Vysoká škola ekonomická v Praze Fakulta informatiky a statistiky Vyšší odborná škola informačních služeb v Praze Tomáš Feszanicz Správa a problematika hesel pro webové služby v prostředí WEB 2.0 Bakalářská práce 2011
Čestné prohlášení Prohlašuji, že jsem bakalářskou práci na téma Správa a problematika hesel pro webové služby v prostředí Web 2.0 zpracoval samostatně a použil pouze zdrojů, které cituji a uvádím v seznamu použité literatury. V Praze dne 23. května 2011 Tomáš Feszanicz
Poděkování Tímto bych chtěl poděkovat Ing. Bc. Davidovi Klimánkovi, Ph.D. za odbornou pomoc, cenné rady a odborné konzultace při zpracování mé bakalářské práce.
Abstrakt Tato bakalářská práce se věnuje problematice správy a ochrany přístupových hesel, využívaných pro přístup k webovým uživatelským účtům. V teoretické části se zabývá charakteristikou a trendy internetového prostředí Web 2.0. Dále se zaměřuje na bezpečnost tvorby a správy hesel, způsobům jejich kompromitace, šifrovacím algoritmům používaným k jejich ochraně a metodám jejich prolamování. Praktická část je zaměřena na představení a porovnání funkcí několika vybraných aplikací pro správu hesel, za účelem vytvoření uceleného přehledu o možnostech komplexního řešení bezpečné správy a ochrany přihlašovacích údajů v lokálním PC i mimo něj. Abstract This bachelor thesis is dedicated to the management and security of user passwords used for access to personal web accounts. The theoretical part deals with the characteristics and trends of Web 2.0, it focuses on password policy, secure password management, ways of compromising, encryption algorithms and hacking methods. The practical part is focused on presentation and comparison of a few selected password managers functions in order to create a comprehensive overview of a secure password management solution on a local PC and beyond.
Obsah 1. Úvod... - 8-2. Vymezení problému... - 10 - Teoretická část... - 11-3. Analýza současného stavu... - 11-4. Web 2.0... - 13-4.1 Od historie po současnost... - 13-4.2 Charakteristiky... - 16-4.2.1 Web jako platforma... - 17-4.2.2 The Long tail... - 17-4.2.3 Wiki systémy... - 18-4.2.4 Reputační systémy... - 19-4.2.5 Desktopové aplikace vs. webové služby... - 20-4.2.6 Mashup aplikace... - 21-4.3 Trendy, Web 3.0... - 22-5. Bezpečnost v prostředí Web 2.0... - 25-5.1 Hesla... - 25-5.2 Bezpečnostní politika a pravidla pro tvorbu hesel... - 26-5.3 Zásady používání a ochrany hesel... - 28-5.3.1 Sociální inženýrství... - 29-5.3.2 Phishing a pharming... - 31-5.3.3 Odhad hesla ze známých informací... - 35-5.3.4 Shoulder surfing... - 36-5.3.5 Dumpster diving... - 36-5.3.6 Fyzický přístup... - 37-5.3.7 Keyloggery... - 37-5.3.8 Zabezpečení hesel na straně poskytovatele... - 38-5.4 Principy šifrovacích algoritmů... - 41-5.4.1 Symetrické šifrování... - 41-5.4.2 Asymetrické šifrování... - 44-6. Prolamování hesel... - 46-6.1 Útok hrubou silou... - 46 - - 6 -
6.2 Slovníkový útok... - 47 - Praktická část... - 49-7. Dostupné nástroje pro ochranu hesel... - 49-7.1 Password manažer... - 49-7.2 Výběr a srovnání aplikací pro správu hesel... - 50-7.2.1 Výběr srovnávaných správců hesel... - 51-7.2.2 AI RoboForm... - 52-7.2.3 Sticky Password... - 55-7.2.4 Aurora Password Manager... - 57-7.2.5 Handy password... - 57-7.2.6 KeePass Password Safe... - 58-7.2.7 TK8 Safe... - 59-7.2.8 Turbo Passwords... - 59-7.2.9 Srovnávací tabulka... - 60-7.3 Alternativní nástroje... - 61-7.3.1 Autentizační tokeny... - 61-7.3.2 Biometrická autentizace... - 62-8. Závěr... - 63-9. Seznam zdrojů... - 64 - - 7 -
1. Úvod Téma pojednávající o problematice bezpečné správy přístupových hesel jsem zvolil proto, že stejně jako v reálném světě i v prostředí internetu se nachází velké množství zločinců, snažících se získat přístup k našim uživatelským účtům a osobním údajům, za účelem jejich zneužití. Internet a jeho služby jsou sice prostředí virtuální, ale toto nebezpečí v podobě kompromitace přístupu do osobních systémů je zcela reálné. Moderní internetové služby a aplikace dnes procházejí vývojovou etapou zvanou Web 2.0, která označuje druhou generaci internetu, který se stále dynamicky vyvíjí zejména v možnostech interaktivity uživatele. V současné době se nacházíme v období, kdy se etapa Web 2.0 pomalu chýlí ke konci a začíná se mluvit o pojmu Web 3.0, který se jistě stane jedním z nejdiskutovanějších pojmů nejen odborné veřejnosti a pojmenuje etapu internetu pro aktuální dekádu. (Těmto etapám se podrobně věnuji v kapitole 4.) Všechny etapy internetu však mají jednu věc společnou a to nejrozšířenější způsob autentizace uživatele při přístupu do internetových systémů a jimi poskytovaných uživatelských účtů. Tím je autentizace pomocí uživatelského jména a hesla. Toto heslo slouží jako virtuální klíč k danému internetovému účtu nebo aplikaci. Zde vstupuje do hry lidský faktor, protože charakter takového virtuálního klíče vyžaduje jeho zapamatování a to z hlediska bezpečnosti představuje nemalý problém. Zabezpečení uživatelských účtů je vždy pouze tak silné, jako jeho nejslabší článek a tím právě nejčastěji bývá sám uživatel, resp. jeho heslo. Uživatel jako člověk lenivý, zapomnětlivý, nebo také často neznalý, mívá tendence volit heslo nekvalitní, snadno prolomitelné případným útočníkem anebo naopak příliš složitá, která si pak neopatrně poznamenávají, nebo zapomínají. Tím se uživatelé omezují a vystavují nebezpečí zneužití citlivých dat. Je proto zřejmé, že problematika správy přístupových údajů má nezanedbatelný vliv jak na bezpečnost, tak na pohodlí uživatele při práci s internetovými službami. Pro účel správy přístupových údajů existují speciální aplikace a nástroje, které si za uživatele všechna jeho hesla nejen pamatují, ale zároveň je za něj i vyplňují do patřičných přihlašovacích formulářů a hlavně se starají o jejich důkladné zabezpečení proti kompromitaci. Mimo to tyto aplikace, zvané password manažery, nabízejí různé další funkce a možnosti pro usnadnění správy hesel. Oproti běžným webovým - 8 -
prohlížečům, které si hesla sice také pamatují, ale uchovávají je nedostatečně zabezpečeným způsobem, tyto speciální správci hesel představují komplexní a zároveň velmi jednoduché řešení této problematiky. Jak jsem v předchozích odstavcích nastínil, budu se v teoretické části věnovat současné vývojové etapě internetového prostředí Web 2.0, jejím charakteristikám a možným trendům budoucího vývoje v nadcházející etapě Web 3.0. Dále podrobně rozeberu teorii autentizace uživatele, bezpečnostní politiku tvorby hesel, způsoby jejich kompromitace, algoritmy používané k jejich šifrování a metody používané k jejich prolomení. V praktické části pak popíšu dostupné nástroje pro správu přístupových údajů, představím několik konkrétních aplikací, jejichž funkce a možnosti pak podle různých kritérií přehledně vyhodnotím. Autentizace pomocí hesel je metoda nejrozšířenější, avšak nikoliv jediná, proto na konci praktické části uvedu i alternativní metody jako jsou hardwarové pomůcky nebo oblast biometriky. Výsledkem této práce by měl být ucelený přehled současné problematiky správy a ochrany přístupových hesel pro webové služby typu Web 2.0, včetně uvedení dostupných možností aplikací pro správu hesel, popis jejich funkcí a přehledné porovnání. - 9 -
2. Vymezení problému V současné době téměř každý běžný uživatel PC a internetu je vlastníkem mnoha virtuálních účtů, jako emaily, internetové bankovní účty, diskusní fóra, účty na sociálních sítích, komunikační aplikace apod. Přístupovým klíčem k těmto účtům bývají nejčastěji osobní hesla, která si uživatelé sami volí a uchovávají v tajnosti. Tato hesla jsou nejrozšířenější metodou autentizace a identifikace uživatele. Vzhledem k tomu, že každý uživatel má svých osobních účtů mnoho a často jsou to i desítky, vzniká problematika uchovávání a správa přístupových hesel v počítači. Pro hesla logicky všeobecně platí, že čím kratší a jednodušší heslo, tím snazší je pro uživatele jeho zapamatování, ale zároveň vyšší riziko kompromitace nebo snadného prolomení. Naopak čím delší a složitější heslo, tím hůře je zapamatovatelné, ale mnohem více odolné proti případným pokusům o prolomení. Pokud by každý uživatel dodržoval zásady bezpečnosti týkající se minimálního počtu znaků, jejich znakové rozmanitosti a nepoužíval pro více účtů stejné heslo, začne být jejich správa v rámci pouhého zapamatování velmi obtížná až nemožná. Tento problém však mnoho lidí řeší neoptimálním způsobem tak, že si hesla zjednodušují, zkracují a používají na mnoha účtech stejná hesla z důvodu snadného zapamatování. Toto řešení je však velice riskantní a vystavuje uživatele zranitelnosti v podobě ztráty svých dat, osobních údajů, cenných informací, finančních prostředku, elektronických účtů nebo virtuálních identit. Existuje mnoho metod jak tyto uživatelské účty prolomit a takových útoků za účelem získání a zneužívání cizích osobních údajů vzhledem k jejich cennosti a obchodovatelnosti stále přibývá. Velmi účinnou metodou jak se proti tomuto problému zabezpečit a zároveň si usnadnit správu uchovávání přístupových hesel bez nutnosti si je pamatovat nebo zapisovat, je využívání pokročilých nástrojů pro správu hesel, tzv. password manažery. Ty se dělí do několika základních kategorií, nabízejí různé podpůrné bezpečnostní i organizační funkce, ale jejich společným jmenovatelem je zcela zabezpečená správa přístupových údajů. - 10 -
Teoretická část 3. Analýza současného stavu Internetové služby, sociální sítě a aplikace jsou v domácím i podnikovém využití všudypřítomné a svým způsobem od základů definují jakým způsobem a k čemu internet používáme. Zároveň se ale stávají novými vstupními body pro hrozby z internetu v podobě internetové kriminality jako je hacking, nebo její moderní verze jako je spamming, phishing apod., jež využívají prolomení virtuálních účtů za účelem získání a zneužití osobních údajů, distribuce nevyžádané reklamy (tzv. spam), nebo utajený monitoring činnosti pro marketingové účely. Toto jsou příklady současných, velmi rychle se vyvíjejících ale také samozřejmě ilegálních metod, využívajících mnohdy nízkého zabezpečení, proti kterým tradiční technologie jako antivirus, hodnocení reputace webových stránek či filtrace URL adres už nestačí a lidé proto hledají komplexní přístup k bezpečnosti, který by jim umožnil nejen snížit počet hrozeb, ale i nároky na správu bezpečnostních řešení a zjednodušil nastavování bezpečnostních pravidel. [1] V mnoha směrech sociální sítě a internetové aplikace již neslouží jen pro osobní potřebu, ale pomáhají obchodním subjektům prodávat výrobky, podporovat své vedlejší služby nebo komunikaci a zvyšovat pracovní produktivitu. Například oddělení lidských zdrojů může používat službu LinkedIn k oslovení nových zaměstnanců, obchodní týmy mohou využívat Facebook k legitimní komunikaci se zákazníky a marketingová oddělení mohou využít Twitter pro sdílení hlavních zpráv nebo zviditelnění posledních firemních novinek. Pro firmy jsou tyto nástroje velice přitažlivé, protože umožňují snadné sdílení informací a komunikaci v reálném čase. Podle organizace Forrester Research lze tyto tendence očekávat i nadále. Forrester Research zároveň předpokládá, že podnikové výdaje na technologie Web 2.0 dosáhnou do roku 2013 celosvětově 4,6 miliardy dolarů. [2] Z firemního hlediska tak již není a nebude možné ignorovat obrovský vliv a přínos těchto internetových služeb a aplikací v oblasti zvýšení pracovní produktivity a konkurenceschopnosti. Charakter webových aplikací, služeb a sociálních sítí uživatelům umožňuje vytvářet síť kontaktů, která je založená na vzájemné důvěře a často přesahuje hranice osobních - 11 -
kontaktů. Uživatelé tak často sdílí nebo šíří informace, obrázky a soubory mnohdy bez jakékoliv identifikace či ověření zabezpečení. Tento pocit bezpečí a důvěrnosti je však poněkud falešný, a proto velmi nebezpečný. Počet případů, kdy je spam, malware apod. distribuován sociálními sítěmi nebo P2P komunikačními aplikacemi rapidně roste. Tyto nové služby a nástroje jsou ideální příležitostí pro útoky založené na sociálním inženýrství a útočníci je umí velmi rychle a efektivně využít. Citlivá osobní i firemní data jsou tak snadno vystavena ohrožení. Odborníci a analytici se shodují na faktu, že právě internetové služby typu Web 2.0 jsou v současné době hlavním terčem útokům a pokusům o prolomení. Všichni uživatelé, ať už jednotlivci, nebo celé firmy či státní orgány, by se proto měli ujistit, že jejich způsoby ochrany proti neoprávněnému průniku do jejich osobních účtů poskytují více než jen detekci možných hrozeb, ale zaměřují se především na jejich prevenci. Organizace Ponemon Institut a společnost Check Point Software Technologies v červnu 2010 zveřejnily celosvětový průzkum Web 2.0: Bezpečnost na pracovišti. Výsledky odhalují, že téměř 82% dotázaných správců IT zabezpečení věří, že sociální sítě, internetové aplikace a widgety významně snížily zabezpečení jejich organizací. Mezi největší problémy, které souvisí s nástupem Web 2.0, zařadili viry, malware a ztrátu dat, v důsledku prolomení uživatelských účtů. Téměř 77% podniků plánuje zavést ochranu před těmito zranitelnostmi během příštích pěti let. Náš průzkum poukázal na rizika, které představují Web 2.0 aplikace - rostoucí počet a rafinovanost bezpečnostních hrozeb se ještě násobí tím, že spousta nástrojů je online a snadno dostupných ke stažení z webu. To je výzva ke zlepšení zabezpečení počítače a tím pádem k ochraně citlivých informací, říká Larry Ponemon, předseda a zakladatel Ponemon Institutu. [3] Bezpečnost internetového prostředí je složitý problém a uživatelé se musí k této nové generaci hrozeb postavit čelem. Efektivní bezpečnostní opatření znamená přidat ke stávající ochraně účtů komplexní zabezpečovací nástroje a integrovat nové bezpečnostní služby do stávající infrastruktury. Využívat řešení, které zajišťuje lepší bezpečnost, je v prostředí internetových služeb pro uživatele naprosto zásadní. Tato řešení musí být navíc možné dostatečně snadno spravovat a přitom být dostatečně flexibilní, aby se mohla vyvíjet podle měnících se bezpečnostních potřeb uživatelů. - 12 -
4. Web 2.0 Termín Web 2.0 je dnes již ustálené označení pro etapu vývoje webových stránek služeb a aplikací, v níž byl pevný obsah internetových stránek nahrazen prostorem pro sdílení a společnou tvorbu obsahu. Týká se období od roku 2004 do současnosti, kdy se již stal celosvětovým fenoménem. Široká veřejnost dnes služby a sítě typu web 2.0 bere jako naprostou samozřejmost a využívá je každý den a to díky mobilním technologiím téměř nepřetržitě. Přitom málokdo si uvědomuje, jaký obrovský pokrok tyto webové služby za posledních několik málo let zaznamenaly. Většina uživatelů proto pojem Web 2.0 nepoužívá nebo ani nezná a vystačí si s již notoricky zaběhlým pojmem web, nebo internet. V této teoretické kapitole podrobně přiblížím vývoj, charakteristiky a možné trendy budoucího vývoje Webu 2.0 a nastávající etapy Web 3.0. 4.1 Od historie po současnost Úplně první výskyt termínu Web 2.0 byl zaznamenán v roce 1999, kdy ho použila Darcy DiNucci ve svém článku Fragmented Future, kde píše: Web, jak ho známe teď, který se jako statický text načte do okna prohlížeče, je jen zárodek webu, který přijde. První záblesky Webu 2.0 se již začínají objevovat a my sledujeme, jak se toto embryo začíná vyvíjet. Web bude chápán ne jako obrazovky plné textu a grafiky, ale jako prostředí, jako éter, jehož prostřednictvím dochází k interaktivitě. ( ) Objeví se na obrazovce počítače, na televizním přijímači, na palubní desce, ( ) na mobilním telefonu, na herní konzoli, ( ) a možná, že i na vaší mikrovlnné troubě. [4] Její použití termínu se zabývá hlavně web-designem, estetikou a propojením internetu s každodenními záležitostmi. Tvrdí, že web je fragmentován kvůli širokému využívání mobilních web-ready zařízení. Její článek se zaměřuje na designéry a připomíná jim stále rostoucí škálu a možnosti hardwaru, čímž sice naznačuje, ale přímo nevystihuje dnešní význam chápání pojmu Web 2.0. - 13 -
Web 1.0 Web 2.0 OBSAH Obsah webu je vytvářen převážně jeho vlastníkem Uživatelé se aktivně podílejí na tvorbě obsahu vlastník je v roli moderátora INTERAKCE AKTUALIZACE KOMUNITA PERSONALIZACE Vytváří nároky na vlastníka, proto jen v nezbytné míře Odpovídá možnostem a potřebám vlastníka Neexistuje, uživatel je pasivní příjemce informací Není umožněna implicitní personalizace Interakce je vítána, má formu diskusí, chatu, propojení s messengery, sociálních profilů Web se stále vyvíjí, je to živý organismus. Tvůrců obsahu mohou být miliony Uživatel je současně ten, o kom se web píše, jednotlivec je součástí rozsáhlé komunity Umožňuje vytvářet a využívat sociální profily čtenářů. Tabulka č. 1: Srovnání vlastností Webu 1.0 a Webu 2.0 [20] Při pokusu o bližší specifikaci pojmu Web 2.0 jsem narazil na problém, který se může na první pohled jevit jako zásadní je to termín, který nelze nijak přesně definovat. Bližší pohled však odhalil, že jinak tomu ani být nemůže, protože Web 2.0 se obecně místo klasických definic uchyluje k polím klíčových slov, což poukazuje na jeho neustálený charakter. Tento výraz se znovu objevuje a začíná získávat na popularitě až v roce 2004, když Tim O'Reilly a John Batelle, zástupci organizací O'Reilly Media a Medialive International, pořádali úplně první konferenci, pro kterou po delším jednání zvolili název Web 2.0 conference (později Web 2.0 summit ). Tento název a zejména jeho část 2.0 je příznačnou metaforou pro druhou generaci, kterou se staly internetové projekty a podnikání po pádu internetových společností v březnu roku 2000, nechvalně známým jako Dot-com crash. Tim O'Reilly ve svém původním rozsáhlém článku What is Web 2.0? [5] mluví o změně přístupu a při pokusu o definici cituje Erica Schmidta (spoluzakladatel a do ledna 2011 výkonný ředitel společnosti Google), který shrnul vše do věty: Don't fight the internet. - což naznačuje, s jak nespecifickým prostorem se setkáváme. O rok později vydává Tim O'Reilly další článek: Web 2.0 Compact Definition: Trying Again [6], ve kterém se znovu pokouší o stručnou definici webu 2.0, která zní: Web 2.0 je revoluce podnikání v počítačovém průmyslu způsobená přesunem - 14 -
k chápání webu jako platformy a pokus porozumět pravidlům vedoucím k úspěchu na této nové platformě. Klíčovým mezi těmito pravidly je toto: tvořte aplikace, které budou díky síťovému efektu s přibývajícím počtem uživatelů stále lepší. (Což jsem jinde nazval zapražením kolektivní inteligence.) [6] Sám O'Reilly uznává (a tím dopředu odpovídá řadě kritiků), že mnoho z těchto pravidel není nijak nových, a např. vize zakladatele world wide webu Tima Berners-Lee o jeho fungování v sobě mnohé z dnes objevovaných pravidel obsahovala, ale buď nebyla plně využita, nebo se jejich hodnota plně projeví až po zapojení dostatečného (kritického) množství uživatelů. Ross Mayfield, výkonný ředitel společnosti SocialText, našel ještě jednodušší definici: Web 1.0 was commerce. Web 2.0 is people. [7] Tato definice se stala velmi mnohokrát citovanou mezi různými americkými odbornými blogy. V jejím výsledku pak vzniká skupina pravidel a vlastností, popisující služby a aplikace spadající do kategorie Web 2.0. Mnoho aplikací této kategorie však vzniklo mnohem dříve, např. Wikipedia v roce 2001, MySpace v roce 2003, dokonce i Facebook již v roce 2004. Pravidla a definice těchto služeb se tak s postupem času spíše upravují a modernizují, než že by se na jejich základě objevovali odpovídající nástupci. Obr. č. 1: Web 2.0 Tag-cloud [8] - 15 -
Jedním z trefných způsobů, jak pravidla a zákonitosti webu 2.0 popsat, je např. tento tag-cloud ; množina vzájemně provázaných klíčových slov neboli tagů. (viz obr. č. 1) Málokterý z moderních webů bude odpovídat všem charakteristikám. Jde skutečně spíše o změnu přístupu, který se jednoduše řečeno vrací zpět k lidem. Co se zejména změnilo, jsou technologické možnosti počítačů a sítí: ASCII grafiku a statické HTML kódy nahrazuje AJAX, XML, SOA, jinými slovy pokrok vyjadřovacích možností a kapacity sítě, ohromný nárůst počtu uživatelů, což není změna pouze kvantitativní ale i kvalitativní. Podle ČSÚ v dnešní době (poslední měřené období je 2. čtvrtletí 2010) pravidelně používá internet ve věkové skupině 16 24 let 92,3% a ve věkové skupině 25 34 let 83,1% jedinců, což je v porovnání s rokem 2005 nárůst o více než 30%. [9] Z těchto údajů plyne paradigma, že být (téměř nepřetržitě) online již není výsadou dospělých nebo bohatých, ale běžnou součástí života zejména mládeže, která zcela převzala určování trendů v této oblasti, na což musí reagovat a reagují i všechna ostatní média. Termín Web 2.0 je však často zneužíván i jako falešná tvář začínajících projektů pod vidinou brzkého odkoupení velkými společnostmi jako Google nebo Yahoo a tím dosažení vysokých výdělků. Takové projekty mají s významem pojmu Web 2.0 společného jen velmi málo a v podstatě na něm parazitují. Připomínám, že tento název vznikl jako pojmenování konference, která vznikla především za účelem shromáždění inovativních idejí v oblasti world wide web a potažmo přesvědčování investorů. 4.2 Charakteristiky Internetové stránky typu Web 2.0 umožňují uživatelům více než pouhé získávání informací. Pomocí vylepšování toho, co již bylo možné v prostředí Web 1.0, poskytují uživateli lepší uživatelské rozhraní, software a datová úložiště a to vše v rámci webového prohlížeče, což bylo nazváno Web jako platforma. [5] Uživatelé se mohou zásobit daty poskytovanými v prostředí Web 2.0 a zároveň nad nimi do určité míry i přebírají kontrolu. Takové stránky mohou obsahovat tzv. Architekturu spoluúčasti, která při využívání takovýchto stránek a aplikací povzbuzuje uživatele k přidávání a upravování dat a interakci celkově. Bart Decrem, zakladatel a bývalý výkonný ředitel společnosti Flock (Flock je webový prohlížeč specializovaný na sociální sítě a prostředí web 2.0, přímo integrované do jeho - 16 -
uživatelského rozhraní), nazval Web 2.0 jako spoluúčastnický web a ohlíží se na Web 1.0 jako na web jako zdroj informací. [10] V této kapitole vycházím zejména z původního již zmíněného článku Tima O Reillyho: What Is Web 2.0 ze září roku 2005 [5] a také z jeho aktuálního pokračování Web 2.0 Five Years On z roku 2009. [11] Zde se mezi hlavní charakteristiky Webu 2.0 mimo jiné uvádí: Bohaté uživatelské zkušenosti, uživatelská spoluúčast, metadata, dynamický obsah a rozšiřitelnost. 4.2.1 Web jako platforma Pro úspěch projektu Web 2.0 je zásadní získání velkého množství unikátních dat, často i důležitější než kvalita produktu jako takového. Příkladem toho mohu uvést server MySpace, který v roce 2006 získal ocenění nejhorší stránky všech dob od renomovaného časopisu PC World. Obecně byl kritizován z hlediska bezpečnosti a také jeho (ne)designu. I přesto však samotné množství uživatelů vytvořilo astronomickou hodnotu serveru, jehož vlastník Rupert Murdoch v roce 2007 odhadoval, že v polovině roku MySpace přesáhne hranici 200 milionů profilů a jeho hodnota tak již v té době dosáhne 6 miliard dolarů. Nejvýše se jeho hodnota vyšplhala na 12 miliard dolarů, aby následně začala opět dramaticky klesat, stejně jako počet jeho aktivních uživatelů, který se v březnu 2011 pohybuje okolo 34 milionů. [12] Stalo se tak v důsledku nástupu konkurenční (i když tematicky mírně jinak zaměřené) sociální sítě Facebook, který se již stal fenoménem první dekády 21. století. V lednu 2011 má kolem 600 milionů aktivních uživatelů a jeho hodnota se vyšplhala na 85 miliard dolarů. [13] 4.2.2 The Long tail Long tail, neboli dlouhý chvost, je pojem původně známý spíše z oboru statistiky, který označuje tu vlastnost křivky mocninného rozdělení, kde po krátké části obsahující málo jednotek s velkou frekvencí výskytu následuje velké množství jednotek s malou frekvencí výskytu. [16] Chris Anderson, šéfredaktor časopisu Wired, se ve svém článku long tailu věnuje a zaměřuje se na důsledky, které technologie do jeho využití přináší. Masová kultura 20. Století byla orientována na hity, tj. hlavu křivky. (viz obr. č. 2) Digitalizace pak postupně zvýšila možnosti volby a posunula společnost a její poptávku směrem ke specializaci, tj. do oblasti chvostu křivky. Díky internetovým obchodům zaniklo omezení v prodeji kvůli nedostatku místa v kamenných obchodech a tím vznikla - 17 -
možnost nabízet i položky, které by se jinak prodávat nevyplatilo, protože by nedosáhly kritického prahu zájmu a tím ani rentability. Po zpřístupnění těchto produktů z oblasti chvostu, se po nich okamžitě začala tvořit poptávka a to nezanedbatelná. Anderson tento fakt dokazuje empirickými daty z prodeje internetových obchodů, které ukazují, že např. v případě obchodu Amazon.com vytváří tato část nabídky (nedostupná v běžných obchodech) až 30% prodeje, přičemž platí, že dalším rozšiřováním počtu nabízených titulů, se podíl této části nabídky stále zvyšuje. [16] Toto využití je podle Andersona klíčové a stojí za nejúspěšnějšími internetovými projekty, které využily výdělku na dříve v podstatě neexistujících produktech a zákaznících. [17] Obr. č. 2: Osa Y vyjadřuje poptávku, či popularitu, osa X množství produktů. Černá barva = HEAD označuje klasickou nabídku, kterou můžeme objevit například v kamenných obchodech, barva zelená označuje LONG TAIL. [19] 4.2.3 Wiki systémy Wiki je slovo pocházející z havajštiny a v překladu znamená rychle. Nárůst popularity wiki systémů začal v roce 2001, kdy vznikla i Wikipedie v současné době nejrozsáhlejší digitální encyklopedie na světě. Wiki software umožňuje vytvářet stránky, jejichž obsah může každý uživatel jednoduše měnit, upravovat a rozšiřovat. (Pro tuto možnost je v případě Wikipedie nutné se registrovat.) Wiki prostředí však mají uplatnění i v řadě dalších oblastí, pro různé účely a na různých platformách. Možnost snadno editovat a přidávat obsah souvisí s dalším prvkem: dostupnost všech předchozích verzí stránky. To je přínosné zejména v případě otevřených systémů, kde - 18 -
hrozí, že uživatel může zneužít možnost editace a znehodnotit nebo smazat celý článek atd. Srovnání dvou verzí umožňuje odhalit i méně zřetelné úpravy a drobné změny v daném článku. [14] Wiki systémy se neobjevují jen na internetu, ale ještě častěji jsou využívány pro interní potřeby organizací a firem, kde často nahrazují statické intranety. V takovém firemním uzavřeném kruhu uživatelů lze dobře kontrolovat a předpokládat nízký počet případů zneužití např. spammery, což stále představuje jednu z nejvýznamnějších komplikací, jimž wiki systémy v současnosti čelí. Wikipedie a tyto systémy jako takové mají však také řadu kritiků, kteří považují tento způsob kolektivní inteligence za nesmyslný a domnívají se, že možnost volné editace vede ke snižování odborné úrovně oproti klasické encyklopedii, či jinému odbornému projektu a šance dosáhnout lepších nebo alespoň srovnatelných výsledků je podle kritických názorů nemožná. Andrew Keen publikoval článek AntiWeb2.0 Manifesto, v němž mimo jiné tvrdí: Je to nástup té nejhorší nízké kultury, ve které jsou elitní obsahy ztraceny a rozpuštěny. Velké mediální koncerny nejsou nutně špatné, a necháteli lidem příliš velkou svobodu, nebudou si s ní vědět rady. [15] 4.2.4 Reputační systémy Přestože reputační systémy nejsou v internetovém prostředí nic nového, jejich uplatnění je velmi důležité a od předchozího využití rozdílné a to z několika důvodů. Jedním je příliš velké množství informací, které je nutné nějakým způsobem třídit. S tím souvisí důvod druhý: zatím stále neexistuje žádná centrální autorita, a internet proto dosud zůstává relativně anonymním prostředím, v němž je obtížné rozpoznat pravou identitu či kvalifikaci participujících uživatelů. (Zcela anonymním prostředím internet však není, za většinou virtuálních identit a nick-namů je možné fyzicky dohledat reálnou osobu, to je však pro běžného uživatele značně obtížné až nemožné, nejedná-li se o případ porušení zákona nebo práv na internetu.) Častým problémem je to, že uživatelé prostřednictvím internetu nakupují zboží, které má reálnou fyzickou povahu, jenže oproti kamenným obchodům nemají možnost si jej fyzicky osahat nebo vyzkoušet. Reklamě a propagačním informacím prodejců uživatelé málokdy věří a chtějí slyšet reálným zkušenostem reálných uživatelů, čemuž dávají subjektivně přednost před inzerovanými fakty. - 19 -
Reputační systémy a jejich plnohodnotné využití stojí mimo jiné za úspěchem některých komerčních stránek jako Amazon, který začínal jako menší americké knihkupectví a postupně expandoval do všech oblastí prodeje a celého světa, nebo ebay, což je dnes aukční server s miliony prodávajících i kupujících uživatelů. Obě tyto společnosti dnes patří k největším a nejznámějším internetovým obchodním značkám, obě předběhly fenomén Web 2.0 o necelých 10 let (byly založeny již v roce 1995) a obě těží z výhod charakteristik, které jsem popsal výše: Individualizace, long tail, wiki systémy a komunitní prvky; Amazon v roce 2007 spustil Amapedii, wiki systém pro hodnocení produktů. Ten se však proti klasickým recenzím příliš neujal a zůstal na verzi beta. ebay pro tento účel využívá blogy. [17] Českou aukční stránkou s velmi dobře funkčním systémem reputací je Aukro.cz, kde při každém proběhlém obchodu hodnotí prodávající kupujícího i naopak, zvolením buď pozitivního, neutrálního, nebo negativního hodnocení a komentářem. Tyto reputační příspěvky jsou pak velmi přehledně rozděleny a vyhodnoceny a na jejich základě si uživatelé budují hodnost v podobě počtu a barvě hvězdiček. Kupující tak má při výběru zboží jasný přehled o kvalitě a věrohodnosti prodávajícího, i naopak. 4.2.5 Desktopové aplikace vs. Webové služby Ještě začátkem jednadvacátého století v podstatě nebylo technicky možné, aby aplikace přestaly fungovat jen jako instalace přímo na osobních počítačích (desktopech) a začaly fungovat plně jako webové služby přes internet. Tato myšlenka využití počítačů jako on-line terminálů sice již existovala, ale její realizaci umožnilo až rozšíření vysokorychlostního internetu, široká adaptace uživatelů na interaktivní webové služby, sociální sítě, sdílení souborů, chatování, přechod z poštovních klientů na webmaily, zkrátka služby typu Web 2.0. Klíčovými společnostmi této oblasti jsou Microsoft (největší aktér v oblasti desktopových aplikací) a Google (největší aktér webových aplikací a služeb). Tito dva giganti si navzájem začali konkurovat, když Microsoft začal pronikat na internet a Google zase do desktopových řešení. Mimo ně je však velká řada menších společností, vyvíjejících obrovské množství webových aplikací všeho druhu. Základním principem je zde využití webového prohlížeče jako platformy, bez nutnosti instalace dalších programů, pouze s využitím základních podpůrných modulů jako Flash, JavaScript, XML, AJAX apod. Dalším faktem, který zmiňuje Tim O Reilly, je to, - 20 -
že služby web 2.0 jsou neustále ve vývoji, nikdy nemají finální verzi, jejich funkce kontinuálně přibývají a kladou důraz na zpětnou vazbu od uživatelů. Jinými slovy software je služba, nikoliv produkt. Tuto logiku využívají open-source produkty jako svůj obchodní model, kde samotný software je zdarma, zpoplatněna je podpora a poradenství. Tuto vlastnost označil O Reilly jako perpetual beta, neboli věčná betaverze, kterou např. Google úspěšně využívá po celou dobu své existence. [18] 4.2.6 Mashup aplikace Mashup aplikace bývají také označovány jako hybridní webové aplikace, které kombinují data ze dvou a více zdrojů. [21] Tyto zdroje bývají zpravidla API (Aplication Programming Interface) nějaké webové služby, se kterým aplikace komunikuje standardizovaným jazykem. Zajímavým příkladem, na kterém lze ukázat základní prvky mashupů je stránka Chicagocrime.org, [22] která získává ze stránek chicagské policie strukturovaný XML dokument obsahující seznam zločinů a podle něj zachycuje jednotlivé zločiny na mapách od Google. Struktura dokumentu a API GoogleMaps pak umožňují vyhledat např. všechny vloupání v lokalitě, kde bydlím, nebo kam se právě stěhuji. Základní architektura mashup aplikací se skládá ze tří hlavních částí: [23] Zaprvé rozhraní použité služby. Nejčastějším modelem je služba poskytující API, se kterou lze komunikovat na základě standardizovaných protokolů, jako jsou RSS, SOAP, REST, nebo pomocí javascriptu atd. Tento případ se týká i zmíněné aplikace ChicagoCrimes, která volá server policie, a ten jí odpovídá strukturovaným XML dokumentem. API pak pomocí javascriptu volá GoogleMaps, která dle potřeby poskytne mapové zdroje. Zadruhé samotná aplikace uložená na webovém serveru. Ta na serveru nemusí běžet jako typický serverový skript (např. PHP, Java Servlet, ASP.NET...), ale je možné vytvořit mashup aplikaci, jež se stáhne do klientského počítače a na něm běží pouze v rámci jeho webového prohlížeče. Třetí částí je klientský počítač s webovým prohlížečem, na kterém aplikace běží. Výhodou mashupů je, že na jejich vzniku a využívání profitují v podstatě všichni. Malí vývojáři získají levně nebo zcela zdarma přístup k velkým, důležitým a nákladově náročným funkcím a zdrojům, které by pro ně bez zveřejněného API byly nedostupné - 21 -
a na kterých mohou postavit budování svých projektů. Díky tomu se do povědomí lidí dostávají jména a projekty velkých firem, které využívají toho, že tam kde je dostatečný počet uživatelů, se dají dobře vydělat peníze. Spokojení jsou i uživatelé, kteří mají k dispozici velký výběr programů a služeb. Obr. č. 3: Nejpoužívanější API pro tvorbu mashup systémů (stav k 15. 4. 2011) [24] 4.3 Trendy, Web 3.0 Definice pojmu Web 3.0 se zatím pevně nestanovila a názory na ni se velmi liší. Jeho podstata však bývá nejčastěji spojována se sémantickým webem a pokročilou personalizací. Conrad Wolfram, britský technolog a obchodník v oblasti informačních technologií, v jednom ze svých článků napsal, že: V prostředí Web 3.0 generuje informace počítač, spíše než lidé, jako tomu je u Webu 2.0. [30] S myšlenkou sémantického webu, jakožto dalšího vývojového stupně internetu, přišel Tim Berners-Lee, podle jehož názoru by sémantické stránky měly být dobře čitelné nejen pro uživatele, ale i pro stroje. Takováto webová sémantika umožní vyhledávačům lépe chápat co hledáme a zároveň budou lépe rozumět obsahu, který vyhledávají, což uživatelům velmi usnadní zadávání klíčových slov. [31] K uskutečnění sémantického webu mají pomoci tzv. mikroformáty. Jejich průkopníkem je Tantek Çelik, který dříve spolu s Bernersem-Lee působil v consorciu W3C. Zde se však prvotní idea mikroformátů jako standard webu neprosadila, proto Çelik z W3C odešel a pokračoval ve vývoji mimo něj. [33] Mikroformáty umožňují přenos specifických dat (např. - 22 -
geografická pozice, adresa nebo událost) z prohlížeče do jiných aplikací. [32] Například když se na internetové stránce nachází přehled nadcházejících událostí, ty si můžeme nechat zasílat pomocí čtečky RSS a když se chceme některé z nabízených událostí zúčastnit, tak se jednoduše po kliknutí sama přidá do kalendáře. Dalším příkladem může být aplikace Foursquare, využívaná na mobilních zařízení, pomocí něhož uživatel určí kde se právě nachází, např. v nějaké restauraci a napíše na ní hodnocení. To se okamžitě sdílí na uživatelově profilu např. na facebooku. Návštěvnost a počet kladných recenzí pro obchodníky představuje obrovský marketingový přínos, za který pak uživatelům těchto aplikací poskytují různé slevy atd. Možnosti v této oblasti jsou téměř neomezené a jsou otázkou dalšího vývoje prostředí Web 3.0. V souvislosti s Webem 3.0 se také často objevují termíny instant mashups, nebo end user mashups, které na rozdíl od současných mashupů umožňují v prohlížeči namíchat jakoukoliv aplikaci s libovolně zvolenými zdroji na internetu. Tím by mělo dojít ke smazání hranic mezi aplikacemi a daty. K tomu se výstižně vyjádřil Eric Schmidt v Seoulu na Digital Fóru: Web 2.0 je marketingový termín. Web 3.0 by měl být o novém způsobu tvorby aplikací, které budou čím dál menší, rychlejší a data budou umístěna v tzv. clouds. Aplikace poběží na jakýchkoliv platformách, PC, mobilní telefony atd. Měly by být velmi dobře modifikovatelné a distribuované pomocí emailů, sociálních sítí atd.. [34] Jinými slovy Web 2.0 připravil pevnou základnu pro nadcházející podstatné změny, které přijdou spolu s Webem 3.0 a udělají z internetu ještě zajímavější, flexibilnější a interaktivnější platformu. - 23 -
Obr. č. 4: Časová osa vývojových etap internetu [35] Autor obrázku č. 4 Nova Spivack [35], označuje jednotlivé etapy jako dekády. Podle něj se nyní nacházíme právě na počátku dekády zvané Web 3.0, která by se měla zaměřit na to, dát webu smysl, tedy zohlednit vztahy mezi jednotlivými obsahy. Otázkou však zůstává, co s sebou přinese stále se vyvíjející internetové prostředí za rizika a hrozby, z hlediska uživatelova soukromí a bezpečnosti jeho dat. - 24 -
5. Bezpečnost v prostředí Web 2.0 Bezpečnost uživatelských účtů a dat se v současné době díky nástupu Web 2.0 stala jednou z nejdiskutovanějších oblastí informačních technologií vůbec. V následujících kapitolách se věnuji hlavně problematice hesel a jejich správě zejména proto, že hesla jsou v současné době nejrozšířenějším způsobem autentizace přístupu na internetové stránky, webové aplikace, ale i desktopové aplikace a operační systémy. Zároveň nic nenaznačuje tomu, že by se to mělo v dohledné budoucnosti měnit. Hlavním důvodem využívání hesel jsou relativní jednoduchost a pohodlnost spojené s jejich každodenním užíváním a to jak ze strany poskytovatelů služeb, tak i ze strany koncových uživatelů. V podnikové sféře, vyžadující mnohem silnější ochranu, se pak využívají sofistikovanější ochranné prvky jako čipové karty, certifikáty, biometrické čtečky atd. (těmto prvkům se stručně věnuji v kapitole 7.3), jejich technické nasazení však zatím není mezi jednotlivými fyzickými osobami příliš rozšířené, protože klasická alfanumerická hesla, nevyžadující žádný přídavný hardware, jsou pro ně dostačující. Mimo výše uvedené se zde budu dále věnovat bezpečnostním pravidlům pro tvorbu používání hesel, způsobům jejich kompromitace a metodám jejich prolamování. 5.1 Hesla Heslo je tajné slovo nebo řetězec náhodných znaků, číslic a speciálních znaků, sloužící pro autentifikaci a prověření identity uživatele při pokusu o přístup ke zdroji informací. Uživatel musí toto heslo držet v tajnosti před všemi osobami, neoprávněnými k přístupu ke konkrétnímu zdroji, ke kterému heslo slouží jako přístupový klíč. Uživatelské jméno a heslo (neboli login) typicky slouží k přístupu do operačních systémů, programů, emailových klientů, databází, počítačových sítí, webových stránek a aplikací atd. Mimo to i v dalších systémech jako jsou mobilní telefony, bankomaty, platební terminály atd. (U těchto zařízení se jedná spíše o přístupový kód, což je typ hesla skládající se pouze z číslic, často označovaný jako PIN Personal Identification Number.) Z důvodu snahy o co nejsilnější zabezpečení při autentizaci uživatelů, jsou systémy, k nimž se přihlašujeme, velmi často vybaveny kryptografickými protokoly, díky kterým je heslo po zadání zašifrováno, aby bylo obtížněji zjistitelné a zneužitelné, zejména při jeho odesílání přes internet nebo ukládání na disku počítače. [36] - 25 -
5.2 Bezpečnostní politika a pravidla pro tvorbu hesel Protože hesla jsou vlastně první linií ochrany uživatelských účtů a práv, je nutné klást velký důraz na ošetření celé problematiky vytváření i použití bezpečnostní politikou, aby byla dodržována jasná a transparentní pravidla. Ta musí obsahovat standard pro vytváření silných hesel, jejich ochranu a četnost změn. Hlavním zdrojem pravidel a norem pro ucelení bezpečnostní politiky ve vztahu k heslům může být organizace SANS Institute 1, pod jejíž záštitou vydala Marsha Williams dokument s názvem Adventures in implementing a strong password policy [37], ve kterém uvádí mnoho užitečných doporučení. Hesla kratší osmi znaků jsou slabá a nedostatečná, navíc při tom nesmí být použito žádné slovníkové slovo, ani vlastní jméno. Dále to nesmí být žádný běžně užívaný pojem nebo informace, posloupnost čísel nebo znaků (např. 123456, aaa, asdf atd.) a zároveň nesmí být heslem cokoliv z výše uvedeného v jakékoliv kombinaci, hláskované pozpátku, nebo pouze doprovázené číslicí. Naopak silné heslo musí být znakově rozmanité, tj. obsahovat malá i velká písmena, čísla, punkční znaménka a speciální znaky. 2 Musí být alespoň 14 znaků dlouhé, nesmí být slovem z žádného jazyka, žargonu či dialektu, tedy žádné souvisle vyslovitelné slovo, ale v ideálním případě nesmyslný řetězec náhodných znaků. (Ovšem s ohledem na jeho zapamatovatelnost.) S hesly by mělo být nakládáno tak, aby nemohlo být okopírováno, nebo odcizeno online cestou. Pro různá prostředí by se nikdy nemělo používat stejné heslo. Heslo nesmí být sdíleno za žádných okolností s nikým včetně přátel, nadřízených nebo administrátorů, stejně tak nesmí být sdělováno telefonicky, nebo jakoukoliv formou elektronické komunikace jako emailem, ICQ atd. Heslo nesmí být ukládáno do žádného elektronického zařízení, jako mobilní telefon, PDA, nebo dokonce zapisováno na papír. Některé systémy mohou vyžadovat periodické změny hesel, typicky čtyřikrát ročně. Při takových změnách by měl systém zabránit k vrácení se k již použitým 1 SANS = SysAdmin, Audit, Network, Security 2 Některé servery nebo systémy mají své vnitřní bezpečnostní politiky, které při volbě uživatelského jména a hesla mohou a nemusí podporovat case-sensitive, číslice a speciální znaky. Málokterý systém pak povoluje mezery a národní znaky jako písmena s diakritikou. - 26 -
heslům. Typickou chybou je střídání dvou hesel stále dokola. Uživatel také musí mít možnost v případě podezření na kompromitaci hesla informovat odpovídající autoritu, která provede následné úkony k zabezpečení dat. Naopak tato autorita musí mít pravomoc hesla kontrolovat, zda splňují všechny předepsané požadavky. Pro přehlednost uvádím seznam zmíněných pravidel: Hesla by měla být dostatečně dlouhá, přijatelně 8 14 znaků Hesla nesmí tvořit žádná smysluplná slova, prolomitelná slovníkovým útokem Hesla musí být plně individuální, nesmí je tvořit nic, co má spojitost s uživatelem a lze obecně odvodit (datum narození, jméno přítelkyně, místo bydliště atd.) Heslo by nemělo být jednoduché, ale ani moc složité z důvodu zapamatovatelnosti Strukturou jednoduchá hesla by měla být o to delší Při tvorbě hesla je možné využít mnemotechnických pomůcek nebo vzorů, které si uživatel sám stanoví Pro více systémů nepoužívat stejné heslo Pravidelně měnit hesla, optimálně čtyřikrát ročně V případě kompromitace hesla nahlásit odpovídající autoritě a heslo obratem změnit. Při použití aplikace pro správu hesel využívat generátor náhodných hesel, která si pak správce uloží. Uživatel si pak musí pamatovat pouze své hlavní heslo. Jako důkaz toho, jak málo uživatelů tuto bezpečnostní politiku zná a dodržuje, uvádím případ sociální sítě RockYou.com z roku 2009, kdy došlo v důsledku selhání bezpečnostních opatření k odcizení databáze přístupových hesel více než 32 milionů uživatelů a to v otevřené, tzn. nezašifrované podobě. Tato databáze je dnes volně přístupná na internetu a stala se předmětem zkoumání mnoha studií, zaměřujících se na statistiku používaných hesel a analýzu myšlení uživatelů při tvorbě hesel. Studie společnosti Imperva [51] uvádí, že 5000 nejpoužívanějších hesel z databáze RockYou, které sdílelo více než 20% uživatelů, byla pouhá jména, slangové výrazy, slovníková - 27 -
slova, nebo triviální řetězce jako sekvence po sobě následujících číslic. V tabulce č. 2 je seznam dvaceti nejčastějších hesel zmíněné databáze. Umístění Heslo Počet uživatelů mající toto heslo Umístění Heslo Počet uživatelů mající toto heslo 1 123456 290 731 11 nicole 17 168 2 12345 79 078 12 daniel 16 409 3 123456789 76 790 13 babygirl 16 094 4 password 61 958 14 monkey 15 294 5 iloveyou 51 622 15 jessica 15 162 6 princess 35 231 16 lovely 14 950 7 rockyou 22 588 17 michael 14 898 8 1234567 21 726 18 ashley 14 329 9 12345678 20 553 19 654321 13 984 10 abc123 17 542 20 qwerty 13 856 Tabulka č. 2: Nejčastěji využívaná hesla v odkryté databázi RockYou.com [51] Studie dále uvádí, že pouhých 0,2% uživatelů měla heslo, jenž se dá považovat za silné, tzn., obsahuje speciální znaky, číslice a velká i malá písmena. Kdyby útočník použil 5000 nejčastěji se vyskytujících hesel a použil je jako slovník pro útok hrubou silou na uživatele sítě RockYou.com, (za předpokladu výpočetní síly umožňující 110 pokusů za sekundu), prolomil by jeden účet každou sekundu, analogicky stačilo by pouhých 17 minut ke kompromitaci 1000 uživatelských účtů. [51] Bezpečnostní politika se svými pravidly a omezeními slouží nejen jako vodítko pro uživatele a administrátory, ale zejména je musí chránit. Existuje mnoho důvodů, ať už je to jen zvědavost kolegy, nebo cílený pokus o krádež informací nebo dokonce finančních prostředků, díky kterým vzniklo mnoho metod, jak z uživatelů při nedodržení pravidel bezpečnostní politiky heslo dostat. O nich více v další kapitole. 5.3 Zásady používání a ochrany hesel Uživatelské jméno a heslo jsou při přihlašování do systému jedinou charakteristikou, podle které má daný systém možnost ověřit identitu uživatele. Cílem každého útočníka (hackera) je nějakým způsobem získat login cizí osoby a díky tomu se za tuto osobu vydávat, vystupovat jejím jménem, nebo provádět různé další aktivity. Z toho důvodu - 28 -
byly postupem času vytvořeny různé metody a postupy, jak se k cenným heslům dostat. Jedná se o hrozby od útoků hrubou silou až po sofistikované lstivé metody jak heslo vymámit přímo od jeho vlastníka. Heslo, jež bylo komukoliv vyzrazeno, není možné dál používat pro ověření identity a je označeno jako kompromitované. Jednotlivé metody útoků vedoucí ke kompromitování hesel uvádím na modelové situaci pomocí schématu č. 5, na kterém je modře znázorněn legitimní uživatel zadávající heslo na svém počítači, pomocí něhož se přihlašuje k vzdálenému informačnímu systému. Červeně jsou pak znázorněny všechny pokusy o neoprávněné získání hesla. Obr. č. 5: Schéma možných způsobů kompromitace hesla [38] 5.3.1 Sociální inženýrství Technické zabezpečovací prostředky sloužící k ochraně hesel se sice rychle vylepšují a rozšiřují, jejich překonávání je stále náročnější, nicméně uživatel je stále pouze člověk a to se nikdy nezmění. Ani ta nejlepší technická opatření nezabrání uživateli, aby své heslo vyzradil, i když nevědomky, nebo v důsledku nedostatku informací a neznalosti následků. Proč vynakládat energii a mnohdy i mnoho času na prolamování účtů pomocí - 29 -
složitých algoritmů, když stačí se uživatele pouze správně zeptat? Právě toho využívá metoda Sociální inženýrství. Jedná se o různé druhy manipulace s lidmi, jejichž cílem je přimět oběť ke sdělení požadované informace, nebo provedení určité aktivity. Klíčovými prvky jsou psychický nátlak a spoleh na typické uvažování lidí v určitých podmínkách jako je stres, spěch, možnost pomoci, pocit důležitosti apod. Cílem sociálního inženýrství je pak zejména: přímé vyzrazení hesla sdělení alespoň částečných indicií vedoucích k odhadnutí hesla návštěva závadné, nebo falešné stránky, ze které je heslo odcizeno nainstalování malwaru, který následně zadávaná hesla odchytí (keyloggery) Poškozený uživatel si pak často ani neuvědomí, že se stal terčem útoku a útočník tak získává dostatek času pro manipulaci se získanými údaji. Výběr vhodného způsobu komunikace s obětí pak závisí na cíli, jehož chce útočník dosáhnout, např. přístup ke konkrétnímu účtu, přístup k libovolnému účtu, nebo jakýmkoliv účtům v co největším počtu. Osobní setkání s uživatelem má výhody přímého kontaktu a zpětné vazby, ale nevýhodou je ztráta anonymity. Toto riziko je proto podstupováno pouze pro velmi cenná uživatelská konta a vyžaduje expertní úroveň sociálního inženýra. Vyšší anonymitu poskytuje telefonický hovor, při kterém lze předpokládat, že oběť po telefonu nerozpozná hlas volajícího a ten se tak může snadno vydávat za cizí osobu. Nejčastější metodou je zasílání emailů, jejíž nespornou výhodou je možnost automatizace. Protože náklady na automatizované zasílání emailů je zanedbatelné, podobně jako u spamu postačí, když zareaguje jen mizivé procento oslovených obětí. Tento pokročilejší způsob klamného sociálního inženýrství se nazývá phishing. Způsobů jak vylákat z uživatele jeho heslo je mnoho, všechny však mají velmi podobný scénář. Útočník spoléhá na neznalost laické veřejnosti, která nezná způsoby ukládání hesel v počítačových a internetových systémech, ani o pracovních postupech v IT odděleních, např. že administrátor ke své práci uživatelovo heslo nikdy nepotřebuje. Oběti je nejprve předložena lákavá nabídka nebo naopak nepříjemný fakt (hrozba blokování účtu, obnova ztracených emailů, možnost výhry atd.), na který musí reagovat za uměle vytvořené časové tísně, aby neměla dostatek času uvědomit si co se - 30 -
děje, případně konzultovat problém s někým méně ovlivnitelným. Řešení problému je pak vždy podmíněno sdělením hesla. Někdy jsou vyžadovány i různé další údaje, aby se mezi nimi heslo ztratilo a opticky se tak snížil jeho význam. Tím že uživatel na tento klamný mail odpoví, dobrovolně sdělí přístupové údaje ke svému účtu útočníkovi. Ten pak může získaný přístup nenápadně zneužívat, v horším případě o něj uživatele zcela připravit. [40] Ochranou proti těmto lstivým metodám, kdy člověk své heslo vlastně vyzradí sám, je pouze vlastní inteligence a vzdělávání uživatelů. Vždy platí pravidlo, nikdy nikomu za žádných okolností heslo nesdělovat, ani v případě, že se vydává za administrátora, nebo kohokoliv jiného. 5.3.2 Phishing a pharming Vzhledem ke zvyšování počtu informovanějších a v dané oblasti vzdělanějších uživatelů, kteří na základě čistého sociálního inženýrství, popsaného v minulé kapitole, odmítají komukoliv sdělit své přihlašovací údaje, se začaly používat sofistikovanější metody: Phishing a pharming. Základní pointou obou těchto metod je přesměrování uživatele na falešnou stránku, která je na pohled k nerozeznání od té legitimní, za kterou se vydává. Uživatel sice může odmítnout sdělit své heslo, ale vzhledem k tomu, že jej používá pro přihlášení, stačí ho přimět k návštěvě nastrčeného serveru, který si přihlašovací údaje uloží. Název metody Phishing je zkratka anglického Password harvesting, neboli sklízení hesel. Protože výsledné slovo je velmi podobné anglickému termínu pro rybaření - fishing, vznikla i v češtině slovní hříčka rhybaření, se kterou se v této problematice můžeme setkat. Pro správnou funkci phishingu musí útočník připravit server, který co nejvěrněji napodobuje uživatelem používanou službu. Nejčastěji se jedná o webové stránky bank, internetové bankovnictví, sociální sítě a jiné zajímavé informační systémy. Uživatel si pak myslí, že se přihlašuje k regulérní službě a zadá své jméno a heslo aniž by tušil cokoliv zlého. Phishingová stránka si tyto údaje uloží, nebo přímo přepošle útočníkovi. Podvedenému uživateli se pak zobrazí hláška, že se připojení nezdařilo, server je nedostupný, nebo je přímo přesměrován zpět na originální stránku. Tím často ani nepozná, že byl podveden. Pro šíření phishingových odkazů je však možné používat i další komunikační kanály jako diskusní fóra, instant messengery, nebo - 31 -