S používáním hesel má své zkušenosti každý uživatel počítače. Zadání správného hesla po něm požaduje zpravidla již startující operační systém, následován připojením k mailovému serveru, přístupem do klientských částí webových stránek, ekonomických a jiných vnitrofiremních aplikací. Hodnota zpracovávaných informací neustále roste a logicky je také vyšší potřeba ochrany přístupu k datům.
Popsaný stav přináší zajímavý paradox. Zvýšené bezpečnostní požadavky nutí uživatele používat stále více hesel. Přístup průměrného uživatele je snadno odhadnutelný – když to bude možné, zvolí pro všechny aplikace stejné heslo, nejlépe triviální, lehce zapamatovatelné. Pokud bezpečnostní správce prosadí používání silných hesel s vynucenou pravidelnou změnou a zajistí použitelnost hesla právě pro jednu aplikaci, dosáhne často opačného výsledku. Uživatel si pořídí seznam hesel sepsaný na papíře nebo ve formě nechráněného textového souboru na disku svého počítače. V horším případě má tyto hesla poznamenaná na samolepícím papírku umístěném na monitoru či zespoda na klávesnici.
Ideálních uživatelů, kteří si dokážou zapamatovat potřebné množství složitých více než osmiznakových hesel a ochotně je pravidelně obměňují, skutečně mnoho nenajdeme.

Nároky kladené na autentizační předměty

Primárním požadavkem na hardwarové autentizační předměty (dále jen tokeny) je zajištění vyšší bezpečnosti oproti klasickému přihlašování jménem a heslem. Využití tzv. dvoufaktorové autentizace stupeň dosažené bezpečnosti nesporně zvyšuje.
Prvním faktorem je fyzické vlastnictví tokenu. Útočník může získat přístup k počítači či ukrást notebook. Pokud ovšem zároveň nevlastní příslušný token, nemůže se vydávat za oprávněného uživatele.
Druhým faktorem je znalost PINu chránícího token před zneužitím. Token má zpravidla nastavitelný maximální počet neplatných zadání PINu. Překročením tohoto limitu dojde k zablokování tokenu. Znalost správného PINu je nezbytná pro aktivaci funkce tokenu. Útočník sice může odpozorovat PIN či heslo zadávané na klávesnici, není mu to ale moc platné – musel by také ukrást uživateli jeho token.
Pro hodnocení bezpečnosti tokenu je podstatné, jaký šifrovací algoritmus je v tokenu implementován, jaká je maximální délka šifrovacího klíče. Pozornost je dobré věnovat jednoduchosti používání tokenu a nárokům kladeným na uživatele. Zcela zásadní se stává široká využitelnost tokenu v různých aplikacích.
USB autentizační tokeny pracují na stejném principu jako procesorové čipové karty (smart cards) a používají prakticky shodné čipy. Disponují paměťovou oblastí pro ukládání chráněných dat, například šifrovacích klíčů. Přístup k funkcím tokenu je podmíněn zadáním správného PINu (viz výše). V čipu je hardwarově implementován kryptografický algoritmus. USB tokeny mohou pro autentizaci kromě digitálního podpisu používat také technologii sdíleného tajemství (challenge–response). Základní odlišnost, a také přednost USB tokenů v porovnání s čipovými kartami je ve způsobu připojení k počítači. Tokeny se připojují přímo k USB portu, nevyžadují žádnou čtečku či speciální snímač. Pro uživatele to znamená snadnou instalaci, a především jednodušší používání. USB token si většina uživatelů intuitivně připojí na svazek klíčů, má jej stále při sobě.

Pohodlná autentizace

Jednoduchost práce s tokenem ocení uživatel, který přistupuje na webové stránky chráněné protokolem SSL (portál zdravotní pojišťovny, správce daně apod.). Digitální certifikát sloužící k autentizaci je bezpečně uložen v tokenu.
Využitím tokenů při přihlašování do operačního systému dosáhneme dvoufaktorové autentizace. Zásadně tím snížíme riziko přihlášení „falešného“ uživatele k systému. V tokenu bývá uložen přihlašovací certifikát. Autentizace probíhá proti doménovému serveru se zprovozněnou certifikační autoritou. V případě nepřítomnosti PKI infrastruktury lze použít možnost zašifrovaného uživatelského jména a hesla. Heslo může být velmi dlouhé, náhodně generované přímo do tokenu, přičemž jej uživatel ani nemusí znát.

Digitální podpis a šifrování e-mailů

V naprosté většině poštovních klientů nalezneme funkce pro digitální podpis a šifrování zpráv. Token je možné využít jako bezpečné a lehce přenosné úložiště nejen digitálního certifikátu, ale především privátního šifrovacího klíče (tj. kompletního digitálního ID).
Privátní šifrovací klíč používaný při autentizaci uživatele pomocí technologie digitálního podpisu je vygenerován přímo v tokenu, zde zůstává uložen, přímo v tokenu probíhají veškeré šifrovací operace s privátním klíčem. Privátní klíč není z bezpečnostních důvodů technicky možné z tokenu vyexportovat (ani pro potřebu zálohy).

SSO (single sign-on) systémy

Token také slouží jako hardwarové úložiště pro SSO systémy. V praxi se můžeme setkat se dvěma využitími tokenů. První možností je zašifrování databáze (uložené na pevném disku) s hesly a přístupovými kódy a uschování příslušného šifrovacího klíče do tokenu. Druhou variantou je uložení komprimované databáze hesel přímo v tokenu. Výhodou je, že bezpečně uschovaná přístupová hesla, kódy či soukromé poznámky má vlastník tokenu stále při sobě – v tokenu. Dostupná jsou kdykoli a kdekoli. Společným znakem obou řešení je vysoká bezpečnost – při krádeži počítače není přístup k uloženým heslům možný.

Šifrování dat

Ať již používáme šifrování na úrovni souborů, nebo na úrovni celého disku, je nutné si uvědomit, že případný útočník bude směrovat svůj útok na nejslabší místo celého systému. Tím bude šifrovací klíč, respektive heslo, kterým je chráněn přístup k uloženému šifrovacímu klíči.
Odhalení hesla nemusí být příliš složité. Jednoduchou možností je odpozorovat heslo při zadávání nepozorným (tedy běžným) uživatelem. Lidé si volí hesla, která se dají snadno uhodnout. Krátká hesla, nápisy v blízkosti počítače, jména svých příbuzných atd. Při odcizení pevného disku, počítače nebo notebooku je šifrovací klíč uložen na stejném místě jako šifrovaná data a ukraden společně s nimi. Stačí získat heslo a je vyhráno.
Použití tokenů jako bezpečného úložiště ovšem zásadně mění situaci. Útočník nemá na co útočit, protože šifrovací klíče jsou v tokenu a ten v kapse uživatele. V případě krádeže šifrovaných dat společně s tokenem není zdaleka nic ztraceno, pokud nedojde současně k vyzrazení PINu.
U tokenů iKey 4000 od společnosti SafeNet je navíc možné využít kryptografického koprocesoru, který pomáhá urychlovat symetrické šifrování (např. AES, 3DES), čímž výrazně sníží náročnost celé operace (šifrování).

E-government

Je to již pomalu devět let, co vstoupil v platnost zákon o elektronickém podpisu. Primárně by jej měli propagovat státní organizace, ale jako každá inovativní myšlenka byl i e-government často zatracován a popírán. Dnes můžeme vidět první vlaštovky, jako například projekt Czech Point pod záštitou ministerstva vnitra. Uživatelé (obce), kteří v něm chtějí pracovat, musí použít token iKey 4000 nejen pro dvoufaktorovou autenizaci do systému, ale také pro digitální podpis dokumentů a čtení zašifrovaných e-mailů.

Shrnutí

Těžko si představit, že bychom museli mít jeden mobilní telefon pro odchozí volání, druhý pro příjem hovorů, třetí používat pro psaní SMS, čtvrtý by uměl pouze WAP. Snaha výrobců mobilů o integraci všech užitečných funkcí do jednoho zařízení s jednotným a intuitivním ovládáním je zjevná a pochopitelná. Uvedený trend se nevyhnul ani oblasti autentizačních předmětů.
Pokud očekáváme od autentizace něco víc než pouze základní ověření identity uživatele, nabízí se jako vhodná volba procesorová čipová karta nebo USB token. Tato řešení jsou si podobná používanou technologií, pro USB tokeny mohou hovořit nižší pořizovací náklady a jednodušší používání.

Autor pracuje jako ředitel společnosti Askon International a dlouhodobě se věnuje problematice autentizace uživatelů.