Uživatelské jméno, a hlavně heslo, to jsou dnes klíčové údaje, které jsou nutné pro to, aby se uživatel vůbec přihlásil do počítače, spustil intranetovou aplikaci, přihlásil se ke svému e-mailu, internet bankingu, vybral si peníze z platební karty, zapnul mobilní telefon či PDA... Množství hesel dramaticky stoupá, musí být silná, často se obnovovat, ale přitom neopakovat. Co na to mozek uživatele, má vůbec možnost si je ještě zapamatovat?



Množství hesel, která se na nás valí, nás nutí k vymýšlení různých zkratek, používání jednoho hesla pro více účelů nebo nerespektování bezpečnostní politiky. Každopádně platí, že bezpečnost jakéhokoliv systému vždy ovlivňuje nejslabší prvek. A tím je ve velké míře uživatel, který se systémem musí pracovat. Nejde tady jen o běžného uživatele ve firmě, který se svým slabým heslem nevědomky přičiní o snadnou prolomitelnost, ale často bývají problémy i na straně administrátorů – vždyť ti jsou zavaleni ještě větším množstvím hesel a super hesel ke konzolím, centrálním ovládání, nastavením. A kdo si má všechna ta bezpečná hesla pamatovat?

Co je silné heslo?

Obecné doporučení pro silné heslo je: využít alespoň osm znaků, kombinovat malá a velká písmena, číslice a speciální znaky. V žádném případě nesmíme používat existující slova, byť doplněná kombinací čísel nebo znaků. V momentě, kdy umožníme použití slovníkového útoku na heslo, jsme ztraceni. Heslo prostě nemá vypadat takto: Martin01. I když sémanticky je v podstatě správné, prolomitelnost je v řádu maximálně minut. Mimochodem podle průzkumů má takovéto nebo jednodušší heslo víc než padesát procent uživatelů.
Kromě síly hesla platí ještě několik dalších obecných doporučení:

• Každé heslo použijte maximálně jednou – pro jednu službu, nikdy se k němu nevracejte.
• Nikomu dalšímu neříkejte své heslo – i kolega může heslo zneužít.
• Hesla si nikam nepište – věřte, že vámi vymyšlené úložiště není zas tak originální.
• Heslo je třeba pravidelně měnit – alespoň jednou za 90 dní.

Jak uživatelé nakládají s hesly

Právě množství a síla hesel nutí uživatele obcházet bezpečnostní doporučení a politiku. I když prošli celou řadou školení a jsou si vědomi rizika, které plyne z nerespektování politik, nevidí často jinou volbu. A koneckonců, to riziko je tak trochu virtuální, že? Proč by zrovna můj účet měl někdo použít, já tam nemám nic důležitého… A tak uživatelé, dotlačení do kouta naší bezpečnostní politikou dělají přesně to, co jsme nechtěli:

• Přibližně třetina všech uživatelů si hesla zapisuje na nezabezpečené místo (monitor, soubor v PC, papírek na klávesnici, mobil, …).
• Používají jednoduchá hesla vycházející ze skutečných slov – křestních jmen, oblíbených fotbalových týmů, dat narození, rodných čísel, … Mimochodem neoblíbenějším heslem vůbec je „heslo“, případně jeho obdoba „sezame“ (samozřejmě v patřičných jazykových mutacích).
• Svá hesla buď sdílí s jinými uživateli/kolegy, nebo nemají problém jim je v případě potřeby sdělit.

Co s tím?

Abychom problémům s hesly předešli, musíme v organizaci vytvořit takové prostředí, které bude vůči obcházení naší bezpečnostní politiky rezistentní. Základním krokem by mělo být snížení množství hesel. Čím méně je hesel, tím větší požadavky na ně můžeme mít. Naším cílem je dostat se do stavu, kdy uživateli stačí pouze jedna autentizace k tomu, aby se dostal ke všem službám, které potřebuje. Základní autentizací je přihlášení uživatele do operačního systému. Ideální tedy je, aby se uživatel setkal pouze s autentizací do svého PC a další prvky této autentizaci důvěřovali. Obecně se tento přístup nazývá single sign-on. To znamená na jedné straně přizpůsobit aplikace tak, aby využívaly a důvěřovaly přihlášení uživatele do domény, a na straně druhé, udělat toto přihlášení takové, aby bylo stoprocentně zaručené a bezpečné. Při výběru aplikací bychom proto měli klást velký důraz na jejich jednoduché provázání s doménou. A samozřejmě existuje celá řada nástrojů, které nám s implementací SSO do existujících systémů pomohou.

Vícefaktorová autentizace

Zaměřme se teď na to, jak zajistit nezpochybnitelnost a pravost oné vstupní autentizace uživatele do operačního systému. Je vůbec možné nastavit bezpečnostní politiku hesel, abychom předešli výše zmíněným problémům? Praxe ukazuje, že ne. Pokud máme autentizaci důvěřovat, musíme opustit koncept zadání jména a hesla uživatelem. Tato jednofaktorová autentizace (spoléhá pouze na znalost nějakého údaje) pro nás již není dostatečná.
Východiskem je doplnit faktor znalosti o nějaký další faktor. Vzhledem k univerzálnosti a šíři použití jsou dnes nejpopulárnější dvoufaktorové autentizace s čipovou kartou (nebo USB tokenem) – přidali jsme faktor navíc (vlastnictví čipové karty), faktor znalosti zůstal (znalost PIN čipové karty). Jejich výhodou je, že vydají své tajemství (buď vygenerované heslo, nebo certifikát) jen v případě, že zadáme správný PIN. Ten vzhledem k velmi malému množství pokusů (obvykle tři) nemusí být tak složitý jako klasické heslo – minimální délka jsou čtyři znaky jako u platebních karet. Samozřejmě i zde si uživatel musí něco pamatovat, ale aktuálně má jen jeden údaj, PIN, jehož délka je navíc relativně krátká. Abychom předešli zapisování PINů na karty, i zde bývá aplikována politika změny PINu jednou za 90 dní.
Čipová karta je navíc použitelná pro řadu dalších použití – od elektronického podpisu až po fyzický přístup do objektu. Může na sobě nést fotku uživatele, magnetický proužek, čárový kód či některou z RFID technologií.

A co biometrika?

Další cestou, která se nám nabízí, je využití biometrických údajů – z nichž nejdál je využití otisků prstů. Selský rozum říká, že biometrický údaj musí být pro uživatele nejpříjemnější, protože otisk prstu přece doma nikdy nezapomene. To je samozřejmě pravda, ale jen její půlka. Díky tomu po sobě biometrické údaje také všude zanecháváme – naše otisky prstů, snímky očí, DNA, … Biometrický údaj proto jako řešení bude moci nastoupit až tehdy, kdy čtečky těchto údajů budou na dostatečné úrovni – odhalí umělý otisk, neživý prst, podfuk. Bohužel dnes používané čtečky jsou natolik nekvalitní, že jejich ověření nemůžeme věřit. Proto také otisk prstů bývá jen dalším faktorem, který můžeme použít. Celá řada karet a tokenů podporuje kromě autentizace PINem i autentizaci PINem a jedním nebo více otisky. Dostáváme se tak ke tří- a vícefaktorové autentizaci. K dalším často používaným způsobům patří tokeny s generováním jednorázového hesla (OTP).
Nasazení čipových karet pro autentizaci uživatele odstraňuje prakticky všechny neduhy, které s sebou nese využívání uživatelských jmen a hesel. Vzhledem k faktu, že uživatel nezná žádné heslo, nemusíme se bát, že by jej sdělil někomu jinému, využil v jiné aplikaci nebo poznamenal na nějaký kousek papírku či do souboru hesla.txt. Samozřejmě, čipové karty s sebou na druhé straně nesou riziko jejich ztráty nebo zapomenutí, ale to jsou problémy, které jsou řešitelné pomocí nouzových postupů během několika minut. A praxe ukazuje, že i počty požadavků na technickou pomoc kvůli problémům s hesly po zavedení karet rapidně klesají.

Autor působí jako product director ve společnosti Sodatsw, která je českým výrobcem softwaru určeného pro správu a bezpečnost pracovních stanic.