Google+
Журнал Плас Плас Журнал http://www.plusworld.ru/
ул. Кржижановского, д. 29, корп. 5 Москва, 117218 Россия
+7 495 961 1065 http://www.plusworld.ru/upload/templates/logo_plus_ru.png
RSS RSS RSS RSS

Аутентификация и защита персональных данных в гетерогенных средах

(Голосов: 3, Рейтинг: 5)

03.06.2013 Количество просмотров 2280 просмотров

5 из 10 типов наиболее опасных угроз связаны с аутентификацией пользователей. Но выход есть!

Павел Шепеленко, защита персональных данных

Павел Шепеленко, руководитель отдела информационной безопасности Intervale

В современном мире невозможно представить себя без интернета и всех связанных с ним удаленных сервисов, начиная от удаленного доступа и заканчивая социальными сетями, интернет-магазинами и иными виртуальными веяниями последних десятилетий…. Пользователям приходится придумывать множество логинов и паролей для всех сайтов, с которыми они взаимодействуют. Это не только неудобно и сложно, но и логично приводит к использованию повторяющихся, а следовательно, далеких от таких обязательных требований, как уникальность и надежность, паролей в различных системах, что в значительной степени увеличивает риски мошенничества и кражи учетных данных. О проблемах, связанных с аутентификацией пользователей и защитой персональных данных в информационных системах, рассказывает Павел Шепеленко.

Когда пароль не ключ, а отмычка...

Право на защиту персональных данных признается одним из фундаментальных прав человека.

Пользователь взаимодействует со множеством информационных систем, в большинстве из которых ему приходится аутентифицироваться. Защита персональных данных в этих системах осуществляется на различном уровне. В идеале, для каждой такой системы у пользователя должен быть уникальный логин и пароль, но в реальности во всех системах потребители, как правило, используют одинаковые учетные данные. Поэтому их компрометация в одной системе влечет взлом аккаунта пользователя и в других системах, независимо от применяемых в них средств обеспечения безопасности. 

Сбор учетных данных множеством сервис-провайдеров, в совокупности с распространением персональных данных в соцсетях, увеличивает вероятность их взлома. Например, информация, которую пользователи используют в качестве подсказок для восстановления паролей (девичья фамилия матери, кличка первого домашнего животного и т. д.), часто становится публичной или легкодоступной.

Кроме того, протоколы безопасности онлайн-сервисов требуют регулярной смены кодов доступа и задают собственные параметры пароля, что еще больше усложняет использование онлайн-услуг. Согласно отчету 2012 Data Breach Investigations Report от Verizon1 в 2011 г. в мире были скомпрометированы 174 млн учетных записей. Задачи защиты персональных данных становятся все более актуальными. Наиболее распространенные угрозы приведены в таблице. 

Как видно, 5 из 10 типов наиболее опасных угроз связаны с аутентификацией пользователей. Что говорит о неэффективной защите персональных данных в существующих схемах обеспечения проверки подлинности. 

Взглянем на мир глазами пользователя. При рождении нам дали первый идентификатор – наше имя, затем появились СНИЛС, ИНН, номер паспорта, номер водительских прав, номер телефона, номер банковской карты и множество других. Теперь вдобавок к этому и без того немалому списку интернет-сайты предлагают нам создать по логину и паролю на каждом из них… Зачем?!

Потери, потери...

Компании, ведущие бизнес онлайн, несут финансовые потери из-за неэффективности глобальной системы аутентификации. Их можно сгруппировать следующим образом:
• Потери от онлайн-мошенничества
• Затраты на создание и обслуживание системы аутентификации
• Недополученная прибыль
Рассмотрим каждый из этих типов подробнее.

Ущерб от онлайн-мошенничества сочетает как прямые потери, связанные с кражей денежных средств пользователей (например в ДБО), так и репутационные потери бизнес-структур и различные штрафы. В качестве примера можно привести социальную сеть LinkedIn, которой пришлось выплатить 5 млн долл. США штрафа за компрометацию 6,5 млн учетных записей.

При этом создание системы надежной аутентификации для критичных онлайн-сервисов обойдется в десятки тысяч долларов и в конечном счете отразится на рентабельности сервиса.

В качестве потерь бизнеса можно рассматривать и недополученную прибыль, связанную с нежеланием пользователя регистрироваться на сайте сервис-провайдера, вследствие чего компания не может идентифицировать своего клиента и вести его в своей CRM, предлагая ему участие в различных акциях и специальных предложениях.

Выход есть?

В апреле 2011 г. в США была утверждена национальная стратегия доверенной идентификации в киберпространстве (National strategy for trusted identities in cyberspace, NTSIC)3, в которой описываются основные принципы построения инфраструктуры доверенной аутентификации для осуществления онлайн-взаимодействия с коммерческими и государственными организациями. В 2012 году была создана управляющая группа по реализации системы доверенной идентификации.

Для подтверждения подлинности пользователей владельцу онлайн-сервиса (relying party) предлагается использовать услуги внешней организации, которая смогла бы достоверно установить подлинность данного пользователя, т. е. аутентифицировать его. Такие организации назвали провайдерами подлинности, или identity provider (IDP).

Кроме того, помимо сервисов, требующих строгой аутентификации пользователя, существует множество онлайнопераций, не требующих однозначной идентификации клиента, или же для них требуется подтвердить ограниченный набор свойств объекта – в таких случаях можно будет воспользоваться услугами провайдеров атрибутов или attribute provider (AP).

В результате вынесения аутентификации в отдельные системы количество учетных записей пользователя значительно сократится, при этом будет обеспечена надежность хранения этих данных, что позволит повысить защищенность всей онлайн-среды и снизить затраты на внедрение и обслуживание системы аутентификации пользователей.

Примерами реализации данной идеи является протокол 3-D Secure, использующийся для аутентификации пользователей в рамках электронной и мобильной коммерции, а также аутентификация через социальные сети, внедренная на некоторых ресурсах, не требующих строгой аутентификации пользователя.

В качестве сервис-провайдеров (relying parties) в рамках идеологии NTSIC выступают компании, предоставляющие услуги онлайн, нуждающиеся в сервисе быстрой регистрации и аутентификации клиентов.

В качестве доверенных провайдеров аутентификации, ДПА (организаций, имеющих возможность с заданным уровнем достоверности подтвердить подлинность пользователя либо передать некий набор его атрибутов), могут выступать компании с большой клиентской базой и выстроенной системой аутентификации, ориентированные на повышение лояльно- сти своих клиентов и привлечение новых

Один за всех

Представим, что идеология NTSIC уже повсеместно распространена и пользователь пользуется 2–3 ДПА для работы в интернете. Какие же сложности появляются у обновленной экосистемы?
• Появляется большое количество ДПА и сервис-провайдеров, которым необходимо будет взаимодействовать друг с другом, что повлечет большие затраты на интеграцию.
• Если пользователь аутентифицируется в системе посредством различных ДПА, то он работает в различных контекстах безопасности, поэтому для сервис-провайдера это разные пользователи. Таким образом, нельзя выстроить объективную картину профиля клиента, что снижает удобство услуги и не позволяет предложить тот продукт, который нужен данному потребителю.
• Для некоторых пользователей сервис может играть очень важную роль (например, e-mail или социальные сети), и они хотели бы, чтобы аутентификация для этих услуг осуществлялась более надежными методами, чем считает владелец сервиса.

Решением этих проблем, по мнению компании Intervale, является внедрение еще одной сущности – агрегатора ДПА (authentication provider aggregator APA), агрегирующего сервис-провайдеров и провайдеров аутентификации и предоставляющего им единый вход в экосистему безопасности. У каждого пользователя будет свой личный кабинет, где будут собраны ДПА, которыми тот пользуется. При аутентификации на сайте сервис-провайдера сайту передается не только контекст безопасности пользователя, но и его идентификатор у оператора, что поможет составить единый профиль для каждого клиента.

вить единый профиль для каждого клиента. Также в личном кабинете пользователь сможет выбрать, для каких сервисов требования при аутентификации необходимо усилить по сравнению с требованиями, заданными владельцем сервиса. При аутентификации в данном сервисе для данной учетной записи потребуется использование более строгих механизмов проверки подлинности, чем требует сервис-провайдер «по умолчанию».

В результате у пользователя появляется единая точка входа ко всем онлайн-сервисам, что освобождает его от запоминания ненужной информации.

Учетные данные пользователя лучше защищены, т. к. их обработку осуществляют только организации с высоким уровнем обеспечения информационной безопасности.

В свою очередь, сервис-провайдер, оставляя за собой задачи идентификафункции его аутентификации на откуп внешним сервисам, снижая затраты на информационную безопасность и повышая лояльность пользователей.

Клиенты охотнее регистрируются в сервисе, что снижает объемы недополученной владельцами сервиса прибыли.

Компания получает дополнительные возможности по персонализации сервисов для своих клиентов на основе данных AP.

При этом компании, взявшие на себя роль ДПА, станут тем самым «окном в мир» для своих клиентов, привязав их к себе. К тому же они смогут брать деньги за оказание этой услуги с владельцев сервисов, и прежде убыточные системы начнут приносить доход.

Примеры: о Мэри, Антонио и не только...

В качестве заключения приведем несколько примеров функционирования экосистемы безопасности, взятых из описания идеологии NSTIC.

Мэри устала запоминать множество логинов и паролей, поэтому получила цифровой сертификат от своего интернет-провайдера, который хранится на смарт-карте. Теперь она может осуществлять конфиденциальные и высококритичные транзакции, такие как использование услуг электронного здравоохранения, онлайн. Однажды утром она использует свою смарт-карту, чтобы запустить несколько заданий, включая:
• вход в интернет-банк;
• покупку свитера в интернет-магазине без необходимости регистрации;
• оформление документов для ипотеки;
• чтение заметок, оставленных ее лечащим врачом в ее электронной больничной карте;
• онлайн-подтверждение приглашения на обед, отправленное ее другом;
• проверку дневного расписания на портале работодателя.

Всего за несколько минут она справилась с этим списком, и теперь у нее есть свободное время, чтобы сходить в кафе по дороге на работу.

Антонио – 13-летний мальчик, который хочет общаться в специальном онлайн-чате для подростков в возрасте от двенадца- ти до семнадцати лет. Родители разрешают ему получить цифровое удостоверение в его школе, которая выступает в качестве провайдера атрибутов, подтверждающее, что он старше 12 и младше 17, не указывая при этом его имени и других персональных данных. Сертификат использует технологию, подтверждающую возраст мальчика и не нарушающую его приватность, т. к. не предоставляет данные о его действиях третьим сторонам. Антонио может общаться анонимно, но быть уверенным, что его собеседники являются его сверстниками.

Анна узнала, что ее банковская карта и карта ее университета являются одобренными идентификаторами экосистемы, также она узнала, что в почтовой службе и социальной сети можно аутентифицироваться посредством обеих карт, а взаимодействие с электронным здравоохранением и ДЕЗом возможно только посредством банковской карты. Анна решает входить в почту и соцсеть через университетскую карту, а в медицинские и коммунальные сервисы – через банковскую. Теперь ей не нужно помнить десятки различных логинов и паролей и она может осуществлять операции различного уровня риска с использованием соответствующей аутентификации без получения дополнительных учетных данных.

Выводы

Нескоординированное развитие онлайнсреды рано или поздно приведет к ее стагнации. Рост числа пользователей и средств доступа в интернет, лавинообразное развитие онлайн-услуг в условиях обособленных правил и методов аутентификации тормозят интеграцию персонифицированных сервисов и, как следствие, создают некомфортные условия для их потребителей.

Создание единой инфраструктуры проверки уникальности пользователя позволит, с одной стороны, повысить лояльность клиентов, с другой – обеспечить оперативное и безопасное взаимодействие с ним сервис-провайдеров. Помимо этого, реализация простых и логичных правил среды онлайн-потребления обеспечит ее гармоничную эволюцию и поступательный рост.


Читать полную электронную версию Журнал ПЛАС № 6 (193) 2013

Комментарии (0):

Добавлять комментарии могут только зарегистрированные Пользователи


Читайте в этом номере:
обновить

а вы знаете, что...

… папуасы Новой Гвинеи изобрели собственную ракушечную «валюту» тамбу, которой пользуются до сих пор? Эти деньги изготавливают из раковин моллюска аркуллярия каллоза. Красивые ракушки очищают, отбеливают, просверливают и нанизывают на шнуры. В таком виде они и являются «тамбу», что на языке папуасов означает «деньги», «богатство».