Alternatívy elektronického podpisu, autentifikácie

V tejto časti Vás oboznámime s alternatívnymi spôsobmi vyjadrenia súhlasu s obsahom dokumentu, alebo zistenia/overenia totožnosti. Urobíme tak na príkladoch z bankovej sféry, keďže je to jedna z hlavných oblastí, v ktorej sa dáva dôraz na vysokú bezpečnosť.

Statické heslo

Statické heslo je najpoužívanejšou formou ochrany pred neoprávneným používaním služieb vyžadujúcich overenie. Existuje mnoho rád/pravidiel ako vymyslieť, zapamätať si (resp. uchovávať) heslá a ako ich používať. Ak je to možné odporúča sa zmena automaticky vygenerovaných hesiel a tiež zmena po určitej dobe. Často používaným statickým heslom je PIN (Personal Identification Number), napr. pri platobných kartách (štvormiestne numerické).

Výhody:

• jednoduchosť používania, spravovania
• nízke náklady
• jednoduchá možnosť zmeny aj klientom (stále nie vo všetkých prípadoch)
• nie je potrebné prídavné zariadenie
• pri správnom používaní postačujúca úroveň bezpečnosti pre určité akcie

Nevýhody:

• najnižšia bezpečnosť
• uchovávanie v pamäti (v žiadnom prípade sa neodporúča heslá zaznamenávať na nedostatočne chránené miesta)

Zoznam statických hesiel

V počiatkoch elektronických služieb bankovníctva bol tento spôsob často používaný ako silnejšia forma bezpečnosti. Ide o zoznam statických kódov buď jednorazových, alebo určitým systémom opakujúcich sa (s prvkom "náhodnosti").

Grid karta - momentálne najpoužívanejší bezpečnostný predmet na overenie/potvrdenie aktívnych operácií. Spravidla ide o plastikovú kartu veľkosti platobnej karty s potlačou (aj prípadným embosovaním) kódov usporiadaných do matice s určitým počtom riadkov a stĺpcov. K autentifikácii/certifikácii je potom potrebné zadať kód z konkrétneho miesta na matici, ktoré si bankový systém vyžiada.

TAN (Transactional Access Numbers) - zoznam jednorazových hesiel. Pri potrebe overenia akcie klient zadá ešte nepoužité heslo zo zoznamu v poradí nasledujúce za posledným použitým. Po použití všetkých hesiel, alebo zneplatnení aktuálneho zoznamu klient obdrží ďalší zoznam. Použitie tohto spôsobu autentifikácie/certifikácie je skôr výnimkou.

Výhody:

• jednoduchosť používania
• nízke náklady
• pre mnohé prípady postačujúca miera bezpečnosti overenia transakcií v kombinácii s limitmi

Nevýhody:

• tieto spôsoby potvrdenia aktívnych (bankových) operácií nespĺňajú podmienky integrity a nepopierateľnosti
• nutnosť bezpečného uloženia a používania - bez ochrany použitia; nie je zložité odkopírovanie

Generátor kódov (token)

Zariadenie generujúce kód (napr. numerický, hexadecimálny) na základe algoritmu a vstupných údajov. Zariadenie je schopné generovať buď len jednorazové heslá (OTP - One Time Password), alebo aj kódy zaručujúce integritu transakcií (MAC - Message Authentication Codes). Zariadenia môžu pracovať v režimoch:

• asynchrónny - výzva/odpoveď - do generovania kódu je zarátaná výzva v tvare kódu generovaného serverom
• synchrónny - na základe algoritmu a premenných, ktoré sa menia rovnakým spôsobom v zariadení a na serveri. Pri tomto spôsobe môže dôjsť k rozsynchronizovaniu premenných.

V zariadeniach bývajú použité štandardné algoritmy ako DES, 3DES, ale aj proprietárne - patentované riešenia.

Ako vstupné údaje slúžia premenné - počítadlá, resp. čas, dátum. V prípade MAC aj vybrané údaje transakcie.

Zariadenia sú zvyčajne chránené proti zneužitiu kódom PIN.

Výhody:

• momentálne jedna z najvyšších zavedených a používaných úrovní bezpečnosti
• možnosť generovania kódov zaručujúcich integritu (záleží od zariadenia)
• ochrana pred zneužitím (PIN)

Nevýhody:

• potreba používania zariadenia (nutnosť nosenia, ochrany, údržby)
• niektoré riešenia zadávania/prenosu potrebných údajov pre generovanie kódov

Biometria - informačné a komunikačné technológie

Biometria je veda a technológia autentifikácie, založená na meraní fyziologických vlastností, alebo vlastností týkajúcich sa správania osoby. Pre IKT to znamená meranie fyziologických charakteristík osôb ako sú odtlačky prstov, očné sietnice, dúhovky, hlas, tvár, ruky (napr. ručný podpis). Z týchto techník sa v bankách na Slovensku nepriamo používa len vizuálne porovnávanie zoskenovaného ručného podpisu. Existujú metódy aj na automatické vyhodnocovanie ručného podpisu, tie sa však zatiaľ uplatnili len v niektorých bankách v zahraničí. Uplatnenie tohto automatizovaného spôsobu by zvýšilo bezpečnosť a komfort vyhodnocovania ručného podpisu v úradovniach banky.

Časť odborníkov však poukazuje na vysoké riziká používania biometrických údajov vo virtuálnom svete. Raz odcudzené biometrické údaje už totiž nie je možné používať a biometrická charakteristika ako taká je nemenná, resp. zmena nie je možná na základe potreby zmeny.

Výhody:

• jednoduché, komfortné používanie
• jedinečnosť

Nevýhody:

• potreba meracieho zariadenia
• kvalita a spoľahlivosť výstupu súčasných meracích zariadení
• riziko odcudzenia údajov a nemožnosti použitia daných biometrických charakteristík, odcudzenie identity

Biometria - ručný podpis

Výhody:

• jednoduchosť
• jedinečnosť

Nevýhody:

• nie je zaručená integrita dokumentu
• zložité dokazovanie falošného podpisu