Když o bezpečnosti rozhodují úředníci, mohou uživatelé čekat jen to nejhorší

Některá bezpečnostní řešení jsou tak překombinovaná, že je z činnosti vyřadí i ten nejsamozřejmější požadave...


Některá bezpečnostní řešení jsou tak překombinovaná, že je z činnosti vyřadí i
ten nejsamozřejmější požadavek uživatelů PC.
Před psaním tohoto článku jsem si prošel materiály publikované v rámci fóra
Security Watch amerického Computerworldu a našel jsem tam následující poznámku
od Neila Taylora: "Jestliže má být osoba, která je ve firmě zodpovědná za
bezpečnost informačních systémů, skutečně užitečná, musíte si být
setsakramentsky jisti následujícím: totiž že je pro ni stejně důležité, že ti,
kdo informaci potřebují, ji dostanou, jako to, že taková informace nebude
zpřístupněna těm, kdo ji nepotřebují a nemají na ni právo."
To je přesně a jasně vyjádřeno, opravdu, pane Taylore. Souhlasím, že naší prací
je mimo jiné neplést se lidem do cesty, ale naopak jim pomáhat při naplňování
jejich obchodních cílů bezpečným a spolehlivým způsobem. Naneštěstí tomu tak
vždy není, jak ostatně ukážu na následujících případech.

Zbytečná paranoia
Moje práce může být rozdělena na dvě části: na vyhledávání existujících nebo
potenciálních problémů a na jejich nápravu. Navzdory okolnosti, že je někdy
zapotřebí spousta specializovaných znalostí k nalezení problému, věřím, že
jejich náprava je mnohem a mnohem náročnějším úkolem. Nalezení praktického
řešení, které zachová funkčnost i snadné ovládání a potom takové řešení
skutečně realizovat se nakonec vždy ukáže být mnohem obtížnějším procesem, než
jste si kdy původně představovali.
Jeden příklad za všechny: Jeden z našich obchodních týmů dostává údaje od
externího dodavatele. V současné době dodavatel odesílá svá data přes linku
ISDN, ale z důvodu výhodnosti, rychlosti a spolehlivosti chce náš tým dostávat
tyto informace po Internetu.
Veškerá iniciace stahování se provádí na našem konci, takže máme kontrolu na
tím, co se bude posílat, kdy se to bude posílat a jak se to bude posílat. A
všechna data jsou ve veřejné doméně, takže nám vlastně ani nezáleží na tom,
jestli někdo naší relaci naslouchá. Celou věc by mělo jít zařídit velmi
jednoduše.

Naneštěstí, když tento obchodní tým zašle žádost o provedení IT auditu projektu
a žádost o povolení od oddělení pro globální IT bezpečnost, nastane dlouhá
výměna e-mailových zpráv. Postupně prakticky každý, kdo by mohl mít i třeba ten
nejmenší zájem na výsledku celé akce a bohužel i spousta lidí, kterým do věci
zhola nic není dostane kopii zprávy. Jakmile někdo navrhne možné řešení, někdo
jiný poukáže na nějaký technický nebo procedurální zádrhel, který omezuje
bezpečnost.

V době, kdy se tento proces rozhodování pomocí zvláštní komise blíží k závěru,
řešení, které je navrhováno, zahrnuje změnu topologie sítě, upgrade většiny
našich firewallů a samozřejmě také re-enginnering původní aplikace.
Připusťme, že výsledná konstrukce je opravdu bezpečná a v budoucnu použitelná i
pro další podobné případy. Ale protože je tak složitá a protože by si
vyžadovala tolik zdrojů, bude trvat měsíce jestli ne roky než bude realizována.
A to vše by nastalo i v případě, že by neexistovala dlouhá řada dalších
projektů, které mají vyšší prioritu.
V mezidobí tým, který požádal o změnu, již celou záležitost vzdal na základě
poznání, že to trvá celé věky, že je příliš pracné dostat od bezpečnostního
oddělení jednoduchou odpověď na jednoduchou otázku a že celá věc nestojí za tu
námahu.

Důležitý problém
Shora uvedený příklad je klasickou ukázkou pochybného způsobu řešení. Obchodní
jednotka utrpěla škodu, protože se jí nedostalo zlepšené funkčnosti, kterou
chtěla. Bezpečnostní oddělení utrpělo škodu, protože obchodní oddělení i nadále
používá staré a ne právě bezpečné řešení.
Problém tohoto typu se nezdá být omezen pouze na moji firmu. Učinil jsem
stejnou zkušenost, když jsem si chtěl přečíst svůj vlastní účet "častého
pasažéra" u United AirLines na Webu. Otevřel jsem si jej tím, že jsem vyplnil
papírový formulář a poté obdržel nové číslo a pozvání k návštěvě příslušných
webových stránek. Avšak webová stránka společnosti United AirLines požadovala,
abych zaregistroval veškeré osobní detaily o mé osobě, protože bez těchto
detailů by nebylo možné dostat můj účet na server, a celá výzva rovněž
obsahovala výhružné varování, že pokud již mám nějaký osobní účet u této
společnosti, potom se moje detailní údaje musejí shodovat s těmi, které jsem
již zaregistroval v minulosti.
Pokud již ale skutečně mají mé detailní osobní údaje, proč pak mám proboha
ztrácet čas tím, že je budu znovu všechny zapisovat? Pokud je ještě nemají, jak
chtějí vyzkoušet, že obě sestavy dat jsou totožné?
Když jsem se konečně zaregistroval, zjistil jsem, že k účtu nemám přístup do té
doby, než mi společnost United AirLines zašle poštou můj přístupový kód pro
ověření hesla, které jsem do registrace zapsal. To heslo chtěli proto, aby
mohli ověřit, že jsem skutečně držitelem příslušného účtu na webové stránce,
který se musí shodovat s účtem, který mi již byl vystaven. Je vám to jasné???
Abych to zkrátil, celý proces aktivace přístupu trvá až pět neděl!
Skoro jako bych slyšel bezpečnostního úředníka, který si všechny tyto překážky
vymyslel. Jsem si jist, že při tomto přístupu k věci je skutečně naprosto vše
zabezpečeno. Ale schéma "častého pasažéra" bylo vymyšleno jakožto marketingový
nástroj na přilákání a udržení zákazníků. To, že se jim do cesty postaví tolik
překážek a nepochopitelných bezpečnostních opatření, musí mít nezbytně spíše
odstrašující účinek.
Ano, United AirLines potřebuje zabezpečení, aby se zabránilo defraudacím, ale
opatření by měla podporovat cíle programu a nikoli jim škodit.

Zelená pro chytré karty
V jednom ze svých předchozích článků jsem se zmínil o nápadu používat chytré
karty (smartcards) ke kontrole přístupu do obou našich budov a ke každému PC,
čímž by se eliminovala potřeba nešikovných a ne zcela bezpečných hesel.
Strávil jsem nemálo času přidáváním masa na kostru celého nápadu, sepsal jsem
návrh projektu a předložil jsem ho vedení firmy. Každému z manažerů, se kterými
jsem o věci mluvil, se nápad líbil, a potom ho poslal "nahoru", takže jsem
nakonec se svým projektem skončil u hlavního technologa asi o pět řídících
úrovní výše, než je ta moje. Byl s projektem celkem spokojen, a tak mám
povoleno s ním začít.
Prvním krokem je zkouška koncepce. Zatím mám pouze ústní ujištění ze strany
dodavatelů, že jsou schopni poskytnout hlavní komponentu: bezkontaktní kartu
pro dveře a chytrou kartu pro samotné PC spojené do jediné fyzické jednotky.
Rovněž mám pouze omezené vědomosti ohledně toho, jak integrovat do Windows 2000
systém pro identifikaci a ověření na bázi chytré karty. Dříve než někoho začnu
nutit věnovat významné množství času, práce a peněz, musím ukázat, že to lze
provést.
Mým cílem pro následující tři měsíce je provést veškerý podpůrný průzkum, potom
vyrobit jednu kartu, která mi otevře přístup k jednomu PC s Windows a otevře
dveře jedné budovy. Takže mohu začít práci s nějakým skutečným hardwarem a
softwarem a pokoušet se dát dohromady něco, co opravdu nějak funguje. Konečně
technická práce!
0 2746 / pen

Slovníček a reference
ISDN (Integrated Services Digital Network) je speciální digitální linka, kterou
lze získat u telefonních společností (v ČR tedy zatím jen u Českého Telecomu).
Standardní ISDN přípojka nabízí 2 nezávislé kanály se šířkou přenosového pásma
64 Kb/s, ke kterým lze připojit příslušná zařízení ISDN telefony, PC apod.
Uživatelé platí měsíční paušální poplatek plus poplatek odvozený od skutečné
intenzity využívání.
Při svých rešerších ohledně projektu s chytrými kartami Jude používá mimo jiné
následující užitečné zdroje informací:
Litronic: poskytovatel infrastruktury, výrobků a služeb na bázi veřejného
klíče. "Whitepaper", na který vede následující odkaz, představuje přehled
problematiky chytrých karet a je napsán svěžím a jasným způsobem je to výtečný
zdroj informací pro začátečníky (http://www.litronic.com/whitepaper/index.html
).
Jiný "whitepaper" je v oblasti TechNet webových stránek společnosti Microsoft.
Jsou zde k dispozici detaily ohledně podpory chytrých karet dostupné v rámci
Windows 2000 a Windows NT včetně popisu příslušných API (aplikačních
programových rozhraní) a popisu SC SDK (Smart Card Software Developme Kit).
Rovněž je zde seznam ostatních členů pracovní skupiny PC/SC ISO
(http://www.microsoft.com/technet/win2000/smtcard.asp ).









Komentáře
K tomuto článku není připojena žádná diskuze, nebo byla zakázána.