Podziel się opinią o serwisie
popularne komentowane nowości

Biblioteka Wiedzy poleca

Office 365 - podręcznik użytkownika

Ta książka pokaże Ci, jak wykorzystać chmurowe przetwarzanie danych - a konkretnie Office 365 - aby robić więcej, współpracować łatwiej i działać...
pobierz »

Jak zwiększyć wydajność infrastruktury serwerowej oszczędzając czas i pieniądze? Nowoczesne rozwiązania serwerowe

Niniejszy dokument ma na celu zaprezentowanie sposobów na poprawę funkcjonowania i efektywności działania infrastruktury serwerowej w firmie lub...
pobierz »

Dlaczego warto korzystać z Office 365?

Jakie funkcje i możliwości Microsoft Office 365 decydują o tym, że warto wybrać to rozwiązanie zamiast tradycyjnego pakietu Office i rozwiązań...
pobierz »

Więcej bezpłatnych raportów w serwisie
powiększ tekst >
ARCHIWUM

Z szacunkiem dla prywatności

16 marca 2010

Paweł Krawczyk
Wśród klasycznych funkcji bezpieczeństwa teleinformatycznego, takich jak autentyczność, integralność czy poufność, funkcja anonimowości na pierwszy rzut oka stanowi pewien dysonans. Jednak wobec coraz bardziej rozpowszechnionej legislacji regulującej kwestie prywatności, znaczenie anonimowości będzie rosło.


Computerworld — Przykładem praktycznej implementacji uwierzytelnienia, które szanuje prywatność, jest testowa wersja technologii U-Prove, opublikowana w ubiegłym tygodniu przez Microsoft. Stara się ona elastycznie połączyć legitymowanie się określonymi uprawnieniami z możliwością ograniczenia ujawnianych informacji do niezbędnego minimum.

Analogii do U-Prove można szukać w modelu SPKI/SDSI oraz certyfikatach atrybutów (RFC 3281) związanych z certyfikatami X.509, ale w obu modelach prywatność "okaziciela" nie była głównym celem. W przypadku SPKI/SDSI uprawnienia są przyporządkowane do skrótu identyfikatora użytkownika. Choć wprost nie ujawnia on tożsamości, to z powodzeniem może być zastosowany do profilowania i - dzięki analizie behawioralnej (Narayanan, Shmatikov, 2008) - do jej odtworzenia. Certyfikat atrybutu wprost odwołuje się do identyfikatora właściciela, który co najwyżej może być pseudonimem.

W zdobywających obecnie popularność protokołach federacji tożsamości i pojedynczego logowania (SSO) opartych o SAML, CardSpace, (LiveID czy OpenID, kwestia prywatności również nie jest traktowana priorytetowo.
U-Prove - podobnie jak X.509 - zakłada istnienie zaufanej trzeciej strony ("trusted third party" - TTP), zwanej "dostawcą tożsamości" ("identity provider" - IdP). Strona ufająca ("relying party" - RP) to równocześnie ta, która świadczy usługi klientowi końcowemu. W odróżnieniu od X.509 zaufana trzecia strona wystawia nie certyfikaty tożsamości, a coś w rodzaju certyfikatów atrybutów. W specyfikacji U-Prove są one określane jako twierdzenia lub deklaracje ("claims"), co przypomina podobną konstrukcję znaną z SAML ("assertions"). Ich treść może być dowolna - np. "okaziciel jest pełnoletni", "posiada opłacone ubezpieczenie społeczne", "jest członkiem organizacji X", "jest uprawniony do głosowania" czy nawet "posiada zdolność kredytową do N złotych". Zbiór takich deklaracji można umownie nazwać legitymacją.

Legitymacja w portfelu

W odróżnieniu od protokołów SSO działających online, w U-Prove "legitymację" można przechować. Dzięki temu klient przy udowadnianiu określonych uprawnień, nie musi za każdym razem łączyć się z wystawcą legitymacji, tylko przedstawia egzemplarz przechowywany lokalnie.


Tekst pochodzi z serwisu Computerworld
12 dalej »
Wystaw ocenę:
    Średnia ocena (liczba głosów: 2)
wydrukuj wydrukuj wyslij do znajomegowyślij do znajomego

Komentarze

~Bezpiecznik

  • ocena: 5
  • IP: 195.60.216.126
  • 17-03-2010, 10:23

No w końcu ktoś poruszył ten temat.
Rzeczywiście anonimowość stanowi w bezpieczeństwie informacji "dysonans".
Ale przecież właśnie osoby znające się na bezpieczeństwie najlepiej zdają sobie sprawę z zagrożeń dla anonimowości.
Ale też jako "bezpiecznicy" łamiemy tę anonimowość, bo to nam ułatwia pracę.

~Paweł Krawczyk

  • ocena: brak oceny
  • IP: 89.73.112.161
  • 17-03-2010, 10:44

Bo połączenie jednego z drugim faktycznie nie jest łatwe w praktyce. Nikt nie wdroży na większą skalę systemu kontroli dostępu z anonimowością bez spójnego i standardowego modelu wzorcowego(CYA!). A takiego modelu do tej pory nie było, a przynajmniej mi się takiego nie udało znaleźć.