confidenţialitate. Abia după ce informaţiile au fost inventariate şi clasificate, vă puteţi apleca asupra detaliilor tehnice ale produselor specifice.

Riscuri versus tehnologie
Indiferent de mărimea organizaţiei sau de nivelul de risc al datelor acesteia, este bine să implementaţi un sistem de autentificare care să fie compatibil cu mediul şi arhitectura IT curente. Ajungem, astfel, la câteva întrebări pe care ar trebui să vi le puneţi singuri (dacă nu o faceţi, vă ajutăm noi). Aveţi utilizatori de la distanţă? În cazul în care utilizatorii necesită accesul de pe laptop-uri sau BlackBerrys, veţi avea nevoie de produse de autentificare compatibile. Produsul respectiv scalează? În eventualitatea în care organizaţia creşte (nu pentru asta facem business?), veţi dori un sistem care să poată creşte împreună cu ea. În prezent, puteţi extrapola nivelul de risc la tehnologie. Aceasta va determina dacă un sistem simplu, bazat pe ID-ul utilizatorului şi parolă, este suficient pentru autentificare sau dacă aveţi nevoie de autentificare multifactor. Există trei factori în autentificare: ceva ce cunoaşteţi, cum ar fi ID-ul utilizatorului şi parola, ceva ce aveţi, cum ar fi un token sau un card, şi ceva ce sunteţi, aceasta însemnând o caracteristică fizică, cum ar fi o amprentă digitală sau un tipar de voce. Ultimul aspect, deloc de neglijat, pe care trebuie să-l aveţi în vedere este costul produselor. Acesta va determina dacă ele se încadrează sau nu în bugetul dvs. În concluzie, nivelul de risc este acela care determină alegerea produselor, care, la rândul lor, trebuie să fie compatibile cu sistemul organizaţiei, la un preţ acceptabil.

Hardware Tokens şi Smart Cards
Un token hardware este un dispozitiv auxiliar, utilizat pentru stocarea cheii private (am tratat pe larg subiectul PKI) a unui utilizator. Există mai multe moduri în care un astfel de dispozitiv auxiliar poate fi folosit, dintre care amintim doar trei, principale. Pe scurt, alternativele sunt: stocare externă, token-uri hardware cu posibilităţi criptografice sau token-uri smart card.

Stocarea externă
În esenţă, în această soluţie, un soft token este stocat pe un disc extern (de exemplu, USB flash drive) şi downloadat pe un computer local, ori de câte ori e nevoie să fie folosit. Această soluţie are un avantaj de uzabilitate faţă de un soft token obişnuit, prin faptul că este pe deplin portabil. La o primă vedere, poate părea că are şi un avantaj de securitate, deoarece acum cheia privată a utilizatorului nu este stocată pe laptop-ul sau computerul local al acestuia. Prin urmare, un atacator are nevoie de acces fizic la dispozitivul extern al utilizatorului, iar un astfel de dispozitiv este mai uşor de protejat decât un laptop sau un computer personal. În ciuda acestui fapt, avantajul de securitate al soluţiei faţă de un soft token obişnuit este discutabil. În primul rând, dacă dispozitivul extern este împrumutat - chiar şi pentru o perioadă scurtă de timp - este posibil să se se extragă soft token-ul de pe el (fără ca utilizatorul să detecteze aceasta). În al doilea rând, faptul că respectiva cheie privată a utilizatorului este downloadată pe computer înseamnă că este vulnerabilă în faţa oricăror software-uri maliţioase ce există pe acel computer. În al treilea rând, datorită avantajului de portabilitate, utilizatorii pot fi tentaţi să-şi utilizeze cheile pe computere ce nu sunt de încredere, lucru care poate conduce la efecte dezastroase.

Token-uri hardware cu posibilităţi criptografice
Principala problemă cu sistemul de mai sus este că respectiva cheie privată este importată pe computerul local al utilizatorului. Soluţia acestei probleme este să ai un dispozitiv extern care să realizeze singur operaţiunile criptografice. Aceasta înseamnă ca dispozitivul extern să includă un microprocesor. Pentru a decripta un mesaj, computerul local trimite mesajul encriptat la dispozitivul extern care îl decriptează şi care îl trimite înapoi (şi această operaţiune este, de obicei, protejată cu parolă). Astfel, respectiva cheie privată nu este niciodată exportată de pe dispozitiv (un lucru esenţial). Să luăm din nou în considerare ameninţările de software maliţios şi de acces fizic:
Software maliţios: presupuneţi că un utilizator conectează un token hardware cu posibilităţi criptografice la un computer infectat şi mai presupuneţi că respectivul utilizator introduce parola token-ului său la un anumit moment. În acest caz, unul dintre viruşii de pe computer ar putea utiliza token-ul (pentru a decripta sau semna un mesaj), însă paguba este limitată la timpul cât token-ul este conectat la computer.
Acces fizic: De vreme ce cheia nu este niciodată exportată, îngrijorarea în acest caz apare doar atunci când un atacator obţine accesul fizic la dispozitiv; computerele locale utilizate nu au informaţii despre cheie. Securitatea în acest caz se reduce la cât de bine este protejat token-ul (care, din nefericire, nu furnizează decât o protecţie fizică minimă). Prin spargerea lui, este posibilă extragerea codului intern şi a secretelor stocate pe el, fără prea mare dificultate. Dar, privind partea bună a lucrurilor, aceasta ar însemna ca atacatorul să distrugă token-ul, ceea ce conduce implicit la detectarea atacului de către utilizator (al cărui token a dispărut). În unele cazuri şi acest preţ este, însă, prea mare.

Token-urile smart card
Un token smart card este un token hardware cu un smart card, ce oferă posibilităţi criptografice şi include, de asemenea, protecţia împotriva diferitelor tipuri de atac realizate prin accesul fizic la card. Smart card-urile moderne sunt foarte sofisticate şi furnizează protecţie împotriva unei largi varietăţi de atacuri. Cu un smart card bun, costul unui atac e posibil să devină mai mare decât beneficiul obţinut. În ceea ce priveşte software-ul maliţios, aici situaţia este aceeaşi ca şi în cazul token-urilor hardware. Există deci, din partea aceasta, ceva ameninţări.
Însă, după cum am menţionat, aceste ameninţări pot fi semnificativ reduse utilizând un software anti-virus corespunzător. De vreme ce daunele infectării sunt mai mici în acest caz, securitatea oferită prin token-urile smart card este foarte ridicată. Un alt aspect important privind smart card-urile este că, de obicei, acestea sunt testate foarte riguros. Prin urmare, e puţin probabil ca software bug-urile să cauzeze breşe în securitate. n

Autentificarea Two factor Ceea ce cunoaşteţi ar putea fi ID-ul de utilizator şi parola tradiţională. Acestea reprezintă ceea ce utilizatorul cunoaşte, avându-le în cap tot timpul. Ceea ce aveţi este un dispozitiv pe care, ca utilizator, îl posedaţi. Exemplele includ smart card-uri, token-uri sau orice alt dispozitiv ce poate fi cărat cu mâna de către utilizator, necesare pentru accesul la un sistem. Ceea ce sunteţi ar putea însemna o caracteristică fizică a dvs. ca utilizator, ce, în mod ideal, nu se poate modifica (ca de exemplu, amprenta digitală, faţa, imaginea retinei sau înregistrarea vocei). Autentificarea folosind ceea ce sunteţi ar putea fi făcută, evident, cu sisteme biometrice. Combinarea oricăror doi factori dintre cei descrişi mai sus reprezintă autentificarea two-factor. Utilizarea doar a unuia singur, ca de exemplu ID-ul şi parola, reprezintă autentificarea single-factor. Cum vă protejează autentificarea two-factor? Ei bine, fiecare factor are slăbiciunile sale, dar fiecare vulnerabilitate este diferită. Un atacator poate fura o parolă şi un token, dar token-urile furate nu sunt uşor de utilizat. Cu toate acestea, token-urile pot fi învinse pe alte căi, cum ar fi prin atacuri de tipul “man-in-the-middle”, care sunt un scenariu cu totul diferit. Cât despre dispozitivele biometrice, acestea sunt o cu totul altă poveste (am povestit-o anul trecut). Autentificarea two-factor oferă o abordare multi-stratificată a securităţii. Astfel, în cazul în care un factor este “spart” într-un fel oarecare, cel de-al doilea factor furnizează protecţie, deoarece el nu poate fi “spart” în acelaşi mod. De exemplu, dacă cineva fură ID-ul şi parola unui utilizator, să spunem, printr-un site de phishing, şi dacă un token - cel de-al doilea factor – este, de asemenea, necesar pentru ca atacatorul să se logheze pe web site, atacul va fi blocat.

Teodor Niţu