Heslo do vašeho mobilního zařízení prolomíme za pár minut

Gesto a PIN do mobilních zařízení je možné prolomit do několika málo minut. Jedinou skutečnou ochranou je dlouhé komplexní heslo.

V polovině minulého roku jsem psal o tom, že firma Elcomsoft vyvinula nástroj, který dokáže prolomit heslo do iOS za několik málo minut. Od té doby se na trhu objevilo dalších několik nástrojů, které dělají v podstatě totéž. Např. firma Micro Systemation tvrdí, že dokáže prolomit heslo prakticky do jakéhokoliv mobilního zařízení, jak by také ne, když polovina pracovníků této firmy nedělá nic jiného, než že hledá zranitelnosti v telefonech.

Štítky: , ,
celý článek

Autentizace: správa hesel

Z prognózy vývoje autentizace v dalších letech vyplývá, že hesel se jen tak nezbavíme, a vzhledem k jejich rostoucímu počtu se musíme zamyslet nad tím, jak je efektivně spravovat.

Ukládat hesla v počítači nebo v zařízení, které musí být s počítačem spojeno v okamžiku, kdy chcete dané heslo použít, není bez ohledu na to, jestli jsou hesla v daném úložišti šifrována či nikoliv, úplně ideální, stejně jako zapsat si všechna svá hesla na papírek, který můžete ztratit. Když si ale dokážete zapamatovat jedno komplexní heslo, tak si již žádná další hesla nemusíte pamatovat.

Štítky:
celý článek

Autentizace: prognóza vývoje v dalších letech

Uživatelé bude i nadále používat pro autentizaci do většiny systémů klasické heslo, nicméně stále více organizací, vědomo si hodnoty svých dat, bude zavádět dvoufaktorovou autentizaci.

Bude se jednat především o faktor z kategorie „něco mám“, který je spojen s vlastnictvím nějakého předmětu. Ten bude preferovat většina konzervativních firem. Jestliže ale byl doposud symbolem této kategorie HW token od společnosti RSA, bude jeho podíl na trhu postupně klesat, neboť bude pozvolna vytlačován smartphonem, který umožňuje příjem OTP ve formě SMS nebo je schopen OTP přímo generovat a fungovat jako tzv. SW token.

Štítky:
celý článek

Autentizace: analýza způsobu psaní na klávesnici

Je možné ověřit uživatele na základě toho, jakým způsobem píše na klávesnici?

Ovšem že ano, způsob jakým uživatel píše na klávesnici, je jednoznačně biometrická charakteristika a ta jako taková může být snadno využita v rámci vícefaktorové autentizace. Hlavní výhoda tohoto řešení pak spočívá především v tom, že není nutné instalovat žádný HW, neboť klávesnicí je vybaveno v podstatě každé zařízení a SW, který je k zaznamenání těchto charakteristik potřeba, může být snadno integrován v podobě javascriptu do každé webové aplikace.

Štítky: ,
celý článek

Autorizace transakce v internetovém bankovnictví jednorázovým heslem

V tomto příspěvku se zamyslíme nad tím, jak bezpečně potvrdit transakci v internetovém bankovnictví.

V minulém příspěvku jsme se zabývali otázkou, zda je jednorázové heslo (One Time Password, zkr. OTP) používané v rámci autentizace bezpečné. OTP však nemusí být vždy použito jen pro autentizaci. Např. v internetovém bankovnictví se OTP dost často používá pro autorizaci transakce, kdy uživatel musí každou transakci potvrdit jednorázovým heslem, nazývaným TAN (Transaction Authentication Number) případně mTAN (mobile Transaction Authentication Number) pokud je toto OTP zasíláno na mobilní zařízení klienta ve formě SMS.

Štítky: , ,
celý článek

Autentizace: úskalí hlasové autentizace

Je ověření hlasu dobrý způsob jak zabránit neoprávněnému přístupu do systému?

V minulém příspěvku jsme se zamýšleli nad tím, jak by mohla být provedena autentizace uživatele po telefonu. Řekli jsme si, že uživatel by mohl svoji identitu potvrdit znalostí hesla, svým hlasem a případně i číslem, ze kterého volá. Ignorovali jsme však jednu podstatnou skutečnost, že nejen poskytovatel služby, v naší úvaze banka, chce mít jistotu, že informaci nebo službu poskytuje oprávněnému uživateli, ale že i uživatel chce mít jistotu, že hovoří opravdu s bankou.

Štítky:
celý článek

Autentizace: Jsou jednorázová hesla bezpečná?

Jednorázové heslo (One Time Password, zkr. OTP) je takové heslo, které může být, jak již název napovídá, použito jen jednou a po použití se stává neplatným.

To znamená, že pokud dojde k zachycení OTP útočníkem, nemůže jím být k opětovnému přihlášení použito. Opravdu? Ve většině případů tomu tak je, pokud ovšem útočník zachycené OTP nepoužije dříve než oběť.

Štítky: ,
celý článek

Autentizace: hlasová biometrie

V tomto příspěvku se budeme zabývat otázkou jako ověřit uživatele pomocí hlasu.

Technologie hlasové biometrie (voice biometrics) umožňující autentizaci uživatele pomocí hlasu (voice authentication) v posledních letech pokročila na tolik, že jejímu masivnějšímu nasazení již nebrání ani tak cena, jako spíše stále přetrvávající nedůvěra odborné i laické veřejnosti v její spolehlivost. Není tedy divu, že se s touto technologií můžeme v běžném životě setkat zatím spíše výjimečně, a přitom by se dala poměrně efektivně využít např. v rámci skutečné vícefaktorové autentizace (multi-factor authentication, zkr. MFA) např. pro přístup klienta k bankovnímu účtu nebo k jiným citlivým informacím.

Štítky:
celý článek

Autentizace: Jak vytvořit bezpečnou passphrase?

Passphrase je sdílené tajemství, které se skládá z několika slov a je podstatně delší než běžné heslo.

Z informací uvedených na stránkách Ústavu pro jazyk český vyplývá, že čeština má kolem 200.000 slov, a nejmenší Slovník spisovné češtiny pro školu a veřejnost obsahuje zhruba 48.000 hesel představujících jádro spisovné slovní zásoby, přičemž průměrná délka slova je 5 znaků.

Štítky:
celý článek

Autentizace: Je lepší passphrase nebo komplexní heslo?

V tomto příspěvku se pokusíme zamyslet nad tím, zda místo komplexních hesel nepoužívat raději passphrase.

Pokud přijde řeč na autentizaci uživatele do systému pomocí hesla, tak je uživatel dost často nabádán k tomu, aby používal silná hesla, nikam si je nepoznamenával, pravidelně je měnil a rozhodně nepoužíval stejné heslo na více systémech. Smysluplnosti těchto pravidel jsme se věnovali v minulém příspěvku.

Štítky:
celý článek