Zabezpečení založené na identitě (Identity-based security) je bezpečnostní model, který určuje, zda bude uživateli přiděleno oprávnění přístupu ke zdroji na základě identity uživatele. V rámci tohoto modelu je oprávnění přístupu přiděleno ke konkrétnímu identifikátoru subjektu (např. uživatelské jméno). Přístup ke zdroji je subjektu udělen pouze v případě, že takové propojení existuje.

Modely založené na identitě potřebují určité informace o totožnosti uživatelů, kteří žádají o přístup. Například poskytovatel informací potřebuje ověření totožnosti u žadatele. K tomu slouží SAMPL (Security Assertion Markup Language), který splňuje kritéria potřebná k předávání informací o identitě.

Historie Identita existovala dlouho před počítači a online správou. Lidé dostávali jména, a právě jméno osoby představovalo její identitu. V digitálním světe se identita od té, kterou známe z běžného života tolik neliší. Stále máme jedinečné identifikátory, abychom mohli rozeznávat jednotlivé uživatele.

První digitální identity vytvořil Fernando Corbató, který v 60. letech 19. století zavedl používání hesel k uchování soukromí u jednotlivých souborů. Zavedení hesla souviselo s operačním systémem pro počítače zvaným Compatible Time-Sharing System (CTSS), který vyvinul Corbató. Operační systém CTTS umožňoval rozdělit výpočetní výkon počítače, aby mohl sloužit více uživatelům najednou.

Techniky ověřování Model zabezpečení založený na identitě využívá k identifikaci více technik k ověřování včetně toho:

Co uživatel má – Uživatel musí mít objekt neboli bezpečnostní token, který mu umožní přístup. Co uživatel ví – Uživatel musí vědět přístupový kód, nejčastějšími přístupovými kódy bývají hesla nebo čísla PIN. Co je součástí uživatele – Identifikace uživatele proběhne pomocí jeho biometrie a nejběžnějšími biometrickými metodami jsou otisk prstu a rozpoznání obličeje.

Pokud je při ověřování vyžadováno více kroků, jedná se buď o dvoufázové ověření (2FA) nebo vícefázové ověření (MFA). To znamená, že k přístupu je potřeba například kombinace toho, co uživatel ví (heslo) a co je součástí uživatele (otisk prstu).

Všechny tyto techniky jsou spolehlivé při udělování oprávnění přístupu, ale ani jedna neřeší skryté hrozby. Největší zranitelnost tohoto modelu je v tom, že uživatel, kterému jsou přidělena oprávnění přístupu na základě jeho důvěryhodnosti nemusí být důvěryhodný navždy.

Seznam řízení přístupu Jedním z příkladů, jak model zabezpečení založený na identitě funguje je využívání seznamu pro řízení přístupu (Access Control List), který se běžně vyskytuje v operačních systémech a síťových bezpečnostních službách. Koncept seznamu řízení přístupu je velmi jednoduchý. Jedná se o tabulku, která určuje, jaká přístupová práva má uživatel ke konkrétnímu zdroji, označovanému jako objekt, například k jednotlivým souborům. Každý objekt v systému, ke kterému je kontrolován přístup má svůj vlastní seznam řízení přístupu, který zahrnuje položku pro každého uživatele systému s přístupovými oprávněními. Nejčastějšími oprávněními jsou čtení a zápis.

Výhody Umožňuje efektivně a snadno kontrolovat k jakým funkcím, službám nebo procesům uživatelé mají přístup.

Nevýhody Počet identifikátorů v seznamu řízení přístupu se zvyšuje s počtem uživatelů, kteří požadují přístup, což znemožňuje škálování těchto přístupů. Při každém zjišťování oprávnění přístupu musí být kontrolován seznam řízení přístupu, to je považováno za neúčinný způsob kontroly.

Další modely řízení přístupu MAC – Mandatory access control

DAC – Discretionary Access Control RBAC – Role-Based Access Control ABAC – Attribute-Based Access Control HBAC – History-Based Access Control OBAC – Organizational-Based Access Control

Odkazy Reference

Související články GNU Hurd – operační systém využívající zabezpečení založené na identitě

Kategorie:Počítačová bezpečnost Kategorie:Řízení přístupu