ET NETERA Správa digitálního obsahu v organizacích Přednáška č. 6 Autentizace, autorizace, práva k obsahu Jiří Štěpán & Martin Kačer,

Y39SDO Správa digitálního obsahu v organizacích 2 Základní pojmy •Autentizace x Autorizace •Autentizace – rozpoznání uživatele („kdo je to?“) –Autentický = pravý; ten, za koho se vydává •Autorizace – přidělení práv („co smí?“) –Autorizace = autorův souhlas/oprávnění •Identity management – systematické řízení autentizace a autorizace

Y39SDO AUTENTIZACE Správa digitálního obsahu v organizacích 3

Y39SDO Správa digitálního obsahu v organizacích 4 Autentizace •Ověření, že daný prostředek je autentický –Typicky: dotyčný člověk je tím, za koho se vydává •Obecně není vázáno na CMS ani web –Přihlášení do (počítačového) systému –Výběr z bankomatu –Podání příkazu k úhradě –Vstup do dveří –…

Y39SDO Správa digitálního obsahu v organizacích 5 Metody autentizace Na základě: •Znalosti –Jméno, heslo, PIN, … •Vlastnictví –Karta, mobil, token, čip, … •Biometrických dat –Otisk prstu, sítnice, hlas, DNA, … •Místních/časových podmínek –Poloha, GPS souřadnice, IP, aktuální čas

Y39SDO Síla autentizace •Autentizace: „silná“ / „slabá“ –Míra důvěryhodnosti •Dvoufaktorová autentizace –na základě dvou faktorů (ideálně různých typů!) •Zvýšení bezpečnosti (zesílení) –Příklad: Jeden faktor 99,9% (1:1000) => Dva faktory ??? –Dva faktory 99,9999% (1: ) –+ Těžší cílení útoků => reálná bezpečnost řádově lepší –Podmínkou je vzájemná nezávislost! Správa digitálního obsahu v organizacích 6

Y39SDO Dvoufaktorová autentizace •Vlastnictví + znalost –Karta + PIN –Heslo + generovaný kód („token“) –Heslo + potvrzující SMS/OTP (vlastnictví telefonu) –Zámek + alarm •Biometrie + něco –Poměrně nákladné –V prostředí webu obtížné (čtecí zařízení) až nereálné •IP + heslo (příp. certifikát) –Levnější varianta Správa digitálního obsahu v organizacích 7

Y39SDO Autentizace z pohledu CMS Webové prostředí (Internet) •Zpravidla odlišná autentizace 2 typů uživatelů –Návštěvníci •Nižší míra bezpečnosti •Časté změny (zasílání, autoregistrace, OTP) •Integrace s webovými SSO –Uživatelé CMS •Vyšší míra bezpečnosti •Integrace s interním SSO / IM –Malý (nulový?) průnik funkcí Intranet •Stejná či podobná autentizace obou stran Správa digitálního obsahu v organizacích 8

Y39SDO Autentizace v prostředí WWW – HTTP •HTTP Autentizace –Standard (W3C) –Popup okno prohlížeče (nelze měnit design ani chování) –BASIC •Heslo se přenáší volně –DIGEST – využití hashování (MD5) •Náročnější na implementaci („nonce“ apod.) •Požadavky na způsob uložení hesla v DB na serveru Správa digitálního obsahu v organizacích 9

Y39SDO Autentizace v prostředí WWW – formulář •Formulářové vstupy –Formulář v HTML •použitelné jen pro případ prohlížeče •lze měnit design a fungování –Heslo se opět posílá v čitelné formě => Šifrování (HTTPS) alespoň pro login –Pak se dál přenáší autentizační informace volně (sessionid) •Alternativa: kompletní provoz na HTTPS Správa digitálního obsahu v organizacích 10

Y39SDO Autentizace v prostředí WWW – certifikáty Klientské certifikáty A.Nekvalifikované –Vydané kýmkoliv („self-signed“) B.Kvalifikované –Vydané pověřenou autoritou (prohlížeč, stát) –Ověřené vůči „reálnému světu“ (občanská identita) –Legislativně může nahradit klasický podpis Možné problémy –Údržba certifikátů, periodická obnova, … –Výkon (každý HTTP požadavek = šifrování) –Distribuce certifikátů a manipulace s nimi •Neporozumění uživatelů problematice SSL Správa digitálního obsahu v organizacích 11

Y39SDO Veřejné autentizační služby Existuje celá řada: –OpenId –Google Connect (identita google uživatele) –Facebook Connect (identita facebook uživatele) –MojeID •Výhody –Uživatel se nemusí registrovat, implementujeme jen napojení –Lze využívat další služby •Nevýhody: –Důvěryhodnost a bezpečnost poskytovatele –Případné změny API, přístupových bodů atp. Správa digitálního obsahu v organizacích 12

Y39SDO Správa digitálního obsahu v organizacích 13 Technologické pozadí autentizace •Založeno na různých technologiích –Asymetrická kryptografie –RFID –Biometrické snímače –Geo-IP •Protokoly a standardy –Kerberos –OpenId

Y39SDO Správa digitálního obsahu v organizacích 14 Kryptografie •„Kryptografie neboli šifrování je nauka o metodách utajování smyslu zpráv převodem do podoby, která je čitelná jen se speciální znalostí.“ (zdroj: •Používá se pro utajení citlivých údajů (přihlašovací jméno, heslo, identifikační číslo, apod.) nebo celého obsahu před nežádoucím odposlechem (např. nezabezpečené přenosové vrstvy nebo protokoly)

Y39SDO Správa digitálního obsahu v organizacích 15 Symetrická vs. asymetrická kryptografie •Symetrická kryptografie –Odesílatel i příjemce mají stejný klíč •Nevýhody –Nutné naprosté utajení klíče! –=> Různý klíč pro různé protistrany –Těžké ověřit původce zprávy

Y39SDO Správa digitálního obsahu v organizacích 16 Symetrická vs. asymetrická kryptografie •Asymetrická –Každý klíč je rozdělený na privátní a veřejnou část, privátní má pouze majitel, veřejnou všichni ostatní •Výhody –Stejný klíč pro všechny protistrany –Šifrování i ověření původu (podpis) •Nevýhody –Citlivá distribuce klíčů (nikoli utajení, ale ověření pravosti!) –Výkon (pomalé šifrování)

Y39SDO Správa digitálního obsahu v organizacích 17 Symetrická vs asymetrická kryptografie

Y39SDO Správa digitálního obsahu v organizacích 18 Radio Frequency Identification (RFID) Nevýhody • snímače nejsou standardem • lze duplikovat

Y39SDO Správa digitálního obsahu v organizacích 19 Biometrické snímače Nevýhody • snímače nejsou standardem • těžko použitelné v prostředí WWW

Y39SDO AUTORIZACE Správa digitálního obsahu v organizacích 20

Y39SDO Správa digitálního obsahu v organizacích 21 Autorizace •Rozhodnutí o oprávnění •Ochrana prostředků –Mohou je používat pouze autorizovaní uživatelé •Rozlišujte: –definici pravidel –jejich vynucování

Y39SDO Pravidlo minimálního přístupu •Bezpečnost se liší od ostatní části systému: –Pokud nefungují bezpečností omezení, není to nikde vidět. Když už to je vidět, bývá zpravidla na nápravu pozdě. => Neodhalí standardní testování => „Penetrační“ testy •Dva extrémní přístupy: 1.Výchozí nastavení: vše povolit. Zakazovat, co je třeba skrýt. 2.Výchozí nastavení: vše zakázat. Povolovat, co je třeba. –Když uživatelé na něco nemají práva, řeknou si. Pokud jich mají příliš mnoho, nezjistí se to. Správa digitálního obsahu v organizacích 22

Y39SDO Uživatelské role •Zařazení uživatelů do skupin (i více) –Dle práce v systému (editoři, korektoři, administrátoři, …) –Dle organizační struktury (vedoucí oddělení, pobočka Brno, …) •Výhody –Usnadňuje a sjednocuje nastavení –Lépe lze definovat zástupnost •Jednoduché •Hierarchické –Příslušnost k roli automaticky implikuje jinou roli Správa digitálního obsahu v organizacích 23

Y39SDO Autorizace – obvyklý postup •Uživatelé (a způsob jejich autentizace) •Příslušnost uživatelů ke skupinám •Definice konkrétních práv –Čtení, zápis, spouštění, schválení, … •Přidělení práv k entitám –ACL = Access Control List –Entity většinou hierarchické (soubory, složky) Správa digitálního obsahu v organizacích 24

Y39SDO Práva v CMS •Práva obecná: –Vytvořit nový asset, editovat, smazat –Schválit, publikovat, „odpublikovat“ •Speciální práva: –Odeslat newsletter, management fóra apod. •Vazba na workflow: –Práva se mohou měnit dle stavu objektu (po schválení může editovat jen někdo atp.) Správa digitálního obsahu v organizacích 25

Y39SDO Pozitivní vs. negativní práva •Ideálně používat pouze pozitivní práva (co kdo smí) –Lépe odpovídá pravidlu minimálního přístupu –Zabraňuje nejasným situacím (konfliktům) •Příklad (hierarchické role i složky) –Skupina Manažeři má přístup do celé složky /root –Skupina Všichni uživatelé má zákaz do složky /root/report –Může člen skupiny Manažeři do složky report ? –Má přednost hierarchie rolí nebo složek? –… atp. Správa digitálního obsahu v organizacích 26

Y39SDO Práva k obsahu •Právo k přístupu –Na základě autentizace •Právo k užití –Licenční podmínky –Copyright / Copyleft –Morální hledisko •Právo k distribuci obsahu Správa digitálního obsahu v organizacích 27

Y39SDO Chráněný nebo nechráněný obsah •Různé přístupy –Všechno chráněné •Copyright, DRM, ochranné svazy, HW/OS/SW, … –Všechno (nebo většina) volně přístupné •Copyleft, GNU/GPL, Free Software Foundation, … –Kombinace obou •Komerční hledisko –Investice do ochrany obsahu –Ztráty z nelegálního užití obsahu –Ztráty z komplikovaného přístupu k chráněnému obsahu Správa digitálního obsahu v organizacích 28

Y39SDO Správa digitálního obsahu v organizacích 29 Okénko do historie ochrany obsahu •1790 Copyright Act •1909 US Copyright Act •1976 US Copyright Act •1992 Audio Home Recording Act •1995 Digital Performance Right in Sound Recordings Act •1998 Digital Millennium Copyright Act •1999 Uniform Computer Information Transactions Act

Y39SDO DRM = Digital Rights Management •Technologie kontroly přístupu k digitálnímu obsahu –Film –Hudba –Dokumenty •Cíl: Vynutit dodržení pravidel daných vlastníkem práv –Distribuce –Počet přehrání/shlédnutí –Doba poskytnutí licence –…. Správa digitálního obsahu v organizacích 30

Y39SDO Metody ochrany obsahu •Watermark –Neodstranitelná, či nezjistitelná identifikace vlastníka •DRM –Obsah je zašifrován přímo pro vlastníka práv –Ověření pomocí •Klientských certifikátů •Online autorizace –Nutná podpora přehrávače/prohlížeče •Časté omezení přehrávačů, systémů apod. –Problém analogové formy –„DRM-free“ produkty Správa digitálního obsahu v organizacích 31

Y39SDO Download or Stream file Step1: Determine Business Rules •Play once (PPV) •Play from referring URL •Subscription •Downloadable •Portable to other devices •Streaming Only •Allow P2P •Play tracking •Licensee reporting Step 3: File is stored to Web server or other media device - DVD, CD, etc. STOP NO Step 2: Package file Encoded file is encrypted using Windows Media DRM Technology and SyncCast DRM Packager SyncCast DRM Server License and user keys stored in SQL database on.net server Step 4: User request to play file from •Downloaded file •Web site •Referring URL •Online application Content License and user Key info checked YES rights verified to user and content keys license Information concerning use of file: Permission granted? SyncCast DRM Dashboard (user info., tracking, rules, etc.)

Y39SDO IDENTITY MANAGEMENT Správa digitálního obsahu v organizacích 33

Y39SDO Správa digitálního obsahu v organizacích 34 Služby IM •Centrální autentizace –Určení identity uživatele / prostředku •Centrální autorizace –Ověření přístupových práv uživatele / prostředku ke zdroji •Centrální audit –Zápis informace o povolení / zamítnutí přístupu uživatele / prostředku ke zdroji

Y39SDO Správa digitálního obsahu v organizacích 35 Identity Management •Správa „identit“ během jejich životního cyklu •Veřejná / interní •Digitální identita –Problém „vícenásobné identity“ •SSO a federalizace

Y39SDO Typický stav IT v organizacích •Aplikace –široké spektrum –heterogenní prostředí –potřeba rychlého a bezpečného přístupu •Uživatelé –zaměstnanci, ale i externisté –příchody a odchody –změny organizační struktury, přechody –dovolené, zastupitelnost –bezpečnostní opatření berou jako zlo

Y39SDO Typický stav – zajímavosti •Zabezpečení spočívá obvykle spíš v důvěře •Průměrný uživatel má 21 hesel –49% uživatelů má heslo v podkladech –50% hesel lze snadno odhadnout –67% uživatelů mění svá hesla zřídka nebo vůbec •Zaměření na interní útoky –jen 25% útoků páchají cizí uživatelé

Y39SDO Typický stav IT – další problémy •Zabezpečení dat –zabezpečení přístupu –ochrana osobních údajů –auditní informace (co kdy kdo dělal) •Protichůdné požadavky –cena zabezpečení a jeho udržení –snížená flexibilita přístupu –personalizace obsahu •Co to dál může zkomplikovat –legislativa (interní i externí)

Y39SDO Důsledky Tento stav způsobuje: •Zvýšené náklady na IT zejména při zavádění nových pracovníků a jiných personálních změnách •Bezpečnostní rizika –Vnější útoky díky slabé autorizaci –Vnitřní útoky zaměstnanců •Nemožnost realizovat služby vázané na jednotnou autorizaci

Y39SDO Principy správy identit •Správa identit je systém, který integruje –procesy organizace –bezpečnostní politiku organizace –technologie •Principy –správa identit a životní cyklus identit –přístup na základě rolí –delegovaná administrace, (částečná) samoobslužnost –kontinuální provoz –audit a reporting –single sign-on, integrace s aplikacemi –Federalizace – spolupráce s externími IM

Y39SDO Správa identit – bez IM

Y39SDO Správa identit – centrální IM

Y39SDO Správa identit – Single Sign-On (SSO)

Y39SDO IM se kterými se můžete setkat •Microsoft - Active directory, NTLM autentizace, … –Není úplný, ale nejčastější •Java based Identity management –Sun / Oracle –IBM Správa digitálního obsahu v organizacích 44

Y39SDO SHRNUTÍ Z POHLEDU CMS Správa digitálního obsahu v organizacích 45

Y39SDO Práva a CMS Zajímají nás: •Podporované metody autentizace –Editorů –Návštěvníků •Možnost integrace s IM ve firemním prostředí •Způsoby přidělování editačních práv •Možnost ochrany publikovaného obsahu pomocí DRM Správa digitálního obsahu v organizacích 46

ET NETERA Děkuji za pozornost Garant přednášky: Jiří Štěpán