Vysvětlete pojmy autentizace a autorizace. Uveďte je na příkladu Studijního informačního systému Univerzity Karlovy. Popište důsledky, které by mělo příliš volné nastavení oprávnění v SIS

Společnost založená na znalostech, která využívá moderní informační technologie v každodenním životě, je a bude stále více ohrožena úmyslným či neúmyslným zneužitím těchto technologií. Proto je potřeba data chránit. Pod pojmem bezpečnost rozumíme obvykle ochranu odpovídajících informačních systémů a informací, které jsou v nich uchovávány, zpracovány a přenášeny. Většina informačních systémů využívá přístup pro uchovávání a přístup k datům. Zabezpečení dat je množina pravidel a mechanismů pro zajištění důvěrnosti, integrity a dostupnosti dat, která je spojena se snahou bránit data zvenčí.
Zabezpečení dat se skládá ze tří úrovní:

  • fyzické (úroveň hardwaru, zálohování dat)
  • logické (softwarové metody pro autentizace, autorizaci)
  • organizační (doplňková snaha o ochranu systému)[1]

Autentizace

Autentizace, čili ověření, je pojem z oblasti řízení bezpečnosti a znamená ověření identity nějakého subjektu (člověka, osoby, systému). Tedy zjištění, zdali je daný subjekt ten, za který se vydává.
Metody autentizace jsou založeny na prokázání identity subjektu. Existují zhruba tři základní způsoby autentizace:

  • Autentizace dle toho, co subjekt má (například identifikační karta,identifikační dokument, platební karta, klíč)
  • Autentizace dle toho, co subjekt zná (například PIN, heslo, přístupová fráze)
  • Autentizace dle toho, čím subjekt je (například různé biometrické údaje, jako otisk prstu)

Každá z metod autentizace má v konkrétním užití své výhody a nevýhody, často se metody v praxi kombinují.

K čemu autentizace je a jak funguje v praxi

Autentizace patří mezi bezpečnostní opatření a zajišťuje ochranu před falešnou identitou. Používá se ve všech podnikových procesech, které vyžadují ověření identity člověka, konkrétního software, datové zprávy nebo jiného subjektu. Tedy při přihlašování na různé internetové stránky, služby, sociální sítě a při přihlašování do podnikových aplikací. Bezprostředně po autentizaci musí proběhnout také autorizace (na co má přihlašovaný subjekt oprávnění - co může a co nesmí).

Podle míry důvěry, které chceme docílit se volí kombinace více faktorů autentizace:

Jednofaktorová autentizace

Tento typ autentizace znamená, že k ověření dojde pouze pomocí něčeho, co uživatel zná (typicky uživatelské jméno a heslo).
Příklady autentizace:

  • autentizace pomocí znalosti (např. PIN, heslo)
  • autentizace pomocí předmětu (např. klíč, karta, dokument)
  • autentizace pomocí samotného uživatele (např. otisk prstu)

Dvoufaktorová autentizace

V rámci tohoto typu jde o to, že k ověření dojde ještě navíc pomocí něčeho, co uživatel má (typicky osobní zařízení, jako je mobilní telefon a SMS nebo token a PIN). K prokázání identity je třeba ověření dvou na sobě nezávislých věcí. Např. zadání hesla + otisk prstu. Často se používá zadání přístupových údajů + vložení autorizačního kódu zaslaného SMS.

Třífaktorová autentizace

Tato autentizace navíc ověřuje ještě něco, co je spojeno s člověkem pomocí třetí nezávislé věci (typicky biometrické prvky). Čím vyšší bezpečnost služby vyžadují, tím je nutné použít silnější autentizaci.[2]

Samotná autentizace uživatele může proběhnout několika různými způsoby, neboť může být založena na tom, že uživatel:

  • něco ví: tato autentizační metoda je nejpoužívanější a je nejčastěji založena na znalosti uživatelského jména a hesla. Autentizace obvykle probíhá tak, že uživatel je systémem vyzván k zadání svého hesla.
  • něco má: tento typ autentizace bývá založen na vlastnictví nějakého předmětu (USB token, smart card, kalkulátor). Autentizace obvykle probíhá tak, že uživatel je systémem vyzván k použití předmětu.
  • něco je: tento typ autentizace je založen na ověření biometrických charakteristik (otisk prstu, snímek duhovky). Autentizace obvykle probíhá tak, že uživatel je systémem vyzván, aby přiložil např. prst ke snímači.
  • něco jsem: tento typ autentizace uživatele ověřuje na základě jeho biometrických charakteristik. Tato metoda se postupem času bude čím dál tím více prosazovat, ale výrazně pomaleji, než by si jejich výrobci přáli. A to především z důvodu stále panující nedůvěry v jejich spolehlivost.[3]

Vícefaktorová autentizace

Jedná se o metodu ochrany přístupu k prostředku (například webu či informačnímu systému), která je založená na kombinaci zabezpečení ve třech oblastech:

  • znalost: něco, co uživatel zná nebo je mu sděleno
  • vlastnictví: něco, co má uživatel ve svém držení
  • biometrie: něco, co představuje uživatele samotného - čím uživatel sám je

Mluvíme o ní v případech, kde je třeba zajistit ověření identity přistupující k informačnímu systému více způsoby. Větší bezpečnosti lze zde dosáhnout diverzifikací zabezpečení nejen co do počtu, ale i co do různých faktorů. Pokud útočník například získá přístup k něčemu, co uživatel zná (hesla uložená na počítači), není zabezpečení heslem a PINem tak bezpečné, jako například heslem a HW tokenem. Vícefaktorová autentizace dokáže dobře chránit uživatelskou identitu, díky čemuž je dobře zakořeněná v korporátní sféře podnikových aplikací. Nyní se jí dostává pomalu, ale jistě široké podpory i mezi poskytovateli online služeb, čímž se dostává i do povědomí uživatelů. Toto rozšíření s sebou však nese nejen početnou fragmentaci autentizačních řešení, ale i nevyvážené zabezpečení různých služeb, které uživatelé používají. To s sebou nese rizika, která představují nejen hackeři, ale i uživatelé sami sobě.[4]

Autorizace

Autorizace znamená "oprávnění" subjektu vykonat určitou činnost.

Je to proces, který zahrnuje:

  • získávání souhlasu s provedením nějaké operace
  • povolení přístupu někam, k někomu nebo něčemu (nejen ve smyslu přístupu do konkrétních prostor nebo k nějaké osobě)
  • přístup k informacím, funkcím, programovým objektům atd.

Autorizace znamená povolení k nějakému úkonu nebo operaci. Pojem se používá jak pro samotné povolení tak pro proces zjištění, zdali daný subjekt může danou činnost či operaci provést (má k tomu pravomoc , povolení či svolení). V procesu kontroly oprávnění obvykle navazuje na ověření identity, tedy autentizaci. Někdy lze využít stejné technické prostředky (například identifikační vstupní karta nese informaci o identitě i o oprávnění přístupu).

Autorizace v praxi

Kontrola oprávnění je jedním z klíčových procesů v oblasti řízení bezpečnosti. Autorizace patří mezi bezpečnostní opatření a zajišťuje ochranu před neoprávněným přístupem. Používá se ve všech podnikových procesech, které vyžadují omezení přístupu lidem, k částem software, k datům, majetku atd. Oprávnění je také právní pojem pro vykonávání nějaké podnikatelské nebo jiné činnosti na území konkrétního státu. Výkon některých činností je státem regulovaný a podléhá nutnosti oprávnění. Rozsah oprávnění je obvykle vyjádřen v nějakém právně závazném dokumentu (například pracovní smlouva, licenční smlouva, NDA a další), který definuje rozsah pravomocí, povolení či svolení. Právní závaznost je obvykle vynucena nějakou sankcí za porušení rozsahu oprávnění. V informatice je autorizace nedílnou součástí řízení přístupových oprávnění (tzv. identity management) k datům, souborům, adresářům, operacím atd. V informatice je autorizace většinou automatizovaná (provádí ji operační systém nebo specializovaný software na základě seznamů pro řízení přístupu). Klíčový význam autorizačních procesů je v odvětvích, která zacházejí s citlivými daty, jako je například finanční sektor, platby na internetu a podobně.[5]

Autorizovaná osoba je osoba oprávněná nebo zmocněná vykonat určitou činnost a to na základě zmocnění, autorizace, kvalifikace nebo jiného druhu oprávnění.

  • Autorizovaná osoba může být konkrétní člověk, který má například oprávnění podepsat smlouvu nebo například oprávnění přistupovat k citlivým osobním datům
  • Autorizovaná osoba může být také firma, která má například autorizaci od státu provádět nějakou státem regulovanou činnost - například měření emisí vozidel nebo autorizaci pro školení řidičů[5]

Autorizace na základě seznamu oprávnění se používá například v informatice pro řízení přístupu k souborům, adresářům, operacím a přístupu k prostředkům v počítači. Provádí ji obvykle operační systém nebo specializovaný software na základě seznamů pro řízení přístupu. Je to proces ověření přístupových oprávnění uživatele vstupující do informačního systému. Tento proces ve většině případů navazuje na proces autentizace. Podstatou autorizace je ověřit, zda daný uživatel má oprávnění provést příslušnou akci, například vložení nového záznamu do seznamu dodavatelů apod. V návaznosti na zvolenou bezpečnostní strategii bývají oprávnění na provedení těchto akcí rozdělena mezi více subjektů – nejčastěji mezi administrátory, bezpečnostní správce a běžné uživatele. [6]

Autentizace a autorizace ve vztahu k Studijnímu informačnímu systému Univerzity Karlovy

Studijní informační systém Univerzity Karlovy: je centrálně provozovaný studijní informační systém pro všechny fakulty a další součásti Univerzity Karlovy. Studijní informační systém nabízí vyučujícím a studentům nejen možnost prohlížet vybraná data, ale i data kontrolovat, interaktivně je opravovat, doplňovat.

Vyžaduje dva údaje:

  • login (osobní číslo uvedené pod fotografií na průkazu studenta nebo login ze systému CAS)
  • heslo (musí obsahovat alespoň 8 znaků, velká, malá písmena, číslice)

Nejdříve mi musí být vytvořen účet, ten autorizován a následně se na něj mohu autentizovat.

  • Autentizace je zajišťována Centrální autentizační službou (CAS): slouží k ověření totožnosti pomocí přihlašovacího jména a hesla pro: aplikace Informačního systému UK, fakultní informační systémy a počítačové sítě, nastavení hesel v dalších systémech (eduroam), doménu JINONICE. Zjednodušuje uživatelům přihlašování k aplikacím tak, aby mohli používat stejné uživatelské jméno a heslo.
  • Autorizace je zajišťována samotným Studijním informačním systémem: zajišťuje, aby každému uživateli byly povoleny jen ty funkce, které mu přísluší.

Důsledky špatné nastavení oprávnění

Uživatel by měl přístupné funkce, které pro něj nejsou určeny:

  • úprava známek,
  • úprava rozvrhu,
  • rozesílání hromadných emailů,
  • prohlížení osobních údajů.

Odkazy

Reference

  1. KNOPOVÁ, Martina. Bezpečnost dat v informačních systémech. Ikaros [online]. 2011, 15 (6) [cit. 2019-12-12]. Dostupné z: http://ikaros.cz/bezpecnost-dat-v-informacnich-systemech
  2. Autentizace, ověření, identifikace. Sociální sít pro business [online]. 2018 [cit. 2019-12-12]. Dostupné z: https://managementmania.com/cs/autentizace-identifikace
  3. ČERMÁK, Miroslav. Autentizace. CleverAndSmart Management Consulting [online]. 2009 [cit. 2019-12-03]. Dostupné z: https://www.cleverandsmart.cz/autentizace/
  4. GAŠPARÍK, Petr, Vícefaktorová autentizace. AMI Praha - Softwarová řešení chytře a efektivně [online]. [cit. 2019-12-12]. Dostupné z: https://www.ami.cz/publikujeme/blog/vicefaktorova-autentizace
  5. 5,0 5,1 Autorizace, oprávnění. Sociální sít pro business [online]. [cit. 2019-12-12]. Dostupné z: https://managementmania.com/cs/autentizace-identifikace
  6. Autentizace a autorizace. Trisul [online]. [cit. 2019-12-12]. Dostupné z: http://www.trisul.cz/bezpecnost-autentizace-autorizace/

Související články

Autentizace a Autorizace
Co je to infomační bezpečnost? Popište problematiku a z technického i sociologického hlediska
Algoritmy kryptologie
Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika

Klíčová slova

autentizace, autorizace, studijní informační systém, oprávnění