Autentikacija uporabnikov
Zanima me, kateri sistem za avtentikacijo večjega števila uporabnikov(več desettisoč) je bolje izbrati. Ali naprimer digitalne certifikate(kombinacija zasebnih in javnih asimetričnih ključev),takoimenovana PKI ali mogoče sistem enkratnih izmenljivih gesel (one time passwords) ali pa mogoče še kaj tretjega?
Kateri sistem je cenovno ugodnejši?
Ter kateri sistem je varnejši.
Kar se tiče ugibanja vseh možnih kombinacij(ti. brute force), so verjetno bolj ranljiva enkratna gesla, vendar za napadalce verjetno manj zanimiva, ker se lahko v sistem logirajo le enkrat, zanje so verjetno zanimivejši standardizirani sistemi z digitalnimi certifikati, vendar pa pri uporabi vsaj 1024 bitnih in večjih ključev verjetno v realnem času ni možno preveriti vseh možnih kombinacij. Predvsem me zanima za vsak sistem posebaj, kako je možno zaščititi strežnike proti tovrstnim napadom z raznimi password oziroma keygeneratorji. Ali je mogoče sistem nastaviti tako, da preprečimo avtomatsko generiranje naključnih gesel, tako da bi naprimer zahtevali med eno in drugo avtentikacijo naprimer določen čas ali pa bi s tem preveč upočasnili logiranje naših uporabnikov? Kar se tiče Privatnih ključev pri digitalnih certifikatih je sicer izračunano, da bi napadalec teoretično potreboval nevem koliko trilijonovbilijonovlet, vendar pa kot vemo algoritmi,ki se uporabljajo za ustvarjanje parov privatnih in javnih ključev niso naključni ampak imajo nekakšno logično zaporedje, podobno velja tudi za algoritme pri enkratnih geslih. Če si predstavljamo najbolj črn scenarij, če bi naprimer nekomu le uspelo ugotoviti omenjene algoritme in kombinacije, bi imel ta posameznik dostop do skoraj vseh svetovnih finančnih sredstev, kar bi v končni fazi lahko pomenilo tudi sesutje svetovnega finančnega sistema in razpad držav!? Skratka kakšna so vaša mnenja glede tega?
Hvala za vaša cenjena mnenja.
Lep pozdrav.
živjo,
no to je moja domača naloga s katero se spopadam že kar nekaj časa.
povej samo ali so to tebi znani uporabniki, ali so to tebi
neznani uporabniki.
ali se ti bodo prijavljali npr:
– na domeno
– na www stran
– na podatkovno bazo.
pa še kaj povej..
Uporabniki so seveda znani, gre se za nekakšen osebni borzni sistem, ki bi deloval v realnem času. Za oddajanje naročil za vrdnostne papirje nekatere borzne hiše še vedno uporabljajo kar navadna gesla, vendar pa nameravamo kasneje omogočiti tudi plačevanje nekaterih računov, kar pa je v bistvu že na nivoju internetnega bančnistva, za kar pa navadna gesla ne zadostujejo več.
Če se s tem že dalj časa ukvarjaš-za domačo nalogo:), potem zelo dobro poznaš delovanje omenjenih avtentikacijskih sistemov in verjetno lako tudi na splošno podaš kakšno mnenje o enih in drugih , o prednostih in slabostih….
lp
mogoče ti na koncu koncev ostane samo certifikaj in sistem enkratnih
gesel.
če bo to zaprt sistem, potem si omisli škatle za postavitev svojega CA sistema, ki so bazirane bodisi na Microsoft…. ali mogoče na Cisco rešitvah..
Ali boste šli npr. tudi v medsebojno priznavanje certifikatov (npr. banke)…
Mogoče je najbolje, da uporabite rešitev npr.:
– certifikat
– sistem 3DES kalkulatorjev za generiranje enkratnih gesel…
saj kaj dosti stvari nimaš na voljo…
poznati moraš svoje zahteve strojne/programske ….
Še na splošno eno vprašanje kar se tiče certifikatov, zakaj naprimer nebi v standardni format, ki ga uporablja za avtentikacijo IE torej *.pfx pormat (PKCS#12) v katerem sta združena certifikat in zasebni ključ vgradili naprimer nekaj skrivnostnih zaporednih znakov, brez katerih se privatnega ključa sploh nebi dalo shraniti v ta file frmat in bi s tem odpadli vsi napadi z možnostjo preizkušanja vseh možnih kombinacij. Ta ideja se mi je porodila čisto naključno, saj mogoče je zelo neumna, pa vendar se mi zdi čudno, ker je toliko govora o teh brute force napadih, da jih nebi preprečili na čisto enostaven način, da bi torej poleg privatnega ključe nebi bil javno znan tudi .pfx format, oziroma Microsoft uporablja *.pvk format za zasebne ključe. Sedaj ko pa so ti formati znani pa lahko vsakdo generira naključne privatne ključe in jih shranjuje v omenjene formate, s katerimi se potem poizkusno logirajo, seveda tega ne počnejo ročno. Ali misliš da nebi bilo možno v praksi kaj takega narediti ali pa je problem v tem,da nobenega file formata ni mogoče na daljše časovno obdobje obdržati skrivnostnega, ker ga slejkoprej rzvozljajo ali pa je problem kje drugje……..!?
lp
mah zakaj pa ne bi certifikata shranil na poseben usb ključek, ki je
namenjem specialno za certifikate, vendar certifikat nikdar
ne zapusti ključka in vedno ostane na njem.
Sploh pa ne vem zakaj bi izvažal privatne ključe – saj je to malce
nevarno – mar ne.
Glede tega, da bi predelal/dodal kakšen byte v certifikat – pa kar pozabi, potem ni več enak originalu in ga bo CA ob preverjanju razglasila za neorginalnega – pa čao vse skupaj :)))
Ne – saj pravim nekaj – razmisli še na kakšen dodatek, npr.
gsm telefoni – boš tudi tja gor dajal certifikate…
mah po mojem je kombinacija enkratnih gesel in certifikata čisto v redu osnovna zaščita..
saj boste imel še kaj več zaščit in ne samo ca ???
Veš neke zaščite so uporabniku vidne, večina jih pa mora biti
uporabniku nevidnih …
po drugi strani, pa mora biti sistem uporabniku prijazen, če ne te bodo
zbrcali :()))
“Glede tega, da bi predelal/dodal kakšen byte v certifikat – pa kar pozabi, potem ni več enak originalu in ga bo CA ob preverjanju razglasila za neorginalnega – pa čao vse skupaj :)))”
No saj mislil sem da bi CA-ji uvedli takšen dodatek.
“Veš neke zaščite so uporabniku vidne, večina jih pa mora biti
uporabniku nevidnih …”
No kaj je uporabniku neznano oziroma nedosegljivo v .pfx formatu?
lp
Forum je zaprt za komentiranje.