Pokud se mi tedy například budete chtít dostat k datům uloženým na disku mého notebooku, pak vězte, že musíte něco mít (šifrovací klíč, kterým jsou data zašifrována), něco znát (heslo) a něco být (musíte projít biometrickou autentizací).
Chápu motivaci, ale tohle je hodně špatně zvolený příklad:
1) Šifrovací klíč i heslo jsou oboje příznakem jednoho a toho samého autentizačního mechanismu (něco znát). Navíc mi v obvyklém případě stačí znát jen jedno z toho (pokud znám klíč, nepotřebuji heslo, pokud znám heslo, dokážu z jeho znalosti získat klíč).
2) Obecně pro zabezpečení dat před lokálním útočníkem lze dobře použít faktor znalosti a s výhradami faktor vlastnictví (má to smysl to jen v případě, že se jeho výstup v čase nemění, a pak ten výstup útočníkovi stačí zachytit jednou a příště ho použít přímo), ale nelze použít faktor "co jsem" (protože to je jen porovnání někde v databázi a útočník vždycky může přepsat porovnávací podmínku z IF (co_jsem = uložený_co_jsem) THEN na IF (pravda) THEN.
ted víte, že budete-li chtít Valáškovi ukrást notebook, máte se schánět i po USB tokenu, kde má šifrovací klíč (tiše předpokládám Bitlocker) :) ale plně souhlasím s ideou, že vezmete-li mu jako neznalý "jen" notebook, je vám k ničemu.
Mám pocit, že to co se tu v tomto vláknu řeší bylo již řečeno v článku. Ano, klíč lze v určitých případech ukrást (pokud jsou prostředky na jeho zkopírování) a lze ukrást i heslo s loginem pokud je někde uloženo v otevřené - nešifrované podobě (což by se stát nemělo). Pak se lze nabourat do asymetrického systému s ukradenou identitou. Samotný proces vstupu a práce v asymetrickém systému je založen na třech krocích.
1. Identifikace (jsem to já - Franta Novák) - login
2. Autentizace (jsem to opravdu já - ověř si to) Heslo (+ ověřovací SMS atp. až po použití šifrovacího klíče tj. el. podpisu v asymetrických systémech)
3. Autorizace (dostanu přístup k objektům ke kterým mám dle své role právo přistupovat)
Pro přístup se obvykle kombinuje několik metod ochrany, jak bylo řečeno v článku, a čím více metod tím menší míra potenciálního rizika.
Tak pokud zadržíte čipovku, tak se se jen přesune do vašeho vlastnictví a žádná znalost se z toho nestane. Pokud jí nezadržíte, tak buď umíte udělat její duplikát, nebo nevíte jak čipovka funguje (není to fleška kde by byl nahrán nějaký soubor s klíčem, jak si možná myslíte)
Drahý Lojzo, bavíme se o šifrovaných datech na disku. Tam to funguje trochu jinak než u autentizace prostřednictvím čipových karet - například skutečně jde "vytáhnout klíč". Právě proto píšu, že to je nevhodný příklad. Takže ne, neumím udělat duplikát, ani to umět nepotřebuju, a ano, vím jak čipovka funguje.
Upozorníme vás na články, které by vám neměly uniknout (maximálně 2x týdně).
