Oblasti vhodné pro aplikaci čipových technologií lze rozdělit do následujících kategorií:

Fyzický přístup

Nejčastěji se lze setkat s využitím čipových karet pro řízení fyzického přístupu v rámci přístupových systémů místností a budov. Převážně se využívá bezkontaktní RF komunikace poskytující základní identifikační funkci. Identifikační funkci čipové karty je dále možné využít v docházkových systémech pro evidenci pracovní doby a jejích přerušení, v systémech podnikového stravování pro objednávání a výdej stravy včetně bezhotovostního nákupu a pro evidenci čerpání různých zaměstnaneckých výhod.

Náročnější oblast tvoří využití kryptografických možností čipových karet. Jedná o řízení logického přístupu k informačním a komunikačním systémům na základě silné autentizace, dále o vytvoření zaručeného elektronického podpisu a v neposlední řadě o šifrování a dešifrování.

Logický přístup

V nejjednodušším případě může karta sloužit jako bezpečné úložiště autentizačních hesel s vysokou entropií, jejichž použití je vázáno na zadání kódu PIN. Stále větší množství systémů i aplikací umožňuje pro autentizaci využít certifikáty a privátní klíče umístěné na čipové kartě. Mezi nejrozšířenější takové systémy patří Windows Active Directory, web servery a prohlížeče využívající protokol SSL/TLS, směrovače a přístupové servery s technologií VPN i řada populárních aplikací.

Elektronický podpis

Důležitou kryptografickou operací je vytvoření zaručeného elektronického podpisu. Tento podpis umožňuje autentizovat dokumenty, ověřit jejich integritu a zaručit nepopiratelnost podepisující osoby. Na rozdíl od operací identifikace nebo autentizace osoby, které mají víceméně jednorázový charakter, je platnost elektronického podpisu permanentní. Tím naléhavější je potřeba využití bezpečného zařízení pro vytvoření elektronického podpisu. Čipová karta s podporou asymetrické kryptografie umožňuje vygenerovat potřebné kryptografické klíče přímo na čipu a využít privátní klíč pro vytvoření elektronického podpisu. Podepisující osoba má jistotu, že bez jejího vědomí (tedy bez držení karty a současně znalosti kódu PIN) není možné elektronický podpis vytvořit.

Šifrování a dešifrování Ochrana dat před neoprávněným přístupem je řešitelná pomocí různých opatření, mezi nejsilnější patří správně implementovaná kryptografická ochrana. Potřebné kryptografické klíče jsou generovány a uloženy v bezpečném systému pro správu klíčů a následně importovány na čipovou kartu pro rutinní použití. Při poruše nebo ztrátě karty je možné hlavní klíče obnovit ze systému pro správu klíčů a importovat na novou kartu.

Vše na jedné kartě

Zkušenosti z praktického nasazení ukazují, že optimální volbou pro bezpečnost systémů i pohodlí uživatelů je kombinované využití čipové karty pro více podnikových systémů a aplikací. Čipová karta může být běžně osazena jedním nebo dvěma čipy s kontaktním i bezkontaktním rozhraním. Tato kombinace umožňuje použít jednu kartu pro fyzický i logický přístup, elektronický podpis i šifrování. Karta se tak stává „generálním klíčem“, který otevírá přístup k prostředkům a informacím organizace.

Čipová karta, nebo USB token?

Čipová karta je klasická, standardizovaná forma pro využití technologie smart čipu. Standardní formát velikosti kreditní karty může obsahovat kontaktní čip podle specifikací ISO 7816. Čip je nejčastěji vybaven systémem Java card, jehož výhodou je možnost nahrání aplikací. V případě bezkontaktního (RF) čipu je využíváno více technologií – ISO 14443, ISO 15693, NFC, Mifare, DESFire, EM, HID.

USB token je tvořen kombinací USB čtečky a smart čipu, s tvarem a provedením shodným s běžnou USB Flash pamětí. Na trhu jsou k dispozici dvě základní varianty. První varianta má smart čip pevně zabudovaný, čip obsahuje systém konkrétního výrobce. Druhá varianta je vybavena vyjímatelnou čipovou kartou v SIM formátu, takže je možné USB token vybavit libovolným systémem – to lze považovat za přednost.

Při rozhodování o implementaci čipové technologie je vhodné porovnat výhody a nevýhody klasické čipové karty s čtečkou a USB tokenu.

Výhody a nevýhody USB tokenu:

+ Odbourání potřeby klasické čtečky, možnost připojení k jakémukoli počítači s USB portem
- Omezená vizuální personalizace
- Omezená nebo vyloučená možnost opatřit token vizuálními a dalšími bezpečnostními prvky, které brání falšování
- Obtížná nebo vyloučená možnost použití bezkontaktního rozhraní
- Zadat PIN lze pouze na klávesnici počítače

Výhody a nevýhody čipové karty:

+ Vyšší bezpečnost při použití čteček s vlastní klávesnicí
+ Možnost využití řady bezpečnostních prvků, vizuálních, dotekových…
+ Možnost vizuální personalizace
+ Možnost umístění bezkontaktního rozhraní k základnímu nebo dalšímu čipu na kartě
- Nutnost použití čtečky
- S plastovou kartou je nutno zacházet ohleduplně, aby nedošlo k jejímu poškození

Z porovnání je zřejmé, že hlavní výhodou USB tokenu je eliminace čtečky, a tudíž možnost použít USB token relativně kdekoli. Výhodou karty je potenciálně vyšší úroveň bezpečnosti a všestrannější použití.

Použití čipové technologie kdekoli a „bez instalace“

V moderních operačních systémech (Windows 7, 8) lze využít službu Windows Update pro automatickou instalaci systémové podpory použité čipové technologie. Nezbytným předpokladem na straně čipu je podpora technologie minidriver a samozřejmě certifikace v programu Windows Hardware Certification. Použití smart čipu je pak v systému Windows instantní, bez nutnosti předchozí instalace softwarové podpory.

Správa čipových karet

Profesionální použití čipových karet vyžaduje řídit jejich životní cyklus. Karta musí být nejprve personalizována, poté vydána držiteli a aktivována pro použití a v případě potřeby odvolána nebo terminována. Nejkomplexnější operací je inicializace a personalizace karty, která se skládá z nahrání aplikací na čip, personalizace aplikací a potisku karty. Tyto operace zajišťuje systém pro správu karet v součinnosti s vhodným personalizačním zařízením.

Správa klíčů

Šifrování dat je prakticky jediným efektivním a při správné implementaci i dostatečně bezpečným způsobem ochrany dat při jejich uložení, přenosu a sdílení. Šifrovací klíče se v organizacích nejčastěji používají pro šifrování e-mailu, notebooků a přenosných médií, případně pro šifrování dat v aplikacích. Silná kryptografie má ale i svoji „odvrácenou stranu“, se kterou se lze setkat při ztrátě kryptografických klíčů nebo poškození jejich nosiče. Pokud se šifrovací klíče nespravují, tak v případě ztráty šifrovacího klíče nebo při odchodu zaměstnance (držitele šifrovacího klíče) je nemožné zašifrovaná data obnovit. Systém pro správu klíčů je proto nezbytnou součástí kvalitní implementace informační bezpečnosti každé organizace.

Správa certifikátů

Hlavní bezpečnostní potenciál čipové technologie spočívá ve využití nesymetrické kryptografie, privátních klíčů uložených na čipu a certifikátů veřejných klíčů. Vzhledem ke komplexnosti implementace infrastruktury s veřejnými klíči (PKI) je žádoucí využívat systém pro správu certifikátů, nejlépe v kombinaci se systémy pro správu klíčů a karet.

Ivo Rosol
Autor je ředitelem vývojové divize společnosti OKsystem, která vyrábí a dodává informační systémy OKbase a OKsmart s integrovaným řešením pro správu čipových karet, kryptografických klíčů a certifikátů.