Zobrazení zdroje stránky Informační bezpečnost. Vymezte, čemu se věnuje oblast tzv. informační bezpečnosti a uveďte její základní podoblasti. Popište, co je autorizace, autentizace a nepopiratelnost a v čem spočívá jejich důležitost pro informační bezpečnost

==Informační bezpečnost==
[[Informační bezpečnost]] (Information security) představuje ochranu [[Informace|informací]] ve všech jejich formách a po celém jejich životním cyklu - tedy během jejich vzniku, zpracování, ukládání, přenosu a likvidace. Předmětem ochrany jsou informace bez ohledu na to, zda jsou uloženy v [[Informační systém|informačním systému]], vytištěny na papíře nebo existují pouze v něčí mysli. <ref name="bezpenčnost">Bepečnost informací. Acresia [online] [cit. 2022-02-25]. Dostupné z: https://www.acresia.com/index.php/bezpecnost-informaci-paticka</ref> Informační bezpečnost je komplex opatření, který zahrnuje proces navrhování, schvalování a implementaci [[software|softwarových]], [[hardware|hardwarových]], technických, personálních ochranných opatření spojených s minimalizací možných ztrát, vzniklých v důsledku poškození, zničení nebo zneužití informačních systémů. <ref name="král">KRÁL, D. Informační bezpečnost podniku. Brno: Vysoké učení technické v Brně, Fakulta podnikatelská, 2010. 145 s. Vedoucí dizertační práce doc. Ing. Miloš Koch, CSc.</ref> Dle definice TDKIV je informační bezpečnost ochrana [[Počítačový systém|počítačového systému]] a [[Data|dat]] před poškozením a ztrátou informací. <ref>POTÁČEK, Jiří. Informační bezpečnost. In: KTD: Česká terminologická databáze knihovnictví a informační vědy (TDKIV) [online]. Praha : Národní knihovna ČR, 2003- [cit. 2022-02-24]. Dostupné z: https://aleph.nkp.cz/F/?func=direct&doc_number=000000074&local_base=KTD.</ref>

'''Důležité součásti informační bezpečnosti:'''

*<u>Důvěryhodnost (confidentiality)</u>: vlastnost, která zajišťuje, že informace jsou dostupné pouze oprávněným ([[Autentizace a Autorizace|autorizovaným]]) entitám (jednotlivcům, procesům) a naopak nedostupné neoprávněným entitám. Důvěrnost může zajistit například šifrovací mechanismus či autorizovaný přístup k datům.
*<u>Integrita (integrity)</u>: vlastnost, která zajišťuje úplnost, přesnost a platnost informací. Je to záruka toho, že informace se nezměnily. Lze ji zajistit například kontrolním součtem nebo hešovací funkcí.
*<u>Dostupnost (availability)</u>: vlastnost, která umožňuje oprávněné entitě přístup k informacím a zajištuje jejich použitelnost v okamžiku, kdy jsou požadovány. <ref name="stra">STRACHOVÁ, Zuzana. Prověření slabých míst v ochraně dat vybrané firmy [online]. Brno, 2019 [cit. 2019-05-08]. Dostupné z: https://www.vutbr.cz/studenti/zavprace/detail/119710. Bakalářská práce. Vysoké učení technické v Brně, Fakulta podnikatelská, Ústav informatiky. Vedoucí práce Petr Sedlák.</ref>

==Technologické hledisko==
===Kryptografie===
[[Kryptografie]] (Cryptography) je dle definice TDKIV nauka o tvorbě šifer. Kromě šifrovacích algoritmů studuje také kryptografické nástroje, jako jsou [[Generátor náhodných čísel|generátory náhodných čísel]], [[Elektronický podpis|digitální podpisy]] apod. <ref>SKLENÁK, Vilém. Kryptografie. In: KTD: Česká terminologická databáze knihovnictví a informační vědy (TDKIV) [online]. Praha : Národní knihovna ČR, 2003- [cit. 2022-02-24]. Dostupné z: https://aleph.nkp.cz/F/?func=direct&doc_number=000000624&local_base=KTD.</ref> Někdy je pojem "kryptologie" obecněji používán pro vědu o čemkoli spojeném se šiframi jako alternativa k pojmu kryptologie. Kryptologie zahrnuje kryptografii a kryptoanalýzu, neboli luštění zašifrovaných zpráv. 

'''Cíle kryptografie'''

*zabezpečit [[Komunikace|komunikaci]] citlivých dat mezi uživatelem a [[Internet|internetovou]] službou;
*zajistit důvěryhodnost komunikace mezi uživateli (např. [[E-mail|email]]);
*autorizace závažných úkolů ([[Internetové bankovnictví|ebanking]], el. obchody atd.);
*omezit přístup k určitým službám jen pro určené jedince (např. zabezpečená [[wi-fi]]). <ref name="muni">Kryptografie a bezpečnost. Informační systém Masarykovy univerzity [online] [cit. 2022-02-25]. Dostupné z: https://is.muni.cz/el/ped/jaro2016/VY3DC_DIT2/um/Kryptografie_a_bezpecnost.pdf?lang=cs</ref>

'''Kryptografie může být:'''

*<u>[[Asymetrická kryptografie]]</u>: Asymetrické šifrování používá pro zašifrování zprávy dva klíče. Jeden veřejný klíč pro zašifrování zprávy a druhý pro soukromý klíč na dešifrování zprávy. Soukromý klíč je tajný, a proto musí být pečlivě střežen a chráněn.  Výhodou je, že není potřeba posílat soukromý klíč, což zamezuje vyzrazení. Nevýhodou je, že je až 1000x pomalejší než symetrická kryptografie.
*<u>[[Symetrická kryptografie]]</u>: symetrické šifry (neboli šifry tajného klíče) fungují na jednodušším principu než kryptografie asymetrická. Odesilatel i příjemce zprávy mají ten stejný klíč k zašifrování i rozšifrování zprávy. Mezi výhody symetrické šifry patří to, že je jednodušší na výpočetní výkon (symetrická šifra je vytvořena velice rychle). Její nevýhodou je však nutnost předání soukromého klíče druhé straně.<ref name="muni">Kryptografie a bezpečnost. Informační systém Masarykovy univerzity [online] [cit. 2022-02-25]. Dostupné z: https://is.muni.cz/el/ped/jaro2016/VY3DC_DIT2/um/Kryptografie_a_bezpecnost.pdf?lang=cs</ref>

[[File:Asymetrická kryptografie.svg|thumb||center|Asymetrická kryptografie]]
[[File:Symetrická šifra.png|thumb|Symetrická šifra]]

===Hash===
[[File:Hash table 4 1 1 0 0 1 0 LL.svg|thumb|Hash table 4 1 1 0 0 1 0 LL]]
[[Hašovací funkce]] se začaly objevovat v polovině padesátých let (na poli [[Výpočetní technika|výpočetní techniky]] se využívají později). Lze říct, že je to funkce, která vytváří z libovolně dlouhé zprávy (souboru) digitální otisk (hash) s pevně definovanou délkou (128, 160, 256 bitů). Hašovací funkce je výpočetně efektivní funkce, která transformuje posloupnosti binárních symbolů libovolné délky na binární posloupnosti určité konstantní délky, nazývané hash (hodnota, otisk). Příkladem využití hašovací funkce je uložení hesla do systému pro možnost následné autentizace pomocí tohoto hesla (samotné tajné heslo nemusí být nikde ukládáno). <ref name="moodle">Informační bezpečnost - Základy informační vědy pro nav. Mgr. Moodle UK pro výuku 1 [online] [cit. 2022-02-26]. Dostupné z: https://dl1.cuni.cz/pluginfile.php/497813/mod_resource/content/0/inf_bezpecnost.pdf</ref> 

'''Hašovací funkce musí vyhovovat následujícím požadavkům:'''

*musí být jednosměrná, tedy nesmí být možné z hodnoty hash odvodit původní zprávu,
*musí být nekolizní, není tedy možné odvodit dvě různé výchozí zprávy pro tutéž hodnotu hash. <ref name="moodle">Informační bezpečnost - Základy informační vědy pro nav. Mgr. Moodle UK pro výuku 1 [online] [cit. 2022-02-26]. Dostupné z: https://dl1.cuni.cz/pluginfile.php/497813/mod_resource/content/0/inf_bezpecnost.pdf</ref>

<br />
===Digitální podpis===
[[File:Digital Signature diagram.svg|thumb|Digital Signature diagram]]

'''Elektronický podpis má následující vlastnosti:'''

*Je spojen s jedním konkrétním elektronickým [[Dokument|dokumentem]] (tj. potvrzuje pravost a autenticitu tohoto dokumentu) a nemůže být použit pro podepsání jiného dokumentu.
*Může být vytvořen pouze tím, kdo zná jisté tajemství – soukromý klíč.
*Je nemožné vytvořit jiný dokument, sebeméně odlišný od původního dokumentu, pro který by byl původní elektronický podpis stále platný.
*Jakmile je jednou elektronický podpis v dokumentu vytvořen, kdokoli si může ověřit pravost tohoto podpisu. <ref name="moodle">Informační bezpečnost - Základy informační vědy pro nav. Mgr. Moodle UK pro výuku 1 [online] [cit. 2022-02-26]. Dostupné z: https://dl1.cuni.cz/pluginfile.php/497813/mod_resource/content/0/inf_bezpecnost.pdf</ref>



<br />

==Sociologické hledisko==
===Útoky s využitím sociálního inženýrství===
V rámci [[Útoky s využitím sociálního inženýrství|útoků s využitím sociálního inženýrství]] se útočníci snaží působením na psychiku manipulovat uživatelem tak, aby žádané informace sám prozradil. Jedná se o "podvod", jehož cílem je přesvědčit uživatele, aby udělal něco, co ho poškodí. Působí přitom na psychiku pomocí zvědavosti, strachu o peníze, obecného strachu či soucitu. Tomuto útoku nelze zabránit technickými prostředky, nejlepší ochranou je zdravý rozum a důsledné ověřování. <ref name="moodle">Informační bezpečnost - Základy informační vědy pro nav. Mgr. Moodle UK pro výuku 1 [online] [cit. 2022-02-26]. Dostupné z: https://dl1.cuni.cz/pluginfile.php/497813/mod_resource/content/0/inf_bezpecnost.pdf</ref> Nejznámějším a
nejrozšířenějším způsobem tohoto útoku je phishing.

===Problém [[digitální stopa|digitální stopy]]===

'''Vědomá stopa (zanechaná cílenou a vědomou činností):'''

*interakce na [[Sociální síť|sociálních sítích]]
*přispívání do diskusních fór
*vkládáním fotografií do fotobank
*mailová komunikace apod.

'''Nevědomá stopa (ukládá se bez zásahu uživatele):'''

*[[IP adresa]]
*vyhledávané výrazy na internetu
*údaje o stráveném času a činnosti na určité [[Webová stránka|webové stránce]] (cookies)
*poskytovatel připojení, lokace apod. <ref>Digitální podpis. Internetem bezpečně [online]. [cit. 2022-02-28]. Dostupné z: https://www.internetembezpecne.cz/internetem-bezpecne/dobre-vedet/digitalni-stopa/</ref>

====Možnosti zneužití====

*krádež osobních informací (údaje z kreditních karet, rodné číslo, e-mailová adresa);
*[[kyberšikana]] - druh šikany, který k útokům využívá [[Informační a komunikační technologie|informační komunikační technologie]];
*[[Cyberstalking|kyberstalking]] - zneužívání informačních a komunikačních technologií ke stalkingu; <ref name="vite co"> Víte co je kyberšikana, kybergrooming, sexting, kyberstalking, happy slapping, phishing, pharming?, c2008. In: Remix [online]. 2011 [cit. 2022-03-02]. Dostupné z: http://remix.nicm.cz/vite-co-je-kybersikana-kybergrooming-sexting-kyberstalking-happy-slapping-phishing-pharming/</ref>
*zdroj informací pro personalisty - z volně dostupných informací na sociálních sítích mohou zaměstnavatelé získat velké množství informacích o stávajících i o budoucích zaměstnancích;
*sledování návyků uživatelů - ve většině případů je realizováno navštívenou webovou stránkou, nebo tzv. třetími stranami reprezentovanými sběrateli dat a [[Reklama|reklamními]] společnostmi.

==Popište, co je autorizace, autentizace a nepopiratelnost==
===Autentizace===
Autentizace (authentication) je dle definice TDKIV lidský nebo strojový proces ověřování [[Identita|identity]] uživatele, [[Počítač|počítače]] nebo informačního objektu, který spočívá v kontrole pravosti a platnosti identifikace, tj. ověření, že daný subjekt je skutečně tím, za koho se vydává (např. kontrola údajů, které zadává uživatel při přihlašování se do informačního systému nebo do sítě). <ref>SKLENÁK, Vilém, CELBOVÁ, Ludmila. Autentizace. In: KTD: Česká terminologická databáze knihovnictví a informační vědy (TDKIV) [online]. Praha : Národní knihovna ČR, 2003- [cit. 2022-02-24]. Dostupné z: https://aleph.nkp.cz/F/?func=direct&doc_number=000000519&local_base=KTD.</ref>

'''Základní metody autentizace:'''

*podle toho, co uživatel zná (správná kombinace uživatelského označení a hesla, PIN)
*podle toho, co uživatel má (nějaký technický prostředek, který uživatel vlastní - hardwarový klíč, čipová karta či smart card)
*podle toho, co uživatel je (biometrické vlastnosti, které lze prověřit - otisk prstu, snímek oční duhovky či sítnice)
*podle toho, co uživatel umí (umí správně odpovědět na náhodně vygenerovaný kontrolní dotaz - např. dokazuje, že není robot)

'''Příklady:'''

*<u>[https://ldap.com/ LDAP] (Lighweight Directory Access Protocol - protokol pro ukládání a přístupu k datům na adresářovém serveru)</u>: označuje protokol na úrovni aplikace, který umožňuje přístup k objednané a distribuované adresářové službě k vyhledávání různých informací v síťovém prostředí. LDAP je také považován za [[Databáze|databázi]] (i když se její úložný systém může lišit), na kterou lze dotazovat. LDAP poskytuje klientům mechanismus k autentizaci nebo potvrzení jejich identity adresářové službě, aby bylo zaručeno řízení přístupu k ochraně informací, které server obsahuje. <ref>LDAP: Úvod. ZLinuxu [online]. [cit. 2022-02-24]. Dostupné z: https://blog.desdelinux.net/cs/ldap-introduccion/</ref>
*<u>[https://www.shibboleth.net/ Shibboleth]</u>: volně dostupný [[Open source|open-source]] [[middleware]] pro jednotné přihlášení na web k aplikacím jedné nebo více [[Organizace|organizací]]. Je projektem konzorcia Internet2 a umožňuje získávat informace o úspěšné autentizaci počítačového uživatele a poskytovat o něm údaje, které mohou být využity i pro jeho autorizaci. Shibboleth používají akademické i komerční organizace.
*<u>[https://www.mojeid.cz/cs/ MojeID]</u>: zvyšuje bezpečnost přihlašování k různým službám na internetu. Umožňuje přihlašování pomocí jednoho uživatelského jména a hesla k celé řadě internetových služeb, kde je podporován. Není tak potřeba si pamatovat desítky přihlašovacích jmen a hesel na nejrůznější [[Webová stránka|webové stránky]]. Pomáhá efektivně udržovat osobní a kontaktní údaje. <ref>MojeID. active24 [online]. [cit. 2022-02-24]. Dostupné z: https://faq.active24.com/cz/747726-MojeID?l=cs</ref>
*<u>[https://ldapuser.cuni.cz// Centrální autentizační služba UK (CAS)]</u>: zajišťuje přihlašování uživatelů v univerzitních a fakultních informačních systémech i počítačových sítích pro [[Univerzita Karlova|Univerzitu Karlovu]]. Je zakládán především studentům, zaměstnancům a externím spolupracovníkům fakult a dalších součástí univerzity.

===Autorizace===
Autorizace (authorization) je dle definice TDKIV přidělování práv, která uživateli umožňují v informačním systému provádět definované operace, např. přistupovat k určitým systémovým zdrojům. <ref>TKAČÍKOVÁ, Daniela. Autorizace. In: KTD: Česká terminologická databáze knihovnictví a informační vědy (TDKIV) [online]. Praha : Národní knihovna ČR, 2003- [cit. 2022-02-24]. Dostupné z: https://aleph.nkp.cz/F/?func=direct&doc_number=000000520&local_base=KTD.</ref> Autorizace tedy znamená oprávnění pro určitou činnost (co daná osoba může). Je důležité zde zmínit, že autentizace je základním předpokladem autorizace. To znamená, že v prvé řadě nás musí systém rozeznat od ostatních subjektů, a pak nám přidělí určitá práva. (tedy oprávnění pro určitou činnost). <ref>KNOPOVÁ, Martina. Bezpečnost dat v informačních systémech. Ikaros [online]. 2011, ročník 15, číslo 6 [cit. 2022-02-26]. urn:nbn:cz:ik-13714. ISSN 1212-5075. Dostupné z: http://ikaros.cz/node/13714</ref> V návaznosti na zvolenou bezpečnostní strategii bývají oprávnění na provedení těchto akcí rozdělena mezi více subjektů – nejčastěji mezi administrátory, bezpečnostní správce a běžné uživatele. <ref>Autentizace a autorizace. Trisul [online]. [cit. 2022-02-26]. Dostupné z: http://www.trisul.cz/bezpecnost-autentizace-autorizace/</ref>

===Nepopiratelnost===
Nepopiratelnost je vyloučení možnosti popřít dřívější provedení nějaké operace (např. o vytvoření zprávy, odeslání, podání, přenosu, příjmu).

U elektronického podpisu nepopiratelnost znamená, že autor nemůže tvrdit, že elektronický podpis příslušný k dokumentu nevytvořil. Důvodem je fakt, že pro vytvoření elektronického podpisu je potřeba privátní klíč, který je těsně svázán s veřejným klíčem, pomocí kterého dochází k matematickému ověření elektronického podpisu. Bez přístupu k privátnímu klíči nelze elektronický podpis vytvořit a ověření elektronického podpisu může být provedeno jen veřejným klíčem, který k němu patří. <ref>Certifikáty, elektronické podpisy ... České vysoké učení technické v Praze [online] [cit. 2022-02-26]. Dostupné z: https://ist.cvut.cz/bezpecne-it/certifikaty-elektronicke-podpisy/</ref>

==Odkazy==

===Reference===
<references />

===Doporučená literatura===

*HUB, Miloslav. Bezpečnost a ochrana informací v prostředí internetu. Vyd. 1. Pardubice: Univerzita Pardubice, 2013. 89 s. ISBN 978-80-7395-701-8.
*SMEJKAL, Vladimír, SOKOL, Tomáš a KODL, Jindřich. Bezpečnost informačních systémů podle zákona o kybernetické bezpečnosti. Plzeň: Vydavatelství a nakladatelství Aleš Čeněk, s.r.o., 2019. 378 stran. ISBN 978-80-7380-765-8.
*ECKERTOVÁ, Lenka a DOČEKAL, Daniel. Bezpečnost dětí na internetu: rádce zodpovědného rodiče. 1. vyd. Brno: Computer Press, 2013. 224 s. ISBN 978-80-251-3804-5.
*HALBICH, Čestmír a BRECHLEROVÁ, Dagmar. Bezpečnost informačních systémů: vybrané kapitoly. Vyd. 1. V Praze: Česká zemědělská univerzita, Provozně ekonomická fakulta ve vydavatelství Credit, 2003. 100 s. ISBN 80-213-1090-1.
*HANÁČEK, Petr a STAUDEK, Jan. Bezpečnost informačních systémů: metodická příručka zabezpečování produktů a systémů budovaných na bázi informačních technologií. 1. vyd. Praha: Úřad pro státní informační systém, 2000. 127 s. ISBN 80-238-5400-3.

===Související články===

*[[Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika]]
*[[Co je to infomační bezpečnost? Popište problematiku a z technického i sociologického hlediska]]
*[[Autentizace a Autorizace]]
*[[Vysvětlete pojmy autentizace a autorizace. Uveďte je na příkladu Studijního informačního systému Univerzity Karlovy. Popište důsledky, které by mělo příliš volné nastavení oprávnění v SIS]]
*[[Informace]]
*[[Symetrická kryptografie]]
*[[Asymetrická kryptografie]]
*[[Moderní použití kryptologie]]
*[[Šifrování s veřejným klíčem (metoda RSA)]]
*[[Symetrická kryptografie]]

===Klíčová slova===
informace, informační bezpečnost, autorizace, autentizace, nepopiratelnost
[[Kategorie: Informační studia a knihovnictví]]
[[Kategorie: Státnicové otázky UISK]]