Prostředky osobní identifikace a biometrie

1. Prostředky osobní identifikace a biometrie Luděk Rašek

2. Zdroje • Smith, Richard E. : Authentication: FromPasswords To Public Keys • Todorov, D.: Mechanics of User Identification and Authentication: Fundamentals of Identity Management • http://en.wikipedia.org/wiki/Authentication • http://en.wikipedia.org/wiki/Authorization

3. Krátce z historie • Identifikace/Autentizace v osobním kontaktu • Spoléhá na (netechnologickou) biometrii – opakované rozpoznání tváře • Identifikace/Autentizace bez přítomnosti osoby • Zprostředkovaná pomocí nástrojů, technologií • Pečeti, podpisy, mechanické klíče, hesla apod. • Důvody pro identifikaci • Přístup k aktivu (něčemu, co má hodnotu) • Ověření původu

4. Historické reálné i fiktivní formy autentizace na dálku

5. Základní pojmy • Identifikace – určení identity • Co je vlastně identita? • Autentizace – ověření identity • Autorizace • Odvození oprávnění ze známé a ověřené identity • Dochází ke splývání uvedených pojmů • Nepřesností – mluvčí nerozlišuje z nedostatku znalosti • Objektivním splynutím – v závislosti na kontextu může jeden pojem splynout s druhým

6. Základní atributy informačních aktiv • Důvěrnost(Confidentiality) • Vyžaduje autentizaci – informace lze vydávat pouze oprávněným subjektům • Integrita (Integrity) • Vyžaduje autentizaci – provádět lze pouze povolené změny aktiva • Zodpovědnost (Repudiation) • Vyžaduje autentizaci – za každý přístup k aktivu musí být zodpovědný konkrétní subjekt • Dostupnost (Availability)

7. Identifikace a identita

8. Identifikace • Určení identity zájmové osoby (systému) • Co je identita (ve světě informačních technologií) • Sada vlastností vázaných k určitému subjektu, na základě kterých subjekt jedná či s ním jednají ostatní subjekty • Různá dle kontextu • Identita je většinou reprezentována jednoznačným identifikátorem • Chybná identifikace může mít fatální následky

9. Volba identifikátoru • Musí být jednoznačný ve vybrané množině • Původ identifikátoru • Přirozený - jméno, přezdívka • Umělý identifikátor – identifikační číslo • Vypovídací hodnota identifikátoru • Významový – nese dodatečnou informaci (např. RČ) • Bezvýznamový – nenese jinou informaci, než unikátnost

10. Mnohotvárnost identity • V různých kontextech je jedna tatáž fyzická identita prezentována zcela odlišnými atributy • Klient banky – klientské číslo, heslo, číslo karty • Fotbalový hráč – zelený dres s číslem • Náhodný kolemjdoucí – muž věk 30 - 40, džíny, hnědá kožená bunda • Pachatel vraždy – otisk prstu na zkrvaveném noži • Majitel e-mailu - josef.novak@seznam.cz • Návštěvník nevěstince – muž se zájmem o blondýnu s velkým poprsím s dostatečnou finanční hotovostí • Přednášející na JČU PřF - muž s (někdy) barevnými obrázky a odvahou předstoupit před studenty • Kněz provádějící nedělní mši – muž, sutana, znalost křesťanského ritu

11. Mnohotvárnost eIdentity • Facebook, twitter, email, google, geocaching, foursquare, mbank, paypal, icq, jabber, msn, secondlife, moneybookers, bwin……….. • Online svět generuje množství různých pohledů a virtuálních identit pro jednu fyzickou osobní identitu

12. Propojování atributů identity • Žádoucí • Vyšetřování vraždy • Nežádoucí • Poškození soukromí • Aktuální v dne internetu a sociálních sítí

13. Vědomá vs. nevědomá identifikace • Vědomá • Uživatel vědomě sděluje svou identitu ve formě identifikátoru • Bez vědomí subjektu • Hodnoty uložené na pozadí (cookies) • Tzv. fingerprinting(https://panopticlick.eff.org/browser-uniqueness.pdf) • Např. projekt http://panopticlick.eff.org

14. Důvody pro zavedení identifikace • Správa přístupu k aktivům • Aktivum • Cokoli, co má pro nás hodnotu • Typy - fyzická, informační, jiná (reputace) • Přístup • Možnost aktivum, využívat, modifikovat, ničit či vytvářet

15. autentizace

16. Autentizace • Potvrzení identity subjektu na základě důkazů • Založena na: • Něco vím – znalost • Něco mám – vlastnictví • Něčím jsem – rysy osoby

17. VÍMAutentizace založená na znalosti • Znalost, která je známa jen osobě s danou identitou • Heslo, postup • Postup ověření • Subjekt prokazuje znalost hesla FLASH THUNDER 4 6 7 3

19. VÍM - vlastnosti • Riziko vytvoření kopie/zcizení • Bez možnosti detekce • Zpravidla nutnost odhalit tajemství při provádění autentizace • Možno využít tzv. zeroknowledge postupy

20. MÁMAutentizace založená na vlastnictví • Vlastnictví konkrétního předmětu • Čipová karta, mobilní telefon, OTP generátor, autorizační kalkulátor aj. • Postup ověření • Subjekt prokazuje vlastnictví předmětu • Bez specializovaného HW • Se specializovaným HW • Např. čtečka čipových karet

21. MÁM - Prostředky • PKI – Public KeyInfrastructure • SW – privátní klíč na disku • HW – privátní klíč na čipové katě • Statické OTP – GRID tabulka • Dynamické OTP generátory • Tokeny • Založené na čase • Založené na čítači • Mobilní kód – SMS, bankovní SMS • Autentizační kalkulátor • EMV CAP/DPA • Kombinace (karta s klávesnicí/displejem apod.)

23. MÁM - vlastnosti • Fyzický předmět – snadná detekce zcizení • Není možné vytvořit kopii • Krom GRID, SW PKI • Bez kombinace s VÍM autentizací snadno zneužitelné přizcizení • Nutnost nošení dalšího přemětu • Někdy nutnost připojovat pomocí speciálního HW

24. JSEMAutentizace založená na vlastnosti subjektu • Biometrické charakteristiky • Otisky prstů, obraz duhovky, hlasová analýza … • Postup ověření • Srovnání vzorku získaného v reálném čase se vzorkem uloženým • Není schopna rozhodovat se 100% úspěšností

26. JSEM - Vlastnosti • Vždy u sebe • Malé riziko nezjištěného zcizení • Obtížné kopírování • I když u některých prvků je možné • Nutnost využívat specializovaný HW • Nekompatibilita a špatná porovnatelnost různých implementací • Nikdy není 100%

27. Více-faktorová autentizace • Snižuje komfort • Zvyšuje bezpečnost • Typické kombinace • Znalost + vlastnictví = čipová karta s PINem • Vlastnost + vlastnictví = čipová karta s match on-card biometrií

28. autorizace

29. Autorizace • Určení, zda daný subjekt (po autentizaci) je oprávněn přistupovat k aktivu • F(subjekt,operace,aktivum) -> {povolit,odepřít}

30. Modely autorizace • Discretionary Access Control – DAC (DACL) • K objektu je připojen seznam oprávnění pro jednotlivé subjekty (uživatele, skupiny) s popisem oprávnění pro tu kterou operaci • Oprávněné subjekty (vlastník) mohou poskytovat oprávnění dále • UNIX oprávnění, Windows ACL • Mandatory Access Control – MAC (multilevelsecurity) • Přístupová oprávnění jsou určována globální politikou na základě atributů objektů a subjektů • SeLinux, různá rozšíření UNIXů • Role Based Access Control – RBAC • Kombinace DAC a MAC

31. DAC – UNIX oprávnění drwxr-xr-x 2 root root 0 Jul 11 09:21 bin drwxrwxrwt 5 root root 1280 Oct 16 12:41 dev drwxr-xr-x 12 root root 0 Jul 11 09:24 etc drwxr-xr-x 27 root root 4096 May 30 20:14 home drwxr-xr-x 11 root root 0 Jan 1 1970 jffs drwxr-xr-x 4 root root 0 Dec 29 2009 lib drwxr-xr-x 9 root root 0 Oct 16 12:41 mnt dr-xr-xr-x 48 root root 0 Jan 1 1970 proc drwxr-xr-x 16 root root 154 Dec 29 2009 rom drwxr-xr-x 4 root root 0 Apr 29 12:55 root drwxr-xr-x 2 root root 0 Apr 29 12:49 sbin drwxr-xr-x 10 root root 0 Jan 1 1970 sys drwxrwxrwt 8 root root 340 Oct 16 14:43 tmp drwxr-xr-x 7 root root 0 Dec 2 2009 usr lrwxrwxrwx 1 root root 4 Dec 29 2009 var -> /tmp drwxr-xr-x 5 root root 69 Dec 29 2009 www

32. DAC – Windows DACL C:\Documents and Settings NT AUTHORITY\SYSTEM:F BUILTIN\Administrators:F BUILTIN\Users:R BUILTIN\Power Users:R Everyone:R NT AUTHORITY\SYSTEM:(OI)(CI)(IO)F BUILTIN\Administrators:(OI)(CI)(IO)F BUILTIN\Users:(OI)(CI)(IO)(special access:) GENERIC_READ GENERIC_EXECUTE BUILTIN\Power Users:(OI)(CI)(IO)(special access:) GENERIC_READ GENERIC_EXECUTE Everyone:(OI)(CI)(IO)(special access:) GENERIC_READ GENERIC_EXECUTE

33. DAC –Windows DACL

34. MAC - SELinux • Každý objekt ma přiřazen bezp. kontext • jméno:role:typ:úroveň • $ ls -Z /usr/bin/passwd -rwsr-xr-x root root system_u:object_r:passwd_exec_t:s0 /usr/bin/passwd • Každý proces/uživatel má přiřazen bezp. kontext • uživatel:role:doména:úroveň • unconfined_u:unconfined_r:passwd_t:s0-s0:c0.c1023 6314 pts/1 S+ 0:00 passwd • V politice systému existuje: • Definice uživatelů, domén, … • Definice pro označování objektů (labelling) • Definice povolených přechodů mezi doménami • Definice povolených operací • Pravidla SELinux jsou vynucována současně s DAC, pokud SELinux akci povolí, ještě může selhat na DAC a opačně.

35. RBAC

36. Komponenty autorizace

37. Architektura IS s ohledem na autentizaci/autorizaci • Důvěryhodné komponenty • Pod kontrolou provozovatele systému • Lze důvěřovat předávaným informacím a identifikace je dostatečná • Nedůvěryhodné komponenty • Mimo kontrolu provozovatele systému • Vždy je třeba požadovat explicitní autentizaci koncového uživatele

38. Příklad „3 vrstvá“ architektura • Prohlížeč - není důvěruhodnou komponentou • pouze zobrazuje už. rozhraní a přijímá vstup uživatele včetně autentizačních údajů • běží pod identitou uživatele v OS, kterou rovněž může předat na apl. serv., ale proapl. server není důvěryhodná • Aplikační server – důvěryhodná komponenta • přímo ověřuje autentizační údaje uživatele, sám běží pod servisním účtem • aplikuje přístupová oprávnění • Databázový server – důvěryhodná komponenta • po autentizaci systému (není nezbytná, ale doporučená) AS důvěřuje veškerým datům včetně předávaných uživatelských identit

39. Princip oddělení zodpovědností • SeparationofDuties – SoD • Významný prvek bezpečnosti systémů • Jeden uživatel nemůže sám provádět všechny citlivé operace • Pro dokončení operace je nutná účast více uživatelů v různých rolích • Koncept „čtyř očí“ • Kombinace s důsledným auditingem

40. Princip oddělení zodpovědnosti - příklad • Správa uživatelů • Správce účtů • Má oprávnění zavést nového uživatele • Nemá právo zařadit uživatele do role (skupiny) • Správce rolí • Má oprávnění zařadit uživatele do role • Nemá právo vytvořit uživatele • Uživatel není schopen bez přidání do role pracovat se systémem -> pro zřízení uživatele je nutná spolupráce minimálně dvou správců systému

41. Autorizace operací • Používá se pro provádění citlivých operací v prostředí internetu • Autentizovaná relace je využita pro zadání citlivé operace (platební příkaz) • Je vyžadována dodatečná explicitní autorizace dané operace zadavatelem • SMS kód, el. podpis, EMV CAP/DPA potvrzení, telefonické schválení

42. Člověk nebo stroj

43. Inverzní Turingův test • V internetových aplikacích je často nutné odlišit lidského uživatele od automatu • Není prováděna autentizace v pravém slova smyslu, ale třídění uživatelů do kategorií • Člověk • Stroj • Většinou z důvodu zabránit zneužití zdrojů (SPAM, přetížení systému apod.)

44. Inverzní Turingův test • Turingův test – úloha spočívající v rozpoznání, zda protistranou v komunikaci je stroj • Inverzní Turingův test (ReversedTuring Test) –rozpoznání stroje • Založen na úlohách pro lidský mozek snadných a pro stroj téměř neřešitelných • Captcha • rozpoznání písmen • Kognitivní testy • Založené na sémantice • Psaný text • Obrázky

45. Captcha • Rozpoznání zkresleného textu • Např. projekt ReCaptcha • Zkreslení textů cílené proti konkrétním technikám OCR (segmentace, …) • Útočníci se zlepšují, cílený útok na konkrétní systém je vždy úspěšný • Triviální útok – lidskou silou • Stránky chráněné pomoci captcha byly napadány tak, že útočníci přeposílali obrázky k vyluštění lidským uživatelům zcela jiného webu

46. Kognitivní testy • Kladou otázky či úkoly pro stroj nerozluštitelné • Kategorizace obrázků • Odpověď na textovou otázku (Jaký je dnes den?) Zdroj: http://www.csc.kth.se/utbildning/kandidatexjobb/datateknik/2010/rapport/pedersen_niklas_K10032.pdf

47. Autentizace systému

48. Důvěryhodnost systému • Systém, do kterého vkládám své přístupové údaje, musí být důvěryhodný • Fyzická kontrola • Můj/firemní počítač • Bankomat/Platební terminál (POZOR!) • Internet • Známé stránky • Ověřená adresa

49. Autentizace systému vůči uživateli • HTTPS - Certifikát serveru • vydaný důvěryhodnou CA • vydaný důvěryhodnou CA s rozšířenou validací (EV) • Obecně přijímaná politika ověřování identity držitele certifikátu • Kognitivní techniky • Personalizovaná pozadí, barevná schémata apod.

50. HTTPS certifikáty • Bežný HTTPS certifikát • EV HTTPS certifikát