Jednotná autentizace Pavel Dobiš, ICT Security Architect Důvěřujte JEN PROVĚŘENÝM…

Jednotná autentizace Úvod do jednotné autentizaceTechnická architekturaProcesní architekturaPřínosy Agenda Jednotná autentizace

Metody autentizace se vyvíjí

Typické útoky na oblast řízení přístupu BRUTE FORCEKEYLOGGER BY-PASS SOCIAL ENGINEERING Jednotná autentizace

Autentizace aplikace Autentizace transakce Rozsah autentizace Autentizace kanálu Autentizace zařízení Autentizace uživatele Jednotná autentizace Útočník

Autentizační mechanismy 1. Statické údaje 1. Statické údaje 2. ID zařízení 2. ID zařízení 3. OTP 3. OTP 4. PKI 4. PKI 5. Dodatečná autentizace OOB 5. Dodatečná autentizace OOB 6. Dodatečná autentizace El. podpis 6. Dodatečná autentizace El. podpis statická hesla, bezpečnostní otázky jednorázové hesla webové tokeny, bezkontaktní karty kontaktní karty SMS a EMV a tokeny Jednotná autentizace

Trendy v oblasti autentizace Adaptivní autentizace Sjednocení logického a fyzického přístupu Jednotná autentizace

Sjednocení logického a fyzického přístupu Uživatelský pohled Foto Vstup do budovy Přístup do PC Síťový a aplikační přístup Vzdálený přístup Jednotná správa Personální údaje Jednotná autentizace

Správa klíčů PKI Certifikační autorita Sjednocení logického a fyzického přístupu Jednotná autentizace IDMS CMS Logický přístup Správa/ověření Enrollment stanice Personální systém SchvalovatelZaměstnanec Fyzický přístup CDP

Identity Management System (IDMS) Přímo nebo nepřímo komunikuje se všemi dalšími komponentami; Obsahuje rozhraní pro příjem veškerých identifikačních údajů koncového uživatele nutných pro tvorbu karty; Může být integrován se stávajícími procesy vydávání karet. Jednotná autentizace IDMS

Enrollment Stanice 1/2 Zodpovídá za ověření identity uživatele; Doplňuje veškeré nutné údaje k zaměstnanci; Poskytuje podpůrné služby Typicky se skládá z digitálního fotoaparátu a snímače otisku prstů, případně skeneru. Jednotná autentizace Enrollment Stanice

Enrollment Stanice 2/2 Součástí je self-enrollment Změna PINu; Aktivace karty; Odemčení karty; Hlášení problémů. Jednotná autentizace Enrollment Stanice

PKI Certifikační Autorita Zajišťuje životní cyklus privátní klíče a souvisejícího digitálního certifikátu; Zajišťuje služby pro získání aktuálního stavu certifikátu (typicky CRL, OCSP). Jednotná autentizace Správa klíčů PKI Certifikační autorita

Management Karet (CMS) Systém správy karet zajišťuje životní cyklus karty Zajišťuje podpůrné služby (revokaci, odblokování,…); Integrace s IDMS, PKI službami, systémem potisku karet, servery jednorázových hesel…; Umožňuje přípravu karty pro přenos klíčů; Zajišťuje potisk karet a distribuci karet uživatelům. Jednotná autentizace CMS CDP

Typické role RoleOdpovědnost Zaměstnanec předat doklady potvrzující prokazovanou totožnost Bezpečnostní manažer Zodpovídá za bezpečnostní otázky Schvalovatel zdůvodňuje potřeby zavedení identity a provádí její autorizaci Operátor služby podporující prokázání identity Vydavatel Na základě schváleného požadavku provádí vydání karty s příslušnými oprávněními Jednotná autentizace

Ověření identity a vydání karty Jednotná autentizace Enrollment Vydavatel Operátor Uživatel Schvalovatel Bezpečnostní manažer Ověření identity Uživatelé karty PIV IDMS Systém správy karet

Centralizace autentizační platformy Firewall Uživatel VIP Uživatel Network Autentizační server Informační systém Jméno/heslo Soft token OTP token Knowledge base PKI Jednotná autentizace IVR Mobil web Web portál Call centrum Fyzický přístup

Příklad pohledu uživatele? Metody autentizace v praxi Pracoviště uživateleBezkontaktní karta Mobilní kancelář Bezkontaktní karta a OTP … aneb autentizace v praxi … Jednotná autentizace

OTP Tokeny Hardwarové tokeny S pinemBez pinu Softwarové tokeny Personální počítač Mobilní zařízení SMS/ Webové tokeny Jednotná autentizace

Výběr vhodné metody Authentication process Attacks/Threat Threat Resistance Requirements Level 1Level 2Level 3Level 4 Online guessingYes ReplayYes Session hijackingNoYes EavesdroppingNoYes Phishing/pharmingNo Yes Man in the middleNoWeak Strong Denial of service/floodingNo … alfou a omegou je řízení rizik … a výsledkem je … Zdroj: NIST SP Efektivní výběr metod úzce souvisí s řízením rizik Jednotná autentizace

Jednotná autentizace Aspekty výběru autentizační platformy Celkové náklady Jiné požadavky a omezení Snadnost použití Síla autentizace Riziko Certifikace Zákony Uživatelský požadavek Rozpočet

Přínosy jednotné autentizační platformy Efektivní kombinace autentizačních metod a nástrojůMaximalizace uživatelského komfortu při zachování vysoké bezpečnostiVyužití stávajících autentizačních nástrojůSjednocení fyzického a logického přístupuPodpora pro Self-Enrollment Jednotná autentizace

Jednotná autentizace