Vahva todennus julkisen avaimen järjestelmässä

Arvokasta tai luottamuksellista tietoa käsittelevien palveluiden, kuten pankki- ja kauppa-palveluiden, tarjoaminen julkisessa Internet-verkossa on synnyttänyt tarpeen vahvalle todennukselle, eli käyttäjien tunnistuksen varmistamiselle. Vahvassa todennuksessa käytetään salaus-menetelmien tarjoamia keinoja todennus-tapahtuman tieto-turvan parantamiseen heikkoihin todennusmenetelmiin nähden. Todennusta käyttäjätunnus-salasana-yhdistelmällä voidaan pitää heikkona menetelmänä. Julkisen avaimen järjestelmän varmenteita voidaan käyttää WWW-ympäristössä toimivissa palveluissa yhteyden osapuolten todentamiseen. Tässä työssä suunniteltiin vahva käyttäjän todennus julkisen avaimen järjestelmällä WWW-ympäristössä tarjottavalle palvelulle ja toteutettiin palvelun tarjoavan sovelluksen komponentiksi soveltuva yksinkertainen varmentaja OpenSSL-salaustyökalupaketin avulla. Työssä käydään läpi myös salauksen perusteet, julkisen avaimen järjestelmä ja esitellään olemassaolevia varmentajatoteutuksia ja mahdollisia tieto-turva-uhkia Vahva todennus tulee suunnitella siten, että palvelun käyttäjä ymmärtää, mikä tarkoitus hänen toimillaan on ja miten ne edistävät tietoturvaa. Internet-palveluissa käyttäjän vahva todennus ei ole yleistynyt huonon käytettävyyden vuoksi.

PCI DSS -standardi ja sen vaatimukset kortinhaltijoiden tietojen suojaamiselle

Payment Card Industry Data Security Standard (PCI DSS) on korttiyhtiöiden kehittämä kansainvälinen tietoturvastandardi, jonka tarkoituksena on parantaa kortinhaltijoiden tietoja käsittelevien järjestelmien tietoturvaa. Standardissa määritellään vaatimukset tietojen turvalliselle tallennukselle ja käsittelylle, testaus- ja tarkastusmenetelmät sekä tarkastusvaatimukset ja tarkastuksia suorittavien tahojen sertifiointi. Standardi koskee kaikkia standardin hyväksyneiden maksukorttiyhtiöiden korttitietoja käsitteleviä tahoja. Standardin ylläpitämisestä ja kehittämisestä vastaa maksukorttiyhtiöiden perustama PCI Security Standards Council -toimielin. Syyskuussa 2006 toimielin julkaisi standardista version 1.1, joka on edelleen viimeisin versio. Tässä diplomityössä selvitettiin PCI DSS -standardin asettamat vaatimukset kortinhaltijoiden tietoja käsitteleville tahoille. Lisäksi tutkittiin mahdollisuuksia toteuttaa yksi standardin vaatimuksista, kortinhaltijoiden tietojen suojaaminen, esimerkkijärjestelmässä. Kyseinen järjestelmä on kehitetty IBM System i -palvelinympäristöön käyttäen RPG-ohjelmointikieltä.

Viranomaisverkon tietoturvallisuus

Viranomaisverkko on TETRA-standardin mukaan rakennettu digitaalinen radioverkko. Sen vaatimuksia ovat nopeus, monikäyttöisyys ja turvallinen kommunikointi. Nopeaan tahtiin kehittyvä tietotekniikka ja jatkuvasti kehittyvä kryptoanalyysi aiheuttavat tietoturvaominaisuuksien nopeaa vanhenemista. Tämän takia tulee analysoida tietoturvallisuusominaisuuksia tasaisin väliajoin. Tutkimuksen päätutkimuskysymyksenä on, miten on varmistettu, että viranomaisverkossa lähetetty tieto ei pääse sivullisten käytettäväksi. Tämän lisäksi tutkimuksessa vastataan alatutkimuskysymyksiin, riittääkö viranomaisverkon salaus muodostamaan murtamisesta taloudellisesti kannattamatonta ja riittääkö salaus myös lähitulevaisuudessa estämään salakuuntelun. Tutkimus on suoritettu pääasiassa kirjallisuusselvityksenä. TETRA-standardissa tietoturva perustuu perustason ja ylemmän tason tietoturvaan. Perustaso käsittää molemminpuolisen tunnistamisen sekä radiopuhelimien salakuuntelun estävän ilmarajapinnan salauksen. Ylemmän tason salaus on tarkoitettu puheen ja datan päästä päähän - salamiseen. Salauksia tarkasteltaessa tulee muistaa, että täysin varmaa salausjärjestelmää ei ole olemassa, on vain kyse siitä, kuinka paljon aikaa ja rahaa ollaan valmiita kuluttamaan sen murtamiseen. Perustason turvallisuus on murrettavissa lähitulevaisuudessa brute forcen avulla, mutta ylemmän tason salauksen purkamiseen vaaditaan onnistunutta kryptoanalyysiä tai tulevaisuuden kvanttitietokoneiden laskentakapasiteettia. Tunnistusmekanismia vastaan voidaan hyökätä esimerkiksi kloonaamalla päätelaite.