Čipové karty, případně USB tokeny, jsou dnes jediným opravdu bezpečným úložištěm privátních informací uživatele. Patří mezi ně především privátní podpisový klíč, šifrovací klíče či různé autentizační informace, které jsou používány k autentizaci uživatele a elektronickému podpisu v rámci informačního systému organizace, e-business, e-banking, e-government a dalších. Jedním ze společných prvků autentizace uživatelů je databáze nebo adresář uživatelských účtů obsahující informace o uživateli, uživatelovy role a přístupová práva k jednotlivým částem informačního systému. Prostředky pro autentizaci, nástroje pro správu uživatelských účtů, přístupových práv a záznam událostí nad uživatelskými účty se souhrnně nazývá identity management (IM), někdy také identity and access management (IAM). Co všechno je nutné provést pro zavedení IM a čipových karet vám přiblíží následující text.

Důvody implementace IM a čipových karet

Autentizace patří mezi základní bezpečnostní prvek informačního systému (IS), na kterém jsou závislé další bezpečnostní mechanismy. V praxi to znamená, že uživatel se během své práce v IS musí opakovaně autentizovat k jednotlivým částem a službám. Ke každé části musí použít své uživatelské jméno a heslo, protože všechny části IS nepoužívají jednotnou databázi nebo adresář uživatelských účtů. Hesla si uživatel sám volí, mění a je zodpovědný za jejich ochranu proti zneužití jinou osobou. Množství různých hesel má za následek používání jednoduchých zapamatovatelných hesel, jejich poznačení a sdílení s jinými uživateli, což snižuje důvěryhodnost autentizace. Navíc používání různých hesel generuje velké množství požadavků na helpdesk při zapomenutí uživatelského hesla a žádosti o znovu nastavení hesla nového. Tyto incidenty znamenají nemalé finanční náklady spojené s provozem helpdesku a časových ztrát pramenících z nedostupnosti IS uživateli. Zvýšení bezpečnosti autentizace a snížení nákladu na provoz systému autentizace bývá prvním důvodem k zavedení IM a čipových karet.
Dalším důvodem k zavedení IM a čipových karet je složitá a neprůhledná správa databází a adresářů uživatelských účtů. Velmi málo IS má přesně popsány procesy, které je nutné dodržet při založení, změně, mazání uživatelských účtů a přiřazení příslušných přístupových práv. Tyto operace jsou prováděny správci jednotlivých částí IS na základě požadavků, které mohou přijít v podstatě od kohokoli z organizace a možná i mimo ni. Provedené akce nad databází nebo adresáři uživatelských účtů nejsou nikde zaznamenány a není možné danou akci zpětně dohledat.

Příprava implementace IM a čipových karet

Zavedení IM a čipových karet je podmíněné nákupem čipových karet a čteček, implementací klientského a správcovského softwaru a zavedením správných organizačních procesů. Příprava implementace není záležitostí pouze oddělení IT, ale je nutná spolupráce napříč organizací včetně vedení organizace, které musí implementaci IM a čipových karet zahrnout do strategie rozvoje IS.
Při provádění analýzy nezapomeňte provést hodnocení současného stavu IS s ohledem na autentizaci a správu uživatelských účtů, definujte přesný cíl zavedení IM a čipových karet a připravte podklady pro obhájení strategických důvodů zavádění IM a čipových karet před vedením organizace. Při obhajování je možné vycházet z norem pro bezpečnost informací a provoz IS (např. ISO 17799:2005, SOX, Basel II). K obhajobě projektu je vhodný výpočet návratu investice (ROI), protože zjednodušení autentizace a správy uživatelských účtů snižuje náklady pramenící ze zatížení helpdesku a zvyšuje dostupnost IS.
Další velmi důležitou částí přípravy implementace je zvolení správného typu čipových karet nebo USB tokenů, klientského a správcovského softwaru pro IM. Čipové karty a USB tokeny, které jsou dostupné na trhu, mají velmi podobné vlastnosti s minimálními podstatnými rozdíly. U klientského a správcovského softwaru dostupného na trhu jsou rozdíly daleko větší. Z důkladné analýzy prostředí IS organizace musí vystoupit požadované parametry na výběr vhodného softwaru.




Obr. 1: Příklad softwaru pro řízení životních cyklů uživatelských účtů a čipových karet v systému identity managementu

Kritéria pro výběr produktu IM a čipových karet

Správcovským softwarem rozumíme část IM, která poskytuje funkce pro správce, operátory a pracovníky helpdesku, kteří jsou odpovědni za provoz IM. Pomocí správcovského softwaru je možné provádět v IS správu uživatelských účtů, správu přístupových práv, správu čipových karet a audit nad těmito operacemi. Správcovská část musí podporovat různé role uživatelů, kteří jsou oprávněni se správcovským softwarem pracovat. Do jednotlivých rolí můžou patřit uživatelé z různých oddělení organizace (např. správa IS, správa IT, personální oddělení atd.).
Správcovský software IM poskytuje rozhraní pro řízení životního cyklu uživatelských účtů a řízení pracovních postupů kolem uživatelských účtů. V rámci životního cyklu uživatelských účtů musí existovat primární databáze uživatelských účtů, ve které jsou uloženy informace o účtech, které mají být vytvořeny, u nichž probíhá schvalovací proces, účtech schválených, blokovaných a již neexistujících účtech v rámci IS. Primární databáze uživatelských účtů dále obsahuje informace o přístupových právech uživatele v rámci IS. Veškeré operace s uživatelskými účty se dějí nad touto primární databází, ze které jsou informace synchronizovány do dílčích databází a adresářů IS. Každá operace je zaznamenána a je možné ji zpětně dohledat v rámci auditu IM.
Při řízení pracovních postupů (workflow) správy uživatelských účtů je důležitá spolupráce s personálním systémem, který je výchozí pro vstup informací do primární databáze uživatelských účtů. Při vytváření uživatelského účtu v rámci IS dochází k vydávání čipové karty s privátními údaji o uživateli. Při této operaci jsou generována hesla nebo dochází ke generování klíčového páru a vydání certifikátu certifikační autoritou. Při vydávání čipové karty je nutná personalizace vydávané karty, která spočívá v nastavení vlastností a potisku karty. Dále je generován obsah čipové karty a příprava karty pro předání uživateli, během které dochází k nastavení uživatelova PIN kódu a jeho vytištění do černé obálky. Všechny operace musí být opět zaznamenány pro pozdější audit.
Během životnosti uživatelského účtu musí správcovský software IM umožňovat vydávání nových čipových karet, blokování uživatelských účtů a opětovnou aktivaci, odblokování zablokovaných čipových karet a řešit nouzové stavy spojené se ztrátou, poškozením nebo zablokováním čipové karty.
Při odchodu zaměstnance z organizace je nutné odstranit uživatelské účty z IS, vymazat obsah čipové karty a revokovat vydané certifikáty. Všechny informace o uživateli včetně záznamů provedených operací s příslušným uživatelským účtem zůstávají v primární databázi uživatelských účtů.
Klientský software IM je součástí každé pracovní stanice, na které je možné použít čipovou kartu. Tento software umožňuje především autentizaci do operačního systému, síťové a aplikační infrastruktury IS, použití čipových karet pro elektronický podpis a šifrování dat, řešení nouzových stavů souvisejících se ztrátou, poškozením nebo zablokováním čipové karty. Řešení nouzových stavů je velmi důležitou částí pro zachování dostupnosti IS, protože uživatel nemůže pracovat s IS bez čipové karty. Uživatel musí mít k dispozici prostředky pro kontaktování helpdesku ještě před přihlášením do operačního systému. Za pomocí helpdesku je pak možné provést odblokování zablokované čipové karty nebo vygenerovat informace, které umožní náhradní přístup do IS bez čipové karty. U notebooků musí existovat možnost řešení nouzových stavů bez síťové konektivity. Řešení nouzových stavů nesmí snížit bezpečnost, kterou používání čipových karet zvyšuje.




Obr. 2: Schéma standardního začlenění a využívání IM v rámci IS organizace

Závěr

Implementace IM a zavedení čipových karet sníží provozní náklady spojené se správou a autetntizací uživatelů. Současně s tím zvýší bezpečnost IS organizace, což má za následek především zvýšení důvěrnosti a neporušitelnosti dat uložených v IS. Vhodný klientský a správcovský software je klíčový pro úspěšnou implementaci a provoz systému IM a čipových karet.

Autor pracuje jako ředitel rozvoje ve společnosti SodatSW, která provádí vývoj a implementace řešení User Management and Identity System PassManager, Desktop Security System AreaGuard a Desktop Management System OptimAccess.