Zabezpečení www stránek Teoretická část Petr JANOUŠEK PEF, INFO 5. ročník 2005 / 2006
Autentizace a autorizace ověření totožnosti uživatele pomocí hesla či šifrovacího klíče identifikační kartou pomocí biometriky Autorizace ověření práv uživatele pro vykonání určité činnosti
HTTP autentizace ve standardech protokolu HTTP/1.1 uživatelské jméno a heslo putuje sítí znovu s každým dalším požadavkem lze zabezpečit šifrovaným přenosem nemožnost jakýmkoliv spolehlivým způsobem donutit klientský prohlížeč k "odhlášení"
Formulářová autentizace WWW aplikace sama zašle klientovi stránku s přihlašovacím formulářem po jeho odeslání se data ověří a vytvoří se aktuální session klient nadále zasílá jen session token během uživatelské autentizace by měla být komunikace zašifrovaná ( SSL )
Challenge/response autentizace i přes nechráněný komunikační kanál skriptování na straně prohlížeče (JavaScript) s přihlašovací stránkou zaslán náhodně vygenerovaný řetězec zřetězení zadaného hesla s obdrženým náhodným řetězcem + upravení hashovací funkcí (např. MD5)
Řízení přístupu řešení kontroly a řízení přístupu osob do daného objektu volné řízení přístupu řízení přístupu založené na úrovních citlivosti řízení přístupu založené na rolích
Volné řízení přístupu o přístupu ke zdroji či informaci rozhodováno na základě autentizačních údajů každý vlastník zdroje či informace sám rozhoduje o přidělení přístupových práv ostatním uživatelům zcela podle vlastního uvážení administrátoři systému nemohou řídit přístup centrálně
Řízení přístupu s úrovněmi citlivosti každý uživatel je zařazen na určitou úroveň důvěryhodnosti zdrojům a informacím přiděleny různé úrovně citlivosti při přístupu uživatele k některému objektu se úroveň jeho důvěryhodnosti porovnává s úrovní citlivosti daného objektu každý uživatel může číst a zapisovat informace do stejné nebo nižší úrovně, než do které je sám přiřazen
Řízení přístupu založené na rolích přístup ke zdrojům a informacím je založen na rolích a odpovědnostech každého uživatele o přidělení rolí rozhoduje administrátor aplikace zásada "Least Privilege" - co nejmenší oprávnění každý uživatel má přístup jen k těm částem, které skutečně potřebuje využívat