Vysvětlete pojmy autentizace a autorizace. Uveďte je na příkladu Studijního informačního systému Univerzity Karlovy. Popište důsledky, které by mělo příliš volné nastavení oprávnění v SIS: Porovnání verzí

 
(Není zobrazeno 37 mezilehlých verzí od stejného uživatele.)
Řádek 1: Řádek 1:
{{Pracuje se}}
+
Společnost založená na znalostech, která využívá moderní [[Informační technologie|informační technologie]] v každodenním životě, je a bude stále více ohrožena úmyslným či neúmyslným zneužitím těchto technologií. Proto je potřeba data chránit. Pod pojmem bezpečnost rozumíme obvykle ochranu odpovídajících informačních systémů a informací, které jsou v nich uchovávány, zpracovány a přenášeny. Většina informačních systémů využívá přístup pro uchovávání a přístup k datům. Zabezpečení dat je množina pravidel a mechanismů pro zajištění důvěrnosti, integrity a dostupnosti dat, která je spojena se snahou bránit data zvenčí.<br />
 +
Zabezpečení dat se skládá ze tří úrovní:
 +
*fyzické (úroveň hardwaru, zálohování dat)
 +
*logické (softwarové metody pro autentizace, autorizaci)
 +
*organizační (doplňková snaha o ochranu systému)<ref name=":ikaros">KNOPOVÁ, Martina. Bezpečnost dat v informačních systémech. Ikaros [online]. 2011, 15 (6) [cit. 2019-12-12]. Dostupné z: http://ikaros.cz/bezpecnost-dat-v-informacnich-systemech</ref>
 +
 
 
==Autentizace==
 
==Autentizace==
Autentizace čili ověření je pojem z oblasti řízení bezpečnosti a znamená ověření identity nějakého subjektu (člověka, osoby, systému). Tedy zjištění zdali je daný subjekt ten, za který se vydává.
+
Autentizace, čili ověření, je pojem z oblasti řízení bezpečnosti a znamená ověření identity nějakého subjektu (člověka, osoby, systému). Tedy zjištění, zdali je daný subjekt ten, za který se vydává.<br />
Metody autentizace jsou založeny na prokázání identity subjektu, existují zhruba tři základní způsoby autentizace:
+
Metody autentizace jsou založeny na prokázání identity subjektu. Existují zhruba tři základní způsoby autentizace:
 
*Autentizace dle toho, co subjekt má (například identifikační karta,identifikační dokument, platební karta, klíč)  
 
*Autentizace dle toho, co subjekt má (například identifikační karta,identifikační dokument, platební karta, klíč)  
 
*Autentizace dle toho, co subjekt zná (například PIN, heslo, přístupová fráze)
 
*Autentizace dle toho, co subjekt zná (například PIN, heslo, přístupová fráze)
*Autentizace dle toho, čím subjekt je (například různé biometrické údaje, jako otisk prstu)
+
*Autentizace dle toho, čím subjekt je (například různé [[Biometrické údaje|biometrické údaje]], jako otisk prstu)
 
Každá z metod autentizace má v konkrétním užití své výhody a nevýhody, často se metody v praxi kombinují.
 
Každá z metod autentizace má v konkrétním užití své výhody a nevýhody, často se metody v praxi kombinují.
  
K čemu autentizace je a jak funguje v praxi?<br />
+
===K čemu autentizace je a jak funguje v praxi===
Autentizace patří mezi bezpečnostní opatření a zajišťuje ochranu před [[Falešná identita|falešnou identitou]]. Používá ve všech podnikových procesech, které vyžadují ověření identity člověka, konkrétního software, datové zprávy nebo jiného subjektu, tedy při přihlašování na různé internetové stránky, služby, sociální sítě a při přihlašování do podnikových aplikací. Bezprostředně po autentizaci musí proběhnout také autorizace (tedy na co má přihlašovaný subjekt oprávnění - co může a co nesmí).
+
Autentizace patří mezi bezpečnostní opatření a zajišťuje ochranu před [[Falešná identita|falešnou identitou]]. Používá se ve všech podnikových procesech, které vyžadují ověření identity člověka, konkrétního software, datové zprávy nebo jiného subjektu. Tedy při přihlašování na různé internetové stránky, služby, sociální sítě a při přihlašování do podnikových aplikací. Bezprostředně po autentizaci musí proběhnout také autorizace (na co má přihlašovaný subjekt oprávnění - co může a co nesmí).
  
====Podle míry důvěry, které chceme docílit se volí kombinace více faktorů autentizace:====
+
===Podle míry důvěry, které chceme docílit se volí kombinace více faktorů autentizace:===
#'''Jednofaktorová autentizace:''' znamená, že k ověření dojde pouze pomocí něčeho, co uživatel zná (typicky uživatelské jméno a heslo)  
+
==== Jednofaktorová autentizace ====  
 +
Tento typ autentizace znamená, že k ověření dojde pouze pomocí něčeho, co uživatel zná (typicky uživatelské jméno a heslo).<br /> 
 
Příklady autentizace:
 
Příklady autentizace:
*autentizace pomocí znalosti (např. PIN, heslo);
+
*autentizace pomocí znalosti (např. PIN, heslo)
*autentizace pomocí předmětu (např. klíč, karta, dokument);
+
*autentizace pomocí předmětu (např. klíč, karta, dokument)
*autentizace pomocí samotného uživatele (např. otisk prstu);
+
*autentizace pomocí samotného uživatele (např. otisk prstu)
#'''Dvoufaktorová autentizace:''' znamená, že k ověření dojde ještě navíc pomocí něčeho, co uživatel má (typicky osobní zařízení, jako je mobilní telefon a SMS nebo token a PIN). K prokázání identity je třeba ověření dvou na sobě nezávislých věcí. Např. zadání hesla + otisk prstu. Často se používá zadání přístupových údajů + vložení autorizačního kódu zaslaného SMS.
+
 
#'''Třífaktorová autentizace:''' tato autentizace navíc ověřuje ještě něco, co je spojeno s člověkem pomocí třetí nezávislé věci (typicky biometrické prvky)
+
==== Dvoufaktorová autentizace ====
Čím vyšší bezpečnost služby vyžadují, tím je nutné použít silnější autentizaci.
+
V rámci tohoto typu jde o to, že k ověření dojde ještě navíc pomocí něčeho, co uživatel má (typicky osobní zařízení, jako je mobilní telefon a SMS nebo token a PIN). K prokázání identity je třeba ověření dvou na sobě nezávislých věcí. Např. zadání hesla + otisk prstu. Často se používá zadání přístupových údajů + vložení autorizačního kódu zaslaného SMS.
 +
 
 +
==== Třífaktorová autentizace ====
 +
Tato autentizace navíc ověřuje ještě něco, co je spojeno s člověkem pomocí třetí nezávislé věci (typicky biometrické prvky). Čím vyšší bezpečnost služby vyžadují, tím je nutné použít silnější autentizaci.<ref name=":autentizace">Autentizace, ověření, identifikace. Sociální sít pro business [online]. 2018 [cit. 2019-12-12]. Dostupné z: https://managementmania.com/cs/autentizace-identifikace</ref>
  
 
Samotná autentizace uživatele může proběhnout několika různými způsoby, neboť může být založena na tom, že uživatel:  
 
Samotná autentizace uživatele může proběhnout několika různými způsoby, neboť může být založena na tom, že uživatel:  
Řádek 25: Řádek 34:
 
*'''něco má:''' tento typ autentizace bývá založen na vlastnictví nějakého předmětu (USB token, smart card, kalkulátor). Autentizace obvykle probíhá tak, že uživatel je systémem vyzván k použití předmětu.
 
*'''něco má:''' tento typ autentizace bývá založen na vlastnictví nějakého předmětu (USB token, smart card, kalkulátor). Autentizace obvykle probíhá tak, že uživatel je systémem vyzván k použití předmětu.
 
*'''něco je:''' tento typ autentizace je založen na ověření biometrických charakteristik (otisk prstu, snímek duhovky). Autentizace obvykle probíhá tak, že uživatel je systémem vyzván, aby přiložil např. prst ke snímači.
 
*'''něco je:''' tento typ autentizace je založen na ověření biometrických charakteristik (otisk prstu, snímek duhovky). Autentizace obvykle probíhá tak, že uživatel je systémem vyzván, aby přiložil např. prst ke snímači.
 +
*'''něco jsem:''' tento typ autentizace uživatele ověřuje na základě jeho biometrických charakteristik. Tato metoda se postupem času bude čím dál tím více prosazovat, ale výrazně pomaleji, než by si jejich výrobci přáli. A to především z důvodu stále panující nedůvěry v jejich spolehlivost.<ref name=":ČERMÁK">ČERMÁK, Miroslav. Autentizace. CleverAndSmart Management Consulting [online]. 2009 [cit. 2019-12-03]. Dostupné z: https://www.cleverandsmart.cz/autentizace/</ref>
  
Uživatelé bude i nadále používat pro autentizaci do většiny systémů klasické heslo, nicméně stále více organizací, vědomo si hodnoty svých dat, bude zavádět dvoufaktorovou autentizaci.
+
==== Vícefaktorová autentizace ====
 +
Jedná se o metodu ochrany přístupu k prostředku (například webu či informačnímu systému), která je založená na kombinaci zabezpečení ve třech oblastech:
 +
*'''znalost:''' něco, co uživatel zná nebo je mu sděleno
 +
*'''vlastnictví:''' něco, co má uživatel ve svém držení
 +
*'''biometrie:''' něco, co představuje uživatele samotného - čím uživatel sám je
  
Důvodů, proč tomu tak bude, je několik. Jednak se potvrdilo, že velké firmy představují pro útočníky atraktivní cíl, a přes všechna ujištění je možné jejich systémy kompromitovat a to má pak dopad na všechny společnosti, které jejich autentizační řešení používají.
+
Mluvíme o ní v případech, kde je třeba zajistit ověření identity přistupující k informačnímu systému více způsoby. Větší bezpečnosti lze zde dosáhnout diverzifikací zabezpečení nejen co do počtu, ale i co do různých faktorů. Pokud útočník například získá přístup k něčemu, co uživatel zná (hesla uložená na počítači), není zabezpečení heslem a PINem tak bezpečné, jako například heslem a HW tokenem. Vícefaktorová autentizace dokáže dobře chránit uživatelskou identitu, díky čemuž je dobře zakořeněná v korporátní sféře podnikových aplikací. Nyní se jí dostává pomalu, ale jistě široké podpory i mezi  [[Poskytovatel online služeb|poskytovateli online služeb]], čímž se dostává i do povědomí uživatelů. Toto rozšíření s sebou však nese nejen početnou fragmentaci autentizačních řešení, ale i nevyvážené zabezpečení různých služeb, které uživatelé používají. To s sebou nese rizika, která představují nejen [[Hacker|hackeři]], ale i uživatelé sami sobě.<ref name=":gašparík">GAŠPARÍK, Petr, Vícefaktorová autentizace. AMI Praha - Softwarová řešení chytře a efektivně [online]. [cit. 2019-12-12]. Dostupné z: https://www.ami.cz/publikujeme/blog/vicefaktorova-autentizace</ref>
  
Další autentizační metody z kategorie „něco jsem“, které ověřují uživatele na základě jeho biometrických charakteristik, se budou postupně též prosazovat, ale výrazně pomaleji, než by si jejich výrobci přáli, především z důvodu stále panující nedůvěry v jejich spolehlivost. Častěji než dříve se budeme moci setkat s technologií rozpoznávání hlasu (při volání do banky), tváře (při přihlašování do počítače, telefonu atd.) a způsobu psaní na klávesnici, neboť tyto technologie na rozdíl třeba od snímače otisku prstů nevyžadují instalaci žádného speciálního HW.
+
==Autorizace==
Tyto autentizační metody budou zároveň představovat i marketingový nástroj a zavádět je budou především ty firmy, které budou chtít touto cestou oslovit nové klienty, především mladou generaci, která netrpí předsudky a má stejně jako oni odvahu něco nového vyzkoušet.
+
Autorizace znamená "oprávnění" subjektu vykonat určitou činnost.  
  
Vícefaktorová autentizace je metoda ochrany přístupu k prostředku (například webu či informačnímu systému), založená na kombinaci zabezpečení ve třech oblastech (takzvaných "faktory"):
+
'''Je to proces, který zahrnuje:'''
*Znalost - něco, co uživatel zná nebo je mu sděleno
+
*získávání souhlasu s provedením nějaké operace
*Vlastnictví - něco, co má uživatel ve svém držení
+
*povolení přístupu někam, k někomu nebo něčemu (nejen ve smyslu přístupu do konkrétních prostor nebo k nějaké osobě)
*Biometrie - něco, co představuje uživatele samotného - čím uživatel sám je
+
*přístup k informacím, funkcím, programovým objektům atd.
  
O mluvíme o ní v případech, kde je třeba zajistit ověření identity přistupující k informačnímu systému více způsoby.
+
Autorizace znamená povolení k nějakému úkonu nebo operaci. Pojem se používá jak pro samotné povolení tak pro proces zjištění, zdali daný subjekt může danou činnost či operaci provést (má k tomu pravomoc , povolení či svolení). V procesu kontroly oprávnění obvykle navazuje na ověření identity, tedy autentizaci. Někdy lze využít stejné technické prostředky (například identifikační vstupní karta nese informaci o identitě i o oprávnění přístupu).
Větší bezpečnosti je zde dosáhnuto diverzifikací zabezpečení nejen co do počtu, ale i co do různých faktorů. Pokud útočník například získá přístup k něčemu, co uživatel zná (hesla uložená na počítači), není zabezpečení heslem a PINem tak bezpečné, jako například heslem a HW tokenem
 
  
Vícefaktorová autentizace dokáže dobře chránit uživatelskou identitu, díky čemuž je dobře zakořeněná v korporátní sféře podnikových aplikací. Nyní se jí dostává pomalu, ale jistě široké podpory i mezi poskytovateli online služeb, čímž se dostává i do povědomí uživatelů. Toto rozšíření s sebou však nese nejen početnou fragmentaci autentizačních řešení, ale i nevyvážené zabezpečení různých služeb, které uživatelé používají. To s sebou nese rizika, která představují nejen hackeři, ale i uživatelé sami sobě.
+
===Autorizace v praxi ===
 
+
Kontrola oprávnění je jedním z klíčových procesů v oblasti řízení bezpečnosti. Autorizace patří mezi bezpečnostní opatření a zajišťuje ochranu před neoprávněným přístupem. Používá se ve všech podnikových procesech, které vyžadují omezení přístupu lidem, k částem software, k datům, majetku atd. Oprávnění je také právní pojem pro vykonávání nějaké podnikatelské nebo jiné činnosti na území konkrétního státu. Výkon některých činností je státem regulovaný a podléhá nutnosti oprávnění. Rozsah oprávnění je obvykle vyjádřen v nějakém právně závazném dokumentu (například pracovní smlouva, licenční smlouva, NDA a další), který definuje rozsah pravomocí, povolení či svolení. Právní závaznost je obvykle vynucena nějakou sankcí za porušení rozsahu oprávnění. V informatice je autorizace nedílnou součástí řízení přístupových oprávnění (tzv. identity management) k datům, souborům, adresářům, operacím atd. V informatice je autorizace většinou automatizovaná (provádí ji operační systém nebo specializovaný software na základě seznamů pro řízení přístupu). Klíčový význam autorizačních procesů je v odvětvích, která zacházejí s citlivými daty, jako je například finanční sektor, platby na internetu a podobně.<ref name=":autorizace">Autorizace, oprávnění. Sociální sít pro business [online]. [cit. 2019-12-12]. Dostupné z: https://managementmania.com/cs/autentizace-identifikace</ref>
==Autorizace==
 
 
 
Autorizace pochází z anglického slova Authorization. Znamená Oprávnění (případně povolení) subjektu vykonat určitou činnost.
 
 
 
Autorizace je proces získávání souhlasu s provedením nějaké operace, povolení přístupu někam, k někomu nebo něčemu (nejen ve smyslu přístupu do konkrétních prostor nebo k nějaké osobě, ale také přístup k informacím, funkcím, programovým objektům a podobně).
 
Autorizace (oprávnění) znamená povolení k nějakému úkonu nebo operaci. Pojem se používá je pro samotné povolení tak pro proces zjištění, zdali daný subjekt může danou činnost či operaci provést (má k tomu pravomoc , povolení či svolení). V procesu kontroly oprávnění obvykle navazuje na ověření identity, tedy autentizaci. Někdy lze využít stejné technické prostředky (například identifikační vstupní karta nese informaci o identitě i o oprávnění přístupu).
 
K čemu je autorizace v praxi?
 
Kontrola oprávnění je jedním z klíčových procesů v oblasti řízení bezpečnosti. Autorizace patří mezi bezpečnostní opatření a zajišťuje ochranu před neoprávněným přístupem. Používá ve všech podnikových procesech, které vyžadují omezení přístupu k lidem, částem software, k datům či k majetku či jiným aktivům. Zásadní význam má proto v oblasti správy majetku a v oblasti informatiky - tedy v řízení oprávnění.
 
Oprávnění je také právní pojem pro vykonávání nějako podnikatelské nebo jiné činnosti na území konkrétního státu. Výkon některých činností je státem regulovaný a podléhá nutnosti mít oprávnění.
 
Rozsah oprávnění je obvykle vyjádřen v nějakém právně závazném dokumentu (například pracovní smlouva, licenční smlouva, NDA a další), který definuje rozsah pravomocí, povolení či svolení. Právní závaznost je obvykle vynucena nějakou sankcí za porušení rozsahu oprávnění.
 
V informatice je autorizace nedílnou součástí řízení přístupových oprávnění (tzv. identity management) k datům, souborům, adresářům, operacím atd. V informatice je autorizace většinou automatizovaná (provádí ji operační systém nebo specializovaný software na základě seznamů pro řízení přístupu).
 
Klíčový význam autorizačních procesů je v odvětvích, která zacházejí s citlivými daty, jako je například finanční sektor, platby na internetu a podobně.  
 
  
 
Autorizovaná osoba je osoba oprávněná nebo zmocněná vykonat určitou činnost a to na základě zmocnění, autorizace, kvalifikace nebo jiného druhu oprávnění.  
 
Autorizovaná osoba je osoba oprávněná nebo zmocněná vykonat určitou činnost a to na základě zmocnění, autorizace, kvalifikace nebo jiného druhu oprávnění.  
*Autorizovaný osoba může být konkrétní člověk, který má například oprávnění podepsat smlouvu nebo například oprávnění přistupovat k citlivým osobním datům
+
*Autorizovaná osoba může být konkrétní člověk, který má například oprávnění podepsat smlouvu nebo například oprávnění přistupovat k citlivým osobním datům
*Autorizovaná osoba může být také firma, která má například autorizaci od státu provádět nějakou státem regulovanou činnost - například měření emisí vozidel nebo autorizaci pro školení řidičů
+
*Autorizovaná osoba může být také firma, která má například autorizaci od státu provádět nějakou státem regulovanou činnost - například měření emisí vozidel nebo autorizaci pro školení řidičů<ref name=":autorizace">Autorizace, oprávnění. Sociální sít pro business [online]. [cit. 2019-12-12]. Dostupné z: https://managementmania.com/cs/autentizace-identifikace</ref>
  
Autorizace: je sada uživatelských oprávnění. Získání souhlasu s provedením nějaké operace v nějakém prostředí. Určení toho, zda je subjekt (uživatel nebo systém) důvěryhodný z hlediska jisté činnosti, např. čtení daného souboru.
+
Autorizace na základě seznamu oprávnění se používá například v informatice pro řízení přístupu k souborům, adresářům, operacím a přístupu k prostředkům v počítači. Provádí ji obvykle operační systém nebo specializovaný software na základě seznamů pro řízení přístupu. Je to proces ověření přístupových oprávnění uživatele vstupující do informačního systému. Tento proces ve většině případů navazuje na proces autentizace. Podstatou autorizace je ověřit, zda daný uživatel má oprávnění provést příslušnou akci, například vložení nového záznamu do seznamu dodavatelů apod. V návaznosti na zvolenou bezpečnostní strategii bývají oprávnění na provedení těchto akcí rozdělena mezi více subjektů – nejčastěji mezi administrátory, bezpečnostní správce a běžné uživatele. <ref name=":autorizace22">Autentizace a autorizace. Trisul [online]. [cit. 2019-12-12]. Dostupné z: http://www.trisul.cz/bezpecnost-autentizace-autorizace/</ref>
Autorizace na základě seznamu oprávnění se používá například v informatice pro řízení přístupu k souborům, adresářům, operacím a přístupu k prostředkům v počítači. Autorizaci provádí obvykle operační systém nebo specializovaný software na základě seznamů pro řízení přístupu.
 
  
Autorizací se rozumí proces ověření přístupových oprávnění uživatele vstupující do informačního systému. Tento proces ve většině případů navazuje na proces autentizace. Podstatou autorizace je ověřit, zda daný uživatel má oprávnění provést příslušnou akci, například vložení nového záznamu do seznamu dodavatelů apod.  
+
== Autentizace a autorizace ve vztahu k Studijnímu informačnímu systému Univerzity Karlovy ==
 +
'''Studijní informační systém Univerzity Karlovy:''' je centrálně provozovaný studijní informační systém pro všechny fakulty a další součásti Univerzity Karlovy. Studijní informační systém nabízí vyučujícím a studentům nejen možnost prohlížet vybraná data, ale i data kontrolovat, interaktivně je opravovat, doplňovat.
 
   
 
   
V návaznosti na zvolenou bezpečnostní strategii bývají oprávnění na provedení těchto akcí rozdělena mezi více subjektů – nejčastěji mezi administrátory, bezpečnostní správce a běžné uživatele.
+
'''Vyžaduje dva údaje:'''
 +
*login (osobní číslo uvedené pod fotografií na průkazu studenta nebo login ze systému CAS)
 +
*heslo (musí obsahovat alespoň 8 znaků, velká, malá písmena, číslice)
  
Pojem autorizace se též používá pro proces získání oprávnění nebo ověření autorizovanou osobou
+
Nejdříve mi musí být vytvořen účet, ten autorizován a následně se na něj mohu autentizovat.
 +
*'''Autentizace je zajišťována Centrální autentizační službou (CAS):''' slouží k ověření totožnosti pomocí přihlašovacího jména a hesla pro: aplikace Informačního systému UK, fakultní informační systémy a počítačové sítě, nastavení hesel v dalších systémech (eduroam), doménu JINONICE. Zjednodušuje uživatelům přihlašování k aplikacím tak, aby mohli používat stejné uživatelské jméno a heslo.
 +
*'''Autorizace je zajišťována samotným Studijním informačním systémem:''' zajišťuje, aby každému uživateli byly povoleny jen ty funkce, které mu přísluší.<br />
  
== Autentizace a autorizace ve vztahu k Studijnímu informačnímu systému Univerzity Karlovy ==
+
=== Důsledky špatné nastavení oprávnění===  
Autorizace je zajišťována samotným Studijním informačním systémem - zajišťuje, aby každému uživateli byly povoleny jen ty funkce, které mu přísluší.<br />
+
Uživatel by měl přístupné funkce, které pro něj nejsou určeny:  
'''Špatné nastavení oprávnění:''' uživatel by měl přístupné funkce, které pro něj nejsou určeny:  
 
 
*úprava známek,  
 
*úprava známek,  
 
*úprava rozvrhu,  
 
*úprava rozvrhu,  
 
*rozesílání hromadných emailů,  
 
*rozesílání hromadných emailů,  
*prohlížení osobních údajů.
+
*prohlížení osobních údajů.
 
 
Nejdříve mi musí být vytvořen účet, ten autorizován a následně se na něj mohu autentizovat.
 
Studijní informační systém UK: centrálně provozovaný studijní informační systém pro všechny fakulty a další součásti UK, vyžaduje dva údaje:
 
*login (osobní číslo uvedené pod fotografií na průkazu studenta nebo login ze systému CAS)
 
*heslo (musí obsahovat alespoň 8 znaků, velká, malá písmena, číslice)
 
 
 
Autentizace je zajišťována Centrální autentizační službou (CAS): slouží k ověření totožnosti pomocí přihlašovacího jména a hesla pro: aplikace Informačního systému UK, fakultní informační systémy a počítačové sítě, nastavení hesel v dalších systémech (eduroam), doménu JINONICE. Zjednodušuje uživatelům přihlašování k aplikacím tak, aby mohli používat stejné uživatelské jméno a heslo.
 
  
 
== Odkazy ==
 
== Odkazy ==
Řádek 91: Řádek 88:
 
[[Autentizace a Autorizace]]
 
[[Autentizace a Autorizace]]
 
<br />
 
<br />
[[Co je to informační bezpečnost? Popište problematiku a z technického i sociologického hlediska]]
+
[[Co je to infomační bezpečnost? Popište problematiku a z technického i sociologického hlediska]]
 +
<br />
 +
[[Algoritmy kryptologie]]
 +
<br />
 +
[[Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika]]
 +
 
 
=== Klíčová slova ===
 
=== Klíčová slova ===
 
autentizace, autorizace, studijní informační systém, oprávnění
 
autentizace, autorizace, studijní informační systém, oprávnění
 +
[[Kategorie:Státnicové otázky UISK]]

Aktuální verze z 13. 12. 2019, 11:18

Společnost založená na znalostech, která využívá moderní informační technologie v každodenním životě, je a bude stále více ohrožena úmyslným či neúmyslným zneužitím těchto technologií. Proto je potřeba data chránit. Pod pojmem bezpečnost rozumíme obvykle ochranu odpovídajících informačních systémů a informací, které jsou v nich uchovávány, zpracovány a přenášeny. Většina informačních systémů využívá přístup pro uchovávání a přístup k datům. Zabezpečení dat je množina pravidel a mechanismů pro zajištění důvěrnosti, integrity a dostupnosti dat, která je spojena se snahou bránit data zvenčí.
Zabezpečení dat se skládá ze tří úrovní:

  • fyzické (úroveň hardwaru, zálohování dat)
  • logické (softwarové metody pro autentizace, autorizaci)
  • organizační (doplňková snaha o ochranu systému)[1]

Autentizace

Autentizace, čili ověření, je pojem z oblasti řízení bezpečnosti a znamená ověření identity nějakého subjektu (člověka, osoby, systému). Tedy zjištění, zdali je daný subjekt ten, za který se vydává.
Metody autentizace jsou založeny na prokázání identity subjektu. Existují zhruba tři základní způsoby autentizace:

  • Autentizace dle toho, co subjekt má (například identifikační karta,identifikační dokument, platební karta, klíč)
  • Autentizace dle toho, co subjekt zná (například PIN, heslo, přístupová fráze)
  • Autentizace dle toho, čím subjekt je (například různé biometrické údaje, jako otisk prstu)

Každá z metod autentizace má v konkrétním užití své výhody a nevýhody, často se metody v praxi kombinují.

K čemu autentizace je a jak funguje v praxi

Autentizace patří mezi bezpečnostní opatření a zajišťuje ochranu před falešnou identitou. Používá se ve všech podnikových procesech, které vyžadují ověření identity člověka, konkrétního software, datové zprávy nebo jiného subjektu. Tedy při přihlašování na různé internetové stránky, služby, sociální sítě a při přihlašování do podnikových aplikací. Bezprostředně po autentizaci musí proběhnout také autorizace (na co má přihlašovaný subjekt oprávnění - co může a co nesmí).

Podle míry důvěry, které chceme docílit se volí kombinace více faktorů autentizace:

Jednofaktorová autentizace

Tento typ autentizace znamená, že k ověření dojde pouze pomocí něčeho, co uživatel zná (typicky uživatelské jméno a heslo).
Příklady autentizace:

  • autentizace pomocí znalosti (např. PIN, heslo)
  • autentizace pomocí předmětu (např. klíč, karta, dokument)
  • autentizace pomocí samotného uživatele (např. otisk prstu)

Dvoufaktorová autentizace

V rámci tohoto typu jde o to, že k ověření dojde ještě navíc pomocí něčeho, co uživatel má (typicky osobní zařízení, jako je mobilní telefon a SMS nebo token a PIN). K prokázání identity je třeba ověření dvou na sobě nezávislých věcí. Např. zadání hesla + otisk prstu. Často se používá zadání přístupových údajů + vložení autorizačního kódu zaslaného SMS.

Třífaktorová autentizace

Tato autentizace navíc ověřuje ještě něco, co je spojeno s člověkem pomocí třetí nezávislé věci (typicky biometrické prvky). Čím vyšší bezpečnost služby vyžadují, tím je nutné použít silnější autentizaci.[2]

Samotná autentizace uživatele může proběhnout několika různými způsoby, neboť může být založena na tom, že uživatel:

  • něco ví: tato autentizační metoda je nejpoužívanější a je nejčastěji založena na znalosti uživatelského jména a hesla. Autentizace obvykle probíhá tak, že uživatel je systémem vyzván k zadání svého hesla.
  • něco má: tento typ autentizace bývá založen na vlastnictví nějakého předmětu (USB token, smart card, kalkulátor). Autentizace obvykle probíhá tak, že uživatel je systémem vyzván k použití předmětu.
  • něco je: tento typ autentizace je založen na ověření biometrických charakteristik (otisk prstu, snímek duhovky). Autentizace obvykle probíhá tak, že uživatel je systémem vyzván, aby přiložil např. prst ke snímači.
  • něco jsem: tento typ autentizace uživatele ověřuje na základě jeho biometrických charakteristik. Tato metoda se postupem času bude čím dál tím více prosazovat, ale výrazně pomaleji, než by si jejich výrobci přáli. A to především z důvodu stále panující nedůvěry v jejich spolehlivost.[3]

Vícefaktorová autentizace

Jedná se o metodu ochrany přístupu k prostředku (například webu či informačnímu systému), která je založená na kombinaci zabezpečení ve třech oblastech:

  • znalost: něco, co uživatel zná nebo je mu sděleno
  • vlastnictví: něco, co má uživatel ve svém držení
  • biometrie: něco, co představuje uživatele samotného - čím uživatel sám je

Mluvíme o ní v případech, kde je třeba zajistit ověření identity přistupující k informačnímu systému více způsoby. Větší bezpečnosti lze zde dosáhnout diverzifikací zabezpečení nejen co do počtu, ale i co do různých faktorů. Pokud útočník například získá přístup k něčemu, co uživatel zná (hesla uložená na počítači), není zabezpečení heslem a PINem tak bezpečné, jako například heslem a HW tokenem. Vícefaktorová autentizace dokáže dobře chránit uživatelskou identitu, díky čemuž je dobře zakořeněná v korporátní sféře podnikových aplikací. Nyní se jí dostává pomalu, ale jistě široké podpory i mezi poskytovateli online služeb, čímž se dostává i do povědomí uživatelů. Toto rozšíření s sebou však nese nejen početnou fragmentaci autentizačních řešení, ale i nevyvážené zabezpečení různých služeb, které uživatelé používají. To s sebou nese rizika, která představují nejen hackeři, ale i uživatelé sami sobě.[4]

Autorizace

Autorizace znamená "oprávnění" subjektu vykonat určitou činnost.

Je to proces, který zahrnuje:

  • získávání souhlasu s provedením nějaké operace
  • povolení přístupu někam, k někomu nebo něčemu (nejen ve smyslu přístupu do konkrétních prostor nebo k nějaké osobě)
  • přístup k informacím, funkcím, programovým objektům atd.

Autorizace znamená povolení k nějakému úkonu nebo operaci. Pojem se používá jak pro samotné povolení tak pro proces zjištění, zdali daný subjekt může danou činnost či operaci provést (má k tomu pravomoc , povolení či svolení). V procesu kontroly oprávnění obvykle navazuje na ověření identity, tedy autentizaci. Někdy lze využít stejné technické prostředky (například identifikační vstupní karta nese informaci o identitě i o oprávnění přístupu).

Autorizace v praxi

Kontrola oprávnění je jedním z klíčových procesů v oblasti řízení bezpečnosti. Autorizace patří mezi bezpečnostní opatření a zajišťuje ochranu před neoprávněným přístupem. Používá se ve všech podnikových procesech, které vyžadují omezení přístupu lidem, k částem software, k datům, majetku atd. Oprávnění je také právní pojem pro vykonávání nějaké podnikatelské nebo jiné činnosti na území konkrétního státu. Výkon některých činností je státem regulovaný a podléhá nutnosti oprávnění. Rozsah oprávnění je obvykle vyjádřen v nějakém právně závazném dokumentu (například pracovní smlouva, licenční smlouva, NDA a další), který definuje rozsah pravomocí, povolení či svolení. Právní závaznost je obvykle vynucena nějakou sankcí za porušení rozsahu oprávnění. V informatice je autorizace nedílnou součástí řízení přístupových oprávnění (tzv. identity management) k datům, souborům, adresářům, operacím atd. V informatice je autorizace většinou automatizovaná (provádí ji operační systém nebo specializovaný software na základě seznamů pro řízení přístupu). Klíčový význam autorizačních procesů je v odvětvích, která zacházejí s citlivými daty, jako je například finanční sektor, platby na internetu a podobně.[5]

Autorizovaná osoba je osoba oprávněná nebo zmocněná vykonat určitou činnost a to na základě zmocnění, autorizace, kvalifikace nebo jiného druhu oprávnění.

  • Autorizovaná osoba může být konkrétní člověk, který má například oprávnění podepsat smlouvu nebo například oprávnění přistupovat k citlivým osobním datům
  • Autorizovaná osoba může být také firma, která má například autorizaci od státu provádět nějakou státem regulovanou činnost - například měření emisí vozidel nebo autorizaci pro školení řidičů[5]

Autorizace na základě seznamu oprávnění se používá například v informatice pro řízení přístupu k souborům, adresářům, operacím a přístupu k prostředkům v počítači. Provádí ji obvykle operační systém nebo specializovaný software na základě seznamů pro řízení přístupu. Je to proces ověření přístupových oprávnění uživatele vstupující do informačního systému. Tento proces ve většině případů navazuje na proces autentizace. Podstatou autorizace je ověřit, zda daný uživatel má oprávnění provést příslušnou akci, například vložení nového záznamu do seznamu dodavatelů apod. V návaznosti na zvolenou bezpečnostní strategii bývají oprávnění na provedení těchto akcí rozdělena mezi více subjektů – nejčastěji mezi administrátory, bezpečnostní správce a běžné uživatele. [6]

Autentizace a autorizace ve vztahu k Studijnímu informačnímu systému Univerzity Karlovy

Studijní informační systém Univerzity Karlovy: je centrálně provozovaný studijní informační systém pro všechny fakulty a další součásti Univerzity Karlovy. Studijní informační systém nabízí vyučujícím a studentům nejen možnost prohlížet vybraná data, ale i data kontrolovat, interaktivně je opravovat, doplňovat.

Vyžaduje dva údaje:

  • login (osobní číslo uvedené pod fotografií na průkazu studenta nebo login ze systému CAS)
  • heslo (musí obsahovat alespoň 8 znaků, velká, malá písmena, číslice)

Nejdříve mi musí být vytvořen účet, ten autorizován a následně se na něj mohu autentizovat.

  • Autentizace je zajišťována Centrální autentizační službou (CAS): slouží k ověření totožnosti pomocí přihlašovacího jména a hesla pro: aplikace Informačního systému UK, fakultní informační systémy a počítačové sítě, nastavení hesel v dalších systémech (eduroam), doménu JINONICE. Zjednodušuje uživatelům přihlašování k aplikacím tak, aby mohli používat stejné uživatelské jméno a heslo.
  • Autorizace je zajišťována samotným Studijním informačním systémem: zajišťuje, aby každému uživateli byly povoleny jen ty funkce, které mu přísluší.

Důsledky špatné nastavení oprávnění

Uživatel by měl přístupné funkce, které pro něj nejsou určeny:

  • úprava známek,
  • úprava rozvrhu,
  • rozesílání hromadných emailů,
  • prohlížení osobních údajů.

Odkazy

Reference

  1. KNOPOVÁ, Martina. Bezpečnost dat v informačních systémech. Ikaros [online]. 2011, 15 (6) [cit. 2019-12-12]. Dostupné z: http://ikaros.cz/bezpecnost-dat-v-informacnich-systemech
  2. Autentizace, ověření, identifikace. Sociální sít pro business [online]. 2018 [cit. 2019-12-12]. Dostupné z: https://managementmania.com/cs/autentizace-identifikace
  3. ČERMÁK, Miroslav. Autentizace. CleverAndSmart Management Consulting [online]. 2009 [cit. 2019-12-03]. Dostupné z: https://www.cleverandsmart.cz/autentizace/
  4. GAŠPARÍK, Petr, Vícefaktorová autentizace. AMI Praha - Softwarová řešení chytře a efektivně [online]. [cit. 2019-12-12]. Dostupné z: https://www.ami.cz/publikujeme/blog/vicefaktorova-autentizace
  5. 5,0 5,1 Autorizace, oprávnění. Sociální sít pro business [online]. [cit. 2019-12-12]. Dostupné z: https://managementmania.com/cs/autentizace-identifikace
  6. Autentizace a autorizace. Trisul [online]. [cit. 2019-12-12]. Dostupné z: http://www.trisul.cz/bezpecnost-autentizace-autorizace/

Související články

Autentizace a Autorizace
Co je to infomační bezpečnost? Popište problematiku a z technického i sociologického hlediska
Algoritmy kryptologie
Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika

Klíčová slova

autentizace, autorizace, studijní informační systém, oprávnění