Vahva vs heikko tunnistaminen

Transkriptio

1 Vahva vs heikko tunnistaminen Valtorin tietoturvaseminaari Tommi Simula Johtava asiantuntija, CISM, CISSP, GSEC, MCSE Valtori / Tietoturvapalvelut

2 Mitä tunnistaminen on? Tunnistaa todeta itselleen tutuksi ottaa selville henkilöllisyys huomata, havaita (atk) selvittää käyttäjän identiteetti salasanalla tai avaimen avulla Lähde: sanakirja.org Tunnistaminen: menettely, jolla yksilöidään joku tai jokin, esimerkiksi tietojärjestelmän käyttäjä Lähde: VAHTI 12/2006Tunnistaminen julkishallinnon palveluissa 2

3 Tunnistusmenetelmät Käyttäjän tunnistaminen Käyttäjätunnus + salasana PKI-varmenne (käyttäjävarmenne, toimikortti, USB token, mobiilivarmenne) Kertakäyttösalasana (salasanalista, OTP, RSA SecurID, SMS-challenge) Biometriset tunnisteet (sormenjälki, retina) Laitteen tunnistaminen PKI-varmenne (laitevarmenne, 802.1x) Muu yksilöivä tunniste (IP, MAC, sarjanumero, IMEI) 3

4 Tunnistusmenetelmät Palvelun tunnistaminen PKI-varmenne (SSL-sertifikaatti) Muu tunniste (ip-osoite, DNS hostname) 4

5 Vahva tunnistaminen Vahva tunnistaminen nojautuu kahteen tai useampaan todentamistapaan. Usein käytössä on käyttäjätunnus ja salasana, joiden lisäksi toisena todentamistapana voidaan käyttää esimerkiksi seuraavia ratkaisuja: Toimikortti token-pohjainen tunnistekortti mobiilivarmenne puhelimessa tunnetut, luotettavaksi todetut kansalliset tunnistuspalvelut muu tunnusmerkit täyttävä tekninen ratkaisu, esimerkiksi matkapuhelimeen tuleva tekstiviesti tai puhelu, joka edellyttää yleensä lisäksi käyttäjän tunteman PIN-koodin syöttämistä. VAHTI 3/ Teknisen ICT-ympäristön tietoturvaohje 5

6 Vahva tunnistaminen Jotain mitä tiedät käyttäjätunnus salasana Jotain mitä omistat virkakortti USB token tms. Jotain mitä olet sormenjälki retina 6

7 Heikko tunnistaminen Heikkoa tunnistamista on muu kuin vahva tunnistaminen TT-tasojen minimivaatimus tunnistamisesta perustuu tiedon luokitukseen, yksinkertaistettuna: Julkinen: käyttäjän tunnistaminen suositeltavaa ST IV: käyttäjän tunnistaminen pakollista, vahva tunnistaminen suositeltavaa ST III ja ST II: vahva tunnistaminen pakollista ST I: etäyhteyden kautta pääsy tietoon kielletty Tietojärjestelmän omistaja määrittelee järjestelmään vaadittavan vaatimustason ei voi olla matalampi kuin tietoturvatasojen asettama minimitaso tulee perustua riskien arviointiin ja järjestelmän sisältämien tietojen arvoon 7

8 Tunnistusmenetelmät Käyttäjän tunnistaminen: Käyttäjätunnus + salasana PKI-varmenne (käyttäjävarmenne, toimikortti, USB token, mobiilivarmenne) Kertakäyttösalasana (salasanalista, OTP, RSA SecurID, SMS-challenge) Biometriset tunnisteet (sormenjälki, retina) Laitteen tunnistaminen: PKI-varmenne (laitevarmenne, 802.1x) Muu yksilöivä tunniste (IP, MAC, sarjanumero, IMEI) Palvelun tunnistaminen: PKI-varmenne (SSL-sertifikaatti) Muu tunniste (IP-osoite, DNS hostname) 8

9 Vaatimukset kansallisen aineiston osalta VAHTI 2/2010 Ohje tietoturvallisuudesta valtionhallinnossa: 9

10 Vaatimukset kansallisen aineiston osalta VAHTI 3/2010 Sisäverkko-ohje: 10

11 Vaatimukset kansallisen aineiston osalta VAHTI 5/2013 Päätelaiteohje: 6.3 Laitteen ja käyttäjän tunnistaminen Tulee erottaa toisistaan käyttäjän tunnistaminen laitteelle ja käyttäjän tai laitteen tunnistaminen käytettävälle palvelulle. Suojaustason IV käsittelykykyisissä järjestelmissä käyttäjä voidaan tunnistaa salasanalla tai vastaavalla menetelmällä. Käytettäessä suojaustason III järjestelmiä etäyhteyksillä, tulee käyttää vahvaa tunnistamista. Lisäksi päätelaite tulee tunnistaa käyttämällä organisaation hyväksymää varmennetta tai vastaavaa menettelyä. 11

12 Tunnistautuminen Valtorin palveluihin Yhteyden lähde (tietoliikenne) VY-/VN-verkosta Vaatimukset Perustaso / ST IV Korotettu taso / ST III Tietoliikenneyhteyden suojaus Yhteyden salaus suositeltavaa Käyttäjän tunnistaminen Käyttäjätunnus + salasana Päätelaitteen tunnistaminen Suositeltavaa Yhteyden salaus suositeltavaa Käyttäjätunnus + salasana Suositeltavaa Palvelun tunnistaminen Suositeltavaa Suositeltavaa Julkisesta verkosta etäyhteyden avulla Tietoliikenneyhteyden suojaus Yhteyden salaus pakollista Yhteyden salaus pakollista Käyttäjän tunnistaminen Käyttäjätunnus + salasana Päätelaitteen tunnistaminen Suositeltavaa Käyttäjän vahva tunnistaminen Laitevarmenne Palvelun tunnistaminen Suositeltavaa Palveluvarmenne 12

13 Millainen on hyvä salasana? Tyypillinen politiikka Ehdotus Salasanan pituus: 8 merkkiä Kompleksisuusvaatimus: kyllä Vaihtoväli: 60 päivää Murtamisaika PC:llä: 20 min Murtamisaika STK:lla: 0,06 sek Murtamisaika sateenkaaritaululla: ~0 sek Salasanan pituus: 14 merkkiä Kompleksisuusvaatimus: ei Vaihtoväli: 180 päivää Murtamisaika PC:llä: 39 vuotta Murtamisaika STK:lla: 17 tuntia Murtamisaika sateenkaaritaululla: ei mahdollista 13

14 Kysymyksiä, kommentteja? 14

15 Kiitoksia mielenkiinnosta! 15