„Svet okolo nás sa zmenil“ je jedna z prvých viet vo filme Pán prsteňov. Vo filme to bola cesta k rastu tmy a teda zlého. Nám sa takáto priama interpretácia asi nepodarí. Hoci okolo nás zúri pandémia a neistota, my si užívame relatívny pokoj a dostatok zdrojov. Priestor sa však zmenil aj pre nás. Obmedzil sa pohyb, práca, sociálny život a komunikácia sa preniesla do virtuálneho priestoru. Doby, keď sme sa stretávali na ulici a vedeli jedným pohľadom spoznať človeka, zistiť jeho nálady, alebo vycítiť, že ráno si zasa dal „do nosa“ sú nenávratne preč. Možno nám len stačilo vypočuť si obvyklé ponosy a hneď ste vedeli, kto je to a ako sa cíti. Dnes sa spoliehame na techniku, ktorú máme pred sebou. Ako však využiť oči, uši a čuch na overenie s kým si píšeme ? Na svet už pozeráme len cez malé, sliepňajúce sklíčko mobilného zariadenia alebo cez obrazovku počítača. Našťastie nielen pre nás je téma presnej identifikácie ľudí veľmi zaujímavá, zaujíma to aj množstvo inžinierov a technikov a preto si predstavíme, ako sa čuch, chuť, hmat, sluch preniesť do počítača. Netreba sa báť, nikoho dnes nebudeme nútiť oblizovať obrazovku, ani ovoniavať výpočtovú techniku, skôr si predstavíme cestu náhrady zraku, čuchu, chuti, hmatu a sluchu za niečo iné, s čím výpočtová technika vie pracovať.
Namiesto našich orgánov a zmyslov budeme v počítačovom svete hovoriť o faktoroch (dôkazoch), ktoré si zo všetkých zmyslov ponechajú hlavnú časť a to je ich jedinečnosť, samostatnosť a nezameniteľnosť. Predstavíme si viacfaktorové overovanie. Je to vlastne proces, pri ktorom zvyšujeme pravdepodobnosť overenia správnej osoby za pomoci poskytnutia viacerých dôkazov, že to je naozaj ona. Toto overovanie na Slovensku nie je nové, netreba sa ho preto vôbec báť. Vlastne ho používali už naši starí rodičia a začali hneď v 14 stor., počas valašskej kolonizácie. My si vysvetlíme takéto overovanie a to na pasení dobytka v Púchovskej doline. Keď sa pastieri v Púchovskej doline, pasúci na protiľahlých úbočiach vysokých kopcov, rámovaných vencom Vršateckých brál, chceli dozvedieť o práci toho druhého a koordinovať si postup. Mali pomerne málo možností ako to urobiť. Mohli prebehnúť cez dolinu a opýtať sa, lenže stádo bolo bez dozoru niekoľko hodín a to bolo naozaj veľké riziko. Zakričať sa pre veľkú diaľku nedalo, dokonca tie 2-3 km vzdušnou čiarou ani nedovideli. Vymysleli si teda iný postup, zobrali do rúk dlhé fujary trombity, z lyka vytvarované a lahodne do diaľav znejúce a dohodli si popevok, ktorý priamo prekladal otázky a odpovede do melódie: Už máš podojené? Ešte nie, ešte nie. Ja už mám. (https://www.youtube.com/watch?v=tuudZA6CcPI diskusia začína od 1:52). Na začiatku pastier zatrilkoval obľúbenú melódiu a druhá strana po chvíli odpovedala trilkovaním a potom začala hudobná diskusia. Ako však pastier vedel, o koho ide, keď text a melódia bola rovnaká pre všetkých? Spoliehal sa na ďalšie faktory. Patrí sem poloha, kde druhý pastier pásol a odkiaľ sa šíril zvuk, ktorá bola dopredu daná a známa. Trilkovanie bolo pre každého pastiera špecifické a ľahko ho identifikovalo, bola to melódia, ktorú poznal a vedel zahrať len jeden pastier. Zvuk každej z fujár trombít bol jednoznačný, čím sa jasne určil nástroj. Samotná melódia trilkovania na úvod bola veľmi praktická, pretože zabezpečila čas na identifikovanie pastiera, na pohľadanie fujary druhým pastierom a aj na samotnú prípravu na umelecký výkon. Predstavením viacfaktorového overovania z dôb minulých sa chceme preniesť do doby súčasnej. Doba pokročila a čo nie je označené anglickým názvom, tak to neexistuje. Preto namiesto viacfaktorovej autentifikácie a skratky OpNSM – „Overovanie podľa našich starých mám“ použijeme moderné americké dedičstvo. Multi-factor authentication so skratkou MFA, nie neľakajte sa, je to stále to isté pomenovanie. Anglické spojenie slov je považované za dôstojnejšie a vhodnejšie pre počítačových expertov.
Poznáme viacero prístupov k viacfaktorového overovania, ako si však predstaviť faktory? Ako pretaviť ľudské zmysly do virtuálneho priestoru? Museli sme začať používať nové delenie, pre identifikáciu človeka a jeho výpočtovej techniky a to pretavením do troch základných faktorov: Niečo čo mám. Niečo čo viem. Niečo čo som. Takéto prvky sa ľahšie rozprávajú ako predstavujú, preto si odkryme, čo sa skrýva za jednotlivými prvkami:
- Niečo, čo mám.
- telefón,
- občiansky preukaz,
- platobná karta,
- špeciálny bezpečnostný nástroj na prihlasovanie (token),
- zoznam prihlasovacích, jednorazových kódov vytlačených na lístku,
- USB zariadenie,
- BlueTooth zariadenie ako je prívesok, prsteň, náramok, alebo karta,
- zariadenie s RFID čipom (Radio Frequency IDentification, používa sa v obchode pri identifikácii tovaru),
- NFC (Near Field Communication, technológia používaná hlavne pri platobných a identifikačných kartách),
- Niečo čo viem.
- PIN (Personal Identification Number / osobné identifikačné číslo),
- heslo
- Niečo čo som.
- biometrická charakteristika:
- odtlačok prsta,
- biometria tváre,
- biometria oka (dúhovky, sietnice),
- biometria hlasu,
- analýza DNA
- Charakteristika môjho správania
- miesto práce, správanie sa na počítači,…
- biometrická charakteristika:
Technologický výpočet možností, čo použiť na overovanie máme za sebou, ako ich však využiť? Základným princípom je mať aspoň dva faktory overené. Predstavme si ako vyzerajú niektoré reálne nasadenia. Najznámejším pre nás je výber z bankomatu, klient banky na výber potrebuje PIN (to čo viem) a kartu (to čo mám). V Saudskej Arábii sa zmenil spôsob výberu z bankomatu, karta klientom zostala (niečo, čo mám), ale vymenili PIN za biometriu oka (niečo, čo som). Druhým príkladom je prihlásenie do internet bankingu bánk. V tomto prípade sa použije meno a heslo (to čo viem) a kód z aplikácie (to čo mám), ktorá je aktivovaná pre klienta a generuje nezávislé kódy, na prihlásenie do mobilnej aplikácie potrebuje klient PIN alebo heslo (to čo viem). Tretím príkladom je prihlásenie do služby mobil bankingu (aplikácia banky na mobilnom telefóne). V tomto prípade sa používa aplikácia, väčšinou s kontrolou zariadenia, či je stále to isté a nepoškodené a dá sa mu veriť (to, čo mám). Pri štarte si aplikácia zistí, či je v rovnakom stave a je to to isté zariadenie ako bolo pri prvom overení (to, čo mám). Následne je použitý na prihlásenie PIN alebo heslo do aplikácie (niečo, čo viem), niektoré aplikácie podporujú aj overenie pomocou biometrie (niečo, čo som).
Viacfaktorová autentifikácia a jej základné princípy sme si predstavili. Na trhu sa vytvoril trend a od špecifických zariadení, ktoré boli rozdávané pre potreby autentifikácie jednotlivými firmami sa prikláňa trh k vyťažovaniu funkcií mobilného telefónu. Dôvody, prečo je to tak sa dotýkajú samotnej podstaty človeka a toho, že človek je prirodzene lenivý mať a nosiť viac zariadení. Rukolapným príkladom je, prechod výberu z bankomatu, ktorý bol vykonávaný kartou, do prostredia bankových aplikácii v mobilných telefónoch. To znamená, že na výber z bankomatov v dobrých bankách vám stačí mobil. Zároveň sa vytvárajú v mobiloch virtuálne kartové peňaženky. Postupne sa karta ako taká stáva stále menej a menej potrebná vo svojom fyzickom prevedení a prechádza do virtuálneho prostredia. Napriek popísanému trendu stále existujú snahy hľadania nových nástrojov na overovanie človeka jednoduchými systémami, ktoré sa snažia zaujať. Vyzerajú ako šperky: prstene, náramky, prívesky (niečo, čo mám), iné skúšajú overovať funkčnosť podkožných čipov (niečo čo mám aj čo som). Vytvárajú sa koncepty na kontrolu biometrických údajov ako je biometria hlasu a biometria tváre. V tomto prípade si však treba pri implementácii dávať pozor, pretože biometrické overovanie je overovanie na základe podobnosti a na základe matematického modelu. Človek idúci po ulici, priradí meno a identitu oproti idúceho človeka na základe jediného pohľadu, na základe svojich skúseností a znalostí. Človek sa nebojí povedať: toto je náš sused. Počítač priradí identitu na základe pravdepodobnosti podobnosti údajov, ktoré má zozbierané a spracované a tých, čo práve odfotil/načítal. Výsledok je: toto je náš: sused na 89% s pravdepodobnosťou chyby 2%. Z tohto dôvodu ste si možno uvedomili, že časť aplikácií ak používajú biometriu (niečo čo si) pre špecifické, dôležité veci, vyžadujú občas dodatočné potvrdenie PIN-om (niečo čo vieš). Existujú aplikácie, ktoré spravujú veľmi dôležité informácie, pri ktorých sa vyžaduje jednoznačná identifikácia a v rámci MFA používajú existenciu overenej aplikácie (niečo čo máš) a biometrické overovanie (niečo čo si, s určitým percentom pravdepodobnosti). Aplikácie so starším návrhom architektúry stále využívajú overenie cez nezabezpečený SMS kanál, pričom sú niekoľko rokov na čiernom trhu dostupné vírusy a návody pre hackerov, ako v mobilných zariadeniach získavať SMS kód a ako s ním pracovať. (napr. https://zive.aktuality.sk/clanok/145167/komplexny-virus-ohrozuje-zariadenia-s-androidom-kradne-bankove-udaje-spehuje-aj-sifruje/) V oboch prípadoch je vhodné zamyslieť sa nad výslednou bezpečnosťou celého systému a aj celkovým zladením aplikácii s nariadeniami a zákonnými požiadavkami a otázne je, či je slovo viacfaktorová plnohodnotne na mieste.
Našťastie neurózy spôsobené nevhodnou implementáciou viacfaktorovej autentifikácie nie sú na mieste. Väčšina aplikácii a služieb používa ochranu správne a rozvážne. Dobrým nastavením do života je vyberať si také služby, ktoré vás chránia a overujú viacerými faktormi a neboja sa to povedať. V prípade, že si nebudete na istom, či služba, ktorú ste si vybrali je naozaj dobre chránená, nebojte sa opýtať firmy, ktorá službu ponúka. Ak firma dodáva kvalitné služby, potom má vytvorenú analýzu rizík riešenia a preto vie bez problémov zodpovedať na otázky bezpečnostného charakteru. Viacfaktorová autentifikácia vás bude sprevádzať celým životom, tento článok mal za úlohu si vysvetliť podstatu práce systému a spôsob, ako nás ovplyvňuje. Nebojme sa viacfaktorovú autentifikáciu správne používať
Vyjadrite váš názor v komentároch