PKI – ŠEK ali VIDeK (Še Ena Kratica ali Varna ID Kartica?)

Manager, št. 12, december 2010

V teh časih se odgovornejši menedžerji IT pogosto srečujejo s problemom varnosti in administracije pri uporabi gesel, še posebej v večjih računalniških okoljih. Če berejo ta Manager, bodo mogoče našli kakšno novo idejo! Sicer pa – kakšni so tipični primeri informacijske varnosti v podjetjih?

Scenarij A: Za amaterske hekerje

Nadobudni sistemski administrator v želji po večji varnosti dodeli uporabnikom gesla z najmanj 15 znaki, ki morajo poleg črk vsebovati še eksotične znake. Uporabniki si težko zapomnijo že kode PIN vseh bančnih kartic, PIN mobilnega telefona, gesla na internetnih portalih, posebna gesla za različne aplikacije in za povrh še dolgo geslo za vstop v računalniško omrežje. Ker si uporabniki ne morejo zapomniti vseh kod in gesel, se znajdejo po svoje. Eni se spomnijo slogana »pametni pišejo« in zato geslo običajno preprosto napišejo na listek, ki ga nalepijo na monitor ali mizo. Bolj prebrisani ga celo skrijejo pod tipkovnico ali shranijo v predal (zgornji predal levo).

Vsi so zadovoljni, samopodoba še najbolj naraste sistemskemu administratorju, ker je vpeljal visoko varnost z dolgimi gesli. Nenavadno se mu sicer zdi, da ga uporabniki kar naenkrat ne motijo več s pozabljenimi gesli. Na drugi strani - res težka naloga za nekoga, ki slučajno ali manj slučajno zatava v prazno pisarno in zagleda tak listek. Že amaterski heker bi se dolgočasil.

Scenarij B: Direktor je na dopustu

Direktor Jože je na dopustu. Ravno takrat v podjetju potrebujejo en dokument iz njegovega računalnika, kot zakleto pa je ravno takrat zbolel tudi sistemski administrator. Miha iz prodaje pokliče Jožeta in ta nima drugega izhoda, kot da mu po telefonu zaupa geslo. Miha vstopi v računalnik in mimogrede opazi zanimive podatke na Jožetovem računalniku. Pomisli, da bi bilo te podatke koristno shraniti na ključek USB; mogoče pride še kdaj prav.

Čez pol leta Miha dobi odpoved. Nekaj časa nikakor ne najde službe, potem opazi razpis za novo delovno mesto pri konkurenčnem podjetju. Juhu, datoteke iz Jožetovega računalnika so bile njegova glavna konkurenčna prednost pri novi zaposlitvi. Vsi srečni? Niti ne. Čez nekaj mesecev konkurenčno podjetje razvije enak produkt, ki je bil prej bistvena prednost prvega podjetja. Le kako jim je to uspelo, saj imajo pol manjši razvojni oddelek?

Scenarij C: Hvala bogu, da smo že v 21. stoletju. A res?

Podjetje sodeluje z državnim organom. Tema je varnostno občutljiva - podatki stopnje »tajno«. Državni organ zahteva, da se podatki prenesejo na varen način in da so zanesljivo podpisani in overjeni. Ne gre drugače, kot podatke vsakič natisniti, najti direktorja, podpisati in ožigosati, varno zapečatiti ovojnico in po posebnem kurirju poslati v Ljubljano. Zamudno, ni ravno ekološko, o varnosti pa bi se tudi dalo pogovarjati. Tako se je delalo v 20. stoletju.

Hvala bogu, da smo že v 21. stoletju! Sedaj uporabnik od državnega overovitelja pridobi digitalni certifikat in ga shrani v računalniku. Z njim zakodira in podpiše dokument in ga po navadni elektronski pošti pošlje naslovniku. Preprosto, hitro, poceni in predvsem varno!

Ampak ni še konec zgodbe. Digitalni certifikat je nameščen na računalniku, bodisi shranjen v Okenskem skladišču ključev, ali pa kar v obliki datoteke, ker smo jo enkrat izvozili za prenos v drug računalnik in pozabili izbrisati. Nekdo (sodelavec, pokvarjen sistemski administrator ali heker z drugega konca planeta) uspe dobiti to datoteko s certifikatom. Ob primernem trenutku naslovnik dobi dokument, pravilno kodiran in overjen, vsebina povzroči paniko. Kdo bo sedaj v tem virtualnem svetu uspel dokazati, kdo je resnični avtor dokumenta? Mogoče vsebina povzroči sodni spor ali kazensko odgovornost. Je to tehnologija 21. stoletja?

Scenarij D: Zaposleni so pozabljivi ...

Zaposleni se ob prihodu na delu prijavi v računalnik, potem pa enkrat dopoldne zapusti pisarno in gre na sestanek na drug konec stavbe ali celo na službeno pot. V naglici ali iz malomarnosti ob odhodu pozabi zakleniti računalnik. Ko se po kakšni uri ali dveh vrne v pisarno izgleda vse kot normalno.

Za nadaljevanje zgodbe si oglejte zaključek iz scenarija A ...

Scenarij E: Vsem dostopni internet

Zaposleni med delovnim časom brsklja po internetu, ugotovi, da lahko zastonj dobi en piratski programček, ga naloži, malce čudna instalacija, očitno težave pri nalaganju ... OK, pač ni uspelo.

Čez kakšen mesec se računalnik začne čudno obnašati. Dostop do sistemskega nadzora računalnika onemogočen ... Računalnik ves čas nekaj melje ... Antivirus blokiran. Panika!

Virus oz. bot, ki se je naložil namesto piratskega programa, je prestregel tipkovnico in ugotovil geslo. Vodja bota - nek študentski heker iz daljne vzzhodne dežele sedaj lahko mirno prevzame računalnik in vdre tudi v strežnike podjetja, če imajo le ti uporabne tajne podatke (npr. banke, državni organi) jih počrpa in proda najboljšemu ponudniku - kriminalcem ali medijem, lahko pa celotno omrežje uporabi kot anonimno izhodišče za organiziran napad (DDOS) na ameriško obrambno ministrstvo ipd.

Rešitev je enotna ID kartica

Verjetno se lahko najdete v zgornjih zgodbah, če ne pa vam lahko dajo misliti. Rešitev za gornje probleme ni več tako oddaljena. Imenuje se enotna ID kartica zaposlenega.

Praktično v vsakem podjetju že uporabljajo identifikacijske kartice za registriranje delovnega časa in vstope v prostore. Temu rečemo fizična pristopna kontrola, saj omejujemo vstope v fizične prostore. Običajno gre za brezkontaktno čip kartico v več različnih izvedbah, od najbolj enostavnih do varnih in kompleksnih čip kartic. Ampak te kartice ta trenutek še niso uporabne za gornje namene zaradi običajno premalo zmogljivih čipov. Zato želimo na takšno kartico dodati novo funkcionalnost, ki nam bo omogočala vstope v virtualne prostore - strokovno temu rečemo virtualna pristopna kontrola ? No ja, v svetu se je bolj uveljavil izraz "logična pristopna kontrola", celotni zgodbi pa PKI infrastruktura oz. po naše infrastruktura javnih ključev.

Na zgornjem nivoju je overovitelj oz. izdajatelj certifikatov ali CA (certificate authority) povezan z domenskim strežnikom, na spodnjem pa fizična kartica z zelo zmogljivim čipom, običajno v kontaktni tehnologiji pametnih kartic.  Certifikat v procesu izdajanja zapišemo na kartico, na sami kartici se generira privatni ključ in nikoli ne zapusti več kartice, kjer je maksimalno varno shranjen. Uporabnik za dostop potrebuje samo kratek PIN in s tem smo nivo varnosti povečali na močno dvostopenjsko avtentikacijo:

nekaj kar imam (fizična kartica) IN nekaj kar vem (PIN koda)

Če to na isti kartici združimo še z brezkontaktno tehnologijo dobimo eno in edino ID kartico zaposlenega, na katero shranimo certifikate za vstop v lastno računalniško omrežje in certifikate za delo z državo.

Bistvo zgodbe je v tem, da sistem uporabnike (ki so sicer privzeto malomarni) naravnost prisili k ustreznem varovanju srca in ožilja podjetja = računalniškega centra in omrežja. Takšne rešitve oz. delne rešitve so sicer znane že kar nekaj časa, vendar pa je sedaj postavitev takšnega sistema postala bolj enostavna, standardizirana in dostopnejša. Tehnologija je torej na voljo, razvoj pa seveda poteka še naprej smeri poenotenja in standardizacije - vendar kompatibilno z že uveljavljenimi standardi.

Zgornji primeri postanejo preteklost in IT managerji lahko za nekaj časa spet mirneje spijo.

Tomaž Frelih, Četrta pot