r14 2

[ Pobierz całość w formacie PDF ]
.Wykorzystaniekarty inteligentnej do uwierzytelniania u�ytkowników jest idealne w sytuacjach,gdzie wa�ne s� dodatkowe zabezpieczenia, na przyk�ad przy dost�pie do aplikacjip�atniczych.Karty inteligentne s� bardziej bezpieczne od hase� z kilku powodów:Do uwierzytelnienia u�ytkownika potrzebny jest obiekt fizyczny � karta.Karta musi by� u�yta razem z osobistym numerem identyfikacyjnym (PIN), copomaga upewni� si�, i� w�a�ciwa osoba u�ywa karty.Ryzyko ataku za pomoc� skradzionego uwierzytelnienia jest skuteczniewyeliminowane, poniewa� nie mo�na fizycznie wydosta� klucza z karty.Bez karty napastnik nie ma dost�pu do zasobów chronionych przez Smart Card.W sieci nie s� przesy�ane w �adnej postaci has�a lub inne informacje nadaj�cesi� do ponownego wykorzystania.UwagaFunkcjonalno�� kart inteligentnych (Smart Card) uwa�ana jest przez Microsoft zatak wa�n�, i� zosta� opublikowany model ��czenia i wykorzystania czytników kartinteligentnych z Windows 2000.Model ten opiera si� na specyfikacji PC/SC(Personal Computer/Smart Card) i na wbudowanej w Windows 2000 implementacjiSCard COM, stanowi�cej zbiór obiektów interfejsu COM, z których mo�na budowa�interfejsy wysokiego poziomu lub aplikacje u�ywaj�ce kart inteligentnych.Microsoft s�usznie oczekuje, i� logowanie za pomoc� kart inteligentnych wprzysz�o�ci stanie si� wa�n� funkcj� wykorzystywan� przez coraz wi�cej firm.Wpraktyce mo�emy zacz�� bra� sobie do serca karty inteligentne dla zwi�kszaniabezpiecze�stwa najbardziej wra�liwych kont u�ytkowników (szczególniewszechpot�nych kont administracyjnych, poniewa� równie� dla administratorówzmniejszy to potrzeby pami�tania szeregu hase�), oraz dla u�ytkownikówloguj�cych si� spoza organizacji.Prosz� pami�ta�, i� logowanie za pomoc� kart inteligentnych dopiero raczkuje.Ztego powodu � jak równie� z powodu delikatnej natury logowania kart�inteligentn� � nale�y uwa�a�, by wybiera� jedynie czytniki kart wymienione wli�cie zgodno�ci sprz�towej Windows 2000 (HCL � Hardware Compatibility List).Ico najwa�niejsze: nale�y sprawdzi�, czy wybrany typ karty inteligentnej wymagado dzia�ania dodatkowego CSP w systemie, obs�uguj�cego czytnik � poniewa� mo�eto oznacza� mnóstwo pracy, w zale�no�ci od ilo�ci zaanga�owanych systemów i ichkonfiguracji.WskazówkaW chwili obecnej Windows 2000 obs�uguje jedynie karty inteligentne Gemplus,GemSAFE i Schlumberger Cryptoflex.Wobec tego, dla ka�dego innego typu kartytrzeba b�dzie dodawa� CSP!Bezpiecze�stwo na poziomie sieci: IPSecJak nazwa wskazuje, zabezpieczenia IP (IPSec � IP Security) otwieraj�mo�liwo�ci definiowania zasad zabezpiecze�, zwi�zanych z warstw� sieciow�komunikacji.IPSec jest pakietem standardowych protoko�ów internetowych,pozwalaj�cych na bezpieczn�, szyfrowan� ��czno�� pomi�dzy dwoma komputeramiprzez nie zabezpieczon� sie�.Szyfrowanie dokonywane jest w warstwie sieciowejIP, co oznacza i� jest przezroczyste dla wi�kszo�ci aplikacji, u�ywaj�cychokre�lonych protoko�ów sieciowych, jak równie� dla sprz�tu sieciowego.Ponadto IPSec zapewnia bezpiecze�stwo mi�dzypunktowe � pakiety IP s� szyfrowaneprzez komputer wysy�aj�cy, nieczytelne po drodze, oraz mog� by� odszyfrowanetylko przez komputer odbiorcy.Dla dodatkowego podniesienia bezpiecze�stwa, abyunikn�� przesy�ania kluczy przez sie�, proces u�ywa istniej�cych ju� kluczy(pochodz�cych z Kerberosa, kluczy publicznych lub istniej�cego kluczawspólnego), aby wygenerowa� pojedynczy symetryczny klucz szyfruj�cy,wykorzystywany na obu ko�cach ��cza.Mechanizm IPSec jest ca�kowicie niezale�ny od innych �rodków bezpiecze�stwa,zaimplementowanych w przedsi�biorstwie, poniewa� funkcjonuje w warstwie sieci anie w warstwach aplikacji.Wobec tego, IPSec mo�e pos�u�y� do podniesieniaogólnego poziomu bezpiecze�stwa w ca�ej organizacji lub wybranych jejcz�ciach, jako dodatek do innych opcji zabezpiecze� omówionych w tymrozdziale.IPSec w u�ytkuZabezpieczenia IP (IPSec) pozwalaj� na skonfigurowanie w Windows 2000automatycznego szyfrowania i deszyfracji pakietów sieciowych IP, wchodz�cych iwychodz�cych z systemu � i w ten sposób zabezpieczy� ��czno�� przedpods�uchiwaniem oraz podobnymi zagro�eniami.IPSec mo�e by� zainstalowany tak,by obejmowa� wszystkie lub cz�� komputerów w sieci IP, jak równie� wybraneporty TCP/IP i adresy.Zasi�g i konfiguracja IPSec s� kontrolowane za pomoc�Zasad grup � wobec czego mo�na je przydzieli� do komputera lokalnego jakrównie� grupy komputerów.Ostrze�enieIPSec nie mo�na przydziela� do u�ytkowników, lecz tylko do komputerów.Iponiewa� ustawienia zasad IPSec s� nak�adane na dalszej pozycji przetwarzaniaZasad grup komputera, dane wysy�ane przez sie� w procesie uwierzytelnianiakomputera (w tym wszelkie Zasady grup komputera) nie s� i nie mog� by�szyfrowane!Warto te� zauwa�y�, i� mo�liwo�ci oferowane przez IPSec nie staj� si� mniejfascynuj�ce przez fakt ca�kowitej niewidoczno�ci dla u�ytkownika i mog� by�zarz�dzane centralnie � w praktyce oznacza to, i� wprowadzenie IPSec w siecipoci�ga za sob� znikome dodatkowe koszty administracyjne!Implementacja IPSec zawiera trzy wst�pnie zbudowane zasady IPSec:Client (Respond Only) � w tym przypadku komputer Windows 2000 b�dzie negocjowa�zabezpieczenia IPSec z ka�dym komputerem obs�uguj�cym ten standard, lecz nierozpocznie negocjacji zabezpiecze� na w�asn� r�k� [ Pobierz całość w formacie PDF ]

download | pobieranie | ebook | pdf | do ÂściÂągnięcia

Archiwum