Informační bezpečnost. Vymezte, čemu se věnuje oblast tzv. informační bezpečnosti a uveďte její základní podoblasti. Popište, co je autorizace, autentizace a nepopiratelnost a v čem spočívá jejich důležitost pro informační bezpečnost

Informační bezpečnost

Informační bezpečnost (Information security) představuje ochranu informací ve všech jejich formách a po celém jejich životním cyklu - tedy během jejich vzniku, zpracování, ukládání, přenosu a likvidace. Předmětem ochrany jsou informace bez ohledu na to, zda jsou uloženy v informačním systému, vytištěny na papíře nebo existují pouze v něčí mysli. Informační bezpečnost je komplex opatření, který zahrnuje proces navrhování, schvalování a implementaci softwarových, hardwarových, technických, personálních ochranných opatření spojených s minimalizací možných ztrát, vzniklých v důsledku poškození, zničení nebo zneužití informačních systémů. Dle definice TDKIV je informační bezpečnost ochrana počítačového systému a dat před poškozením a ztrátou informací.

Důležité součásti informační bezpečnosti:

• Důvěryhodnost (confidentiality): vlastnost, která zajišťuje, že informace jsou dostupné pouze oprávněným (autorizovaným) entitám (jednotlivcům, procesům) a naopak nedostupné neoprávněným entitám. Důvěrnost může zajistit například šifrovací mechanismus či autorizovaný přístup k datům.
• Integrita (integrity): vlastnost, která zajišťuje úplnost, přesnost a platnost informací. Je to záruka toho, že informace se nezměnily. Lze ji zajistit například kontrolním součtem nebo hešovací funkcí.
• Dostupnost (availability): vlastnost, která umožňuje oprávněné entitě přístup k informacím a zajištuje jejich použitelnost v okamžiku, kdy jsou požadovány.

Technologické hledisko

Kryptografie

Kryptografie (Cryptography) je dle definice TDKIV nauka o tvorbě šifer. Kromě šifrovacích algoritmů studuje také kryptografické nástroje, jako jsou generátory náhodných čísel, digitální podpisy apod. Někdy je pojem "kryptologie" obecněji používán pro vědu o čemkoli spojeném se šiframi jako alternativa k pojmu kryptologie. Kryptologie zahrnuje kryptografii a kryptoanalýzu, neboli luštění zašifrovaných zpráv.

Cíle kryptografie

• zabezpečit komunikaci citlivých dat mezi uživatelem a internetovou službou;
• zajistit důvěryhodnost komunikace mezi uživateli (např. email);
• autorizace závažných úkolů (ebanking, el. obchody atd.);
• omezit přístup k určitým službám jen pro určené jedince (např. zabezpečená wi-fi).

Symetrická šifra

Kryptografie může být:

• Asymetrická kryptografie: Asymetrické šifrování používá pro zašifrování zprávy dva klíče. Jeden veřejný klíč pro zašifrování zprávy a druhý pro soukromý klíč na dešifrování zprávy. Soukromý klíč je tajný, a proto musí být pečlivě střežen a chráněn. Výhodou je, že není potřeba posílat soukromý klíč, což zamezuje vyzrazení. Nevýhodou je, že je až 1000x pomalejší než symetrická kryptografie.
• Symetrická kryptografie: symetrické šifry (neboli šifry tajného klíče) fungují na jednodušším principu než kryptografie asymetrická. Odesilatel i příjemce zprávy mají ten stejný klíč k zašifrování i rozšifrování zprávy. Mezi výhody symetrické šifry patří to, že je jednodušší na výpočetní výkon (symetrická šifra je vytvořena velice rychle). Její nevýhodou je však nutnost předání soukromého klíče druhé straně.

Asymetrická kryptografie

Hash

Hašovací funkce se začaly objevovat v polovině padesátých let (na poli výpočetní techniky se využívají později). Lze říct, že je to funkce, která vytváří z libovolně dlouhé zprávy (souboru) digitální otisk (hash) s pevně definovanou délkou (128, 160, 256 bitů). Hašovací funkce je výpočetně efektivní funkce, která transformuje posloupnosti binárních symbolů libovolné délky na binární posloupnosti určité konstantní délky, nazývané hash (hodnota, otisk). Příkladem využití hašovací funkce je uložení hesla do systému pro možnost následné autentizace pomocí tohoto hesla (samotné tajné heslo nemusí být nikde ukládáno).

Hašovací funkce musí vyhovovat následujícím požadavkům:

• musí být jednosměrná, tedy nesmí být možné z hodnoty hash odvodit původní zprávu,
• musí být nekolizní, není tedy možné odvodit dvě různé výchozí zprávy pro tutéž hodnotu hash.

Hash table 4 1 1 0 0 1 0 LL

Digitální podpis

Elektronický podpis má následující vlastnosti:

• Je spojen s jedním konkrétním elektronickým dokumentem (tj. potvrzuje pravost a autenticitu tohoto dokumentu) a nemůže být použit pro podepsání jiného dokumentu.
• Může být vytvořen pouze tím, kdo zná jisté tajemství – soukromý klíč.
• Je nemožné vytvořit jiný dokument, sebeméně odlišný od původního dokumentu, pro který by byl původní elektronický podpis stále platný.
• Jakmile je jednou elektronický podpis v dokumentu vytvořen, kdokoli si může ověřit pravost tohoto podpisu.

Digital Signature diagram

Sociologické hledisko

Útoky s využitím sociálního inženýrství

V rámci útoků s využitím sociálního inženýrství se útočníci snaží působením na psychiku manipulovat uživatelem tak, aby žádané informace sám prozradil. Jedná se o "podvod", jehož cílem je přesvědčit uživatele, aby udělal něco, co ho poškodí. Působí přitom na psychiku pomocí zvědavosti, strachu o peníze, obecného strachu či soucitu. Tomuto útoku nelze zabránit technickými prostředky, nejlepší ochranou je zdravý rozum a důsledné ověřování. Nejznámějším a nejrozšířenějším způsobem tohoto útoku je phishing.

Problém digitální stopy

Vědomá stopa (zanechaná cílenou a vědomou činností):

• interakce na sociálních sítích
• přispívání do diskusních fór
• vkládáním fotografií do fotobank
• mailová komunikace apod.

Nevědomá stopa (ukládá se bez zásahu uživatele):

• IP adresa
• vyhledávané výrazy na internetu
• údaje o stráveném času a činnosti na určité webové stránce (cookies)
• poskytovatel připojení, lokace apod.

Možnosti zneužití

• krádež osobních informací (údaje z kreditních karet, rodné číslo, e-mailová adresa);
• kyberšikana - druh šikany, který k útokům využívá informační komunikační technologie;
• kyberstalking - zneužívání informačních a komunikačních technologií ke stalkingu;
• zdroj informací pro personalisty - z volně dostupných informací na sociálních sítích mohou zaměstnavatelé získat velké množství informacích o stávajících i o budoucích zaměstnancích;
• sledování návyků uživatelů - ve většině případů je realizováno navštívenou webovou stránkou, nebo tzv. třetími stranami reprezentovanými sběrateli dat a reklamními společnostmi.

Popište, co je autorizace, autentizace a nepopiratelnost

Autentizace

Autentizace (authentication) je dle definice TDKIV lidský nebo strojový proces ověřování identity uživatele, počítače nebo informačního objektu, který spočívá v kontrole pravosti a platnosti identifikace, tj. ověření, že daný subjekt je skutečně tím, za koho se vydává (např. kontrola údajů, které zadává uživatel při přihlašování se do informačního systému nebo do sítě).

Základní metody autentizace:

• podle toho, co uživatel zná (správná kombinace uživatelského označení a hesla, PIN)
• podle toho, co uživatel má (nějaký technický prostředek, který uživatel vlastní - hardwarový klíč, čipová karta či smart card)
• podle toho, co uživatel je (biometrické vlastnosti, které lze prověřit - otisk prstu, snímek oční duhovky či sítnice)
• podle toho, co uživatel umí (umí správně odpovědět na náhodně vygenerovaný kontrolní dotaz - např. dokazuje, že není robot)

Příklady:

• LDAP (Lighweight Directory Access Protocol - protokol pro ukládání a přístupu k datům na adresářovém serveru): označuje protokol na úrovni aplikace, který umožňuje přístup k objednané a distribuované adresářové službě k vyhledávání různých informací v síťovém prostředí. LDAP je také považován za databázi (i když se její úložný systém může lišit), na kterou lze dotazovat. LDAP poskytuje klientům mechanismus k autentizaci nebo potvrzení jejich identity adresářové službě, aby bylo zaručeno řízení přístupu k ochraně informací, které server obsahuje.
• Shibboleth: volně dostupný open-source middleware pro jednotné přihlášení na web k aplikacím jedné nebo více organizací. Je projektem konzorcia Internet2 a umožňuje získávat informace o úspěšné autentizaci počítačového uživatele a poskytovat o něm údaje, které mohou být využity i pro jeho autorizaci. Shibboleth používají akademické i komerční organizace.
• MojeID: zvyšuje bezpečnost přihlašování k různým službám na internetu. Umožňuje přihlašování pomocí jednoho uživatelského jména a hesla k celé řadě internetových služeb, kde je podporován. Není tak potřeba si pamatovat desítky přihlašovacích jmen a hesel na nejrůznější webové stránky. Pomáhá efektivně udržovat osobní a kontaktní údaje.
• Centrální autentizační služba UK (CAS): zajišťuje přihlašování uživatelů v univerzitních a fakultních informačních systémech i počítačových sítích pro Univerzitu Karlovu. Je zakládán především studentům, zaměstnancům a externím spolupracovníkům fakult a dalších součástí univerzity.

Autorizace

Autorizace (authorization) je dle definice TDKIV přidělování práv, která uživateli umožňují v informačním systému provádět definované operace, např. přistupovat k určitým systémovým zdrojům. Autorizace tedy znamená oprávnění pro určitou činnost (co daná osoba může). Je důležité zde zmínit, že autentizace je základním předpokladem autorizace. To znamená, že v prvé řadě nás musí systém rozeznat od ostatních subjektů, a pak nám přidělí určitá práva. (tedy oprávnění pro určitou činnost). V návaznosti na zvolenou bezpečnostní strategii bývají oprávnění na provedení těchto akcí rozdělena mezi více subjektů – nejčastěji mezi administrátory, bezpečnostní správce a běžné uživatele.

Nepopiratelnost

Nepopiratelnost je vyloučení možnosti popřít dřívější provedení nějaké operace (např. o vytvoření zprávy, odeslání, podání, přenosu, příjmu).

U elektronického podpisu nepopiratelnost znamená, že autor nemůže tvrdit, že elektronický podpis příslušný k dokumentu nevytvořil. Důvodem je fakt, že pro vytvoření elektronického podpisu je potřeba privátní klíč, který je těsně svázán s veřejným klíčem, pomocí kterého dochází k matematickému ověření elektronického podpisu. Bez přístupu k privátnímu klíči nelze elektronický podpis vytvořit a ověření elektronického podpisu může být provedeno jen veřejným klíčem, který k němu patří.

Odkazy

Doporučená literatura

• HUB, Miloslav. Bezpečnost a ochrana informací v prostředí internetu. Vyd. 1. Pardubice: Univerzita Pardubice, 2013. 89 s. ISBN 978-80-7395-701-8.
• SMEJKAL, Vladimír, SOKOL, Tomáš a KODL, Jindřich. Bezpečnost informačních systémů podle zákona o kybernetické bezpečnosti. Plzeň: Vydavatelství a nakladatelství Aleš Čeněk, s.r.o., 2019. 378 stran. ISBN 978-80-7380-765-8.
• ECKERTOVÁ, Lenka a DOČEKAL, Daniel. Bezpečnost dětí na internetu: rádce zodpovědného rodiče. 1. vyd. Brno: Computer Press, 2013. 224 s. ISBN 978-80-251-3804-5.
• HALBICH, Čestmír a BRECHLEROVÁ, Dagmar. Bezpečnost informačních systémů: vybrané kapitoly. Vyd. 1. V Praze: Česká zemědělská univerzita, Provozně ekonomická fakulta ve vydavatelství Credit, 2003. 100 s. ISBN 80-213-1090-1.
• HANÁČEK, Petr a STAUDEK, Jan. Bezpečnost informačních systémů: metodická příručka zabezpečování produktů a systémů budovaných na bázi informačních technologií. 1. vyd. Praha: Úřad pro státní informační systém, 2000. 127 s. ISBN 80-238-5400-3.

Související články

• Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika
• Co je to infomační bezpečnost? Popište problematiku a z technického i sociologického hlediska
• Autentizace a Autorizace
• Vysvětlete pojmy autentizace a autorizace. Uveďte je na příkladu Studijního informačního systému Univerzity Karlovy. Popište důsledky, které by mělo příliš volné nastavení oprávnění v SIS
• Informace
• Symetrická kryptografie
• Asymetrická kryptografie
• Moderní použití kryptologie
• Šifrování s veřejným klíčem (metoda RSA)
• Symetrická kryptografie

Klíčová slova

informace, informační bezpečnost, autorizace, autentizace, nepopiratelnost