Klíče pod rohožkou

V každém systému se objevuje mnoho různých dat, objektů či aplikací, jež jsou chráněny heslem, tedy softwarovým klíčem. Pojďme tedy společně hledat klíče pod rohožkou.
Nechci ovšem, aby se tento článek stal popisem technik profesionálních hackerů. Existuje mnoho podvůdků a technik, jak klíče vymámit. My nyní nic mámit nebudeme. Jen sebereme to, co nám uživatel schová pod rohožku. Takový klíč pod rohožkou může sebrat i šikovnější uživatel, zneužití můžete čekat i od kolegy či "kamaráda".
Tímto způsobem se například dostanou vaše soukromé fotografie do cizích rukou, vaši známí obdrží e-mail odeslaný cizí rukou pod vaší hlavičkou s velmi ztrapňujícím obsahem. Vaše osobní citlivá data zjistí někdo nepatřičný. Někdo jiný zneužije váš bankovní účet nebo registraci v elektronickém obchodě.

Jednoduchá hesla
Jednoduchá hesla je snadné uhodnout. Ve smyslu tohoto článku je klíčem pod rohožkou heslo, které se dá snadno uhodnout i bez speciálních prográmků, jako jsou jména dětí, manželek, milenců, rodná čísla, telefonní čísla apod. Pokud používáte jakékoliv přihlášení do internetových formulářů, jako jsou například e-shopy, veřejné e-maily a podobně, buďte si skoro jisti, že se dříve nebo později pokusí nějaký "kamarád" přihlásit po vás za vás. Přihlašovací jméno mu zůstane vyplněno v prohlížeči. A heslo? Tak co asi zkusí...
Hrozba stejných hesel
Hrozba stejných klíčů pro různé účely je trojí. Když už někdo získá váš klíč, dostane se do dvou místností naráz a způsobí vám dvojnásobnou škodu. Získat jeden ze dvou stejných klíčů je mnohem snazší, obzvlášť, když jsou klíče uloženy a zabezpečeny samostatně. Zvyšuje se pravděpodobnost, že u jednoho z klíčů bude uložení nevhodné. Konečně někdy může být nutné váš klíč dočasně zapůjčit někomu jinému. Soused, který vám vaším klíčkem vybírá po dobu dovolené schránku, by vám mohl také vybrat sekretář, pokud bude klíček od schránky stejný jako klíče od domu.
V počítačové praxi to probíhá podobně. Pokud "kamarád" zná jediné vaše heslo, věřte, že jej zkusí použít i k přihlášení do jiných aplikací, které používáte. Zatímco některé aplikace, zpravidla s nevelkým bezpečnostním dopadem, mají správu hesel vyřešenou nedbale, jiné aplikace (naopak velmi bezpečnostně citlivé) musí mít uživatelské údaje jako klíče uloženy velmi bezpečně. Pokud do těchto dvou aplikací budete používat stejné heslo, pak velmi dobře zabezpečenou aplikaci můžete odemknout klíčem druhé aplikace, která ho nechává např. v textovém souboru, jenž se může jmenovat třeba uzivatele.cfg a je bez problémů čitelný.

Nedokonalost dokonalých hesel
A teď z opačného konce. Rozhodnete se používat opravdu dokonalá hesla, která nelze snadno uhodnout, jsou tvořena kombinací písmen, číslic, speciálních znaků, jsou dlouhá třeba 10 znaků, pravidelně a často si hesla měníte, používáte pro každou aplikaci jiné heslo. Je tato varianta bezpečná? Není, jak odhalil průzkum prováděný firmami Nucleus Research a KnowledgeStorm na konci minulého roku. Bylo zjištěno, že zavedení tvrdých požadavků na hesla má v navýšení bezpečnosti jen malý výsledný efekt. Důvodem je vysoká náročnost správy takovýchto hesel.
Představte si pět hesel, třeba pro poštu, intranet, e-shop, ceník, ekonomický systém, internetové bankovnictví, ICQ, Skype... Pět účtů využívá většina uživatelů IT. Každý čtvrtý pracovní den pak přijde požadavek na změnu hesla. Pokud je patřičně složité, musí být pro každou aplikaci jiné a nemůže se opakovat. Pak je tento systém pro uživatele velmi zatěžující, uživatel si tato hesla nemůže pamatovat a nakonec zapomene i své křestní jméno. Východiskem jsou pak pro něj papírky nalepené na monitoru, pod klávesnicí, v textovém dokumentu na ploše apod. Tak... a máme zase klíče pod rohožkou.

Existuje řešení?
Jedním z řešení je nepoužívat hesla, ale nějaký jiný způsob ověření, třeba otisky prstů, karty, plovoucí hesla apod. Jenže co s existujícími aplikacemi? Některé už těžko upravíte, aby se neptaly na heslo, ale na prst nebo na kartu.
Pokud není možné upravit aplikaci, lze použít malou lest. Můžete použít software, který je schopen rozpoznat přihlašovací okno do aplikace a zadat heslo za vás. Tento software vám usnadní život tím, že si nemusíte hesla pamatovat nebo zapisovat na papírky a podobně. Pamatuje si hesla za vás, ale tak, aby se k nim nikdo jiný než vy nedostal. Vy se k těmto heslům dostanete a můžete nechat automatické přihlašování do aplikací fungovat. Samozřejmě si vás tento software předem velmi důkladně ověří. K tomu má k dispozici mnoho nástrojů, včetně zmíněných čipových karet, otisků prstů apod. Hesla, která si pamatuje, je schopen automaticky měnit, a pokud je třeba, i bezpečně synchronizovat s jinými systémy.
Nejvyšší stupeň zabezpečení přístupu představuje využití centrálního systému pro řízení přístupu k datům. Toto řešení vyžaduje, aby byla bezpečnostní část aplikace navržena podle otevřených standardů, případně je nutné provést úpravu aplikace. Aplikace se vzdá vlastního mechanismu ověření uživatele, tedy zadání jména a hesla, a přenechá tuto činnost specializovanému softwaru. Ten zajistí bezpečné ověření uživatele. Je-li již uživatel bezpečně ověřen, není nutné jej při opětovném přístupu k aplikaci opakovaně ověřovat. Když centrální systém přihlášení využívá více aplikací, je možné nastavit bezpečnostní skupiny a role pro křížová oprávnění. Takto se mohu např. jako účetní ve firmě z jedné webové stránky dostat na e-mail, ceník produktů nebo účetní výkazy, aniž bych byl těmito aplikacemi opakovaně vyzýván k zadání hesla. Již první zadání hesla nebo použití karty, otisku prstu apod. bylo dostatečným důkazem, že jsem to skutečně já, účetní.
Pokud nestavíte na zelené louce, bývá v praxi nejčastěji použita kombinace všech těchto uvedených variant řešení. Vyspělé systémy jsou schopné všechny způsoby kombinovat a vzájemně propojit do jednoho celku. Uživatel pak nemusí dávat klíče pod rohožku, ani u sebe nosit objemné svazky klíčů.

Ing. Petr Klabeneš, Tivoli Brand Leader

IBM Tivoli Access Managerm
Produktová rodina IBM Tivoli Access Manager je vysoce technicky vyspělé a v kritických podmínkách ověřené řešení, které:
n významně zvýší bezpečnost
n usnadní a zefektivní práci uživatelů
n usnadní a zefektivní správu IT
n minimalizuje náklady spojené s požadavky na odemčení účtů a reset hesel
n podporuje mezinárodní standardy
n je cestou k úspěšnému bezpečnostnímu auditu
n je pro malé i velké