Het is van groot belang dat de informatie die we beheren goed beveiligd is. Wat je niet wilt is dat onbevoegden bij vertrouwelijke informatie kunnen komen, deze lezen of zelfs verspreiden. Denk maar eens aan je account bij het internetbankieren. Het is niet leuk als iemand op jouw rekening inlogt en je geld gaat opmaken.
We gaan in dit onderdeel eens bekijken wat er nodig is om informatie goed te beveiligen. Hiervoor zijn drie kernbegrippen belangrijk:
- Vertrouwelijkheid
- Integriteit
- Beschikbaarheid.
We leggen ze hieronder alle drie uit.
Vertrouwelijkheid wil zeggen dat alleen die personen toegang hebben tot de informatie die dat ook mogen. Denk aan het Electronisch Patienten Dossier (EPD). Wie zouden volgens jou alleen toegang moeten hebben tot de informatie die in jou EPD staat?
Integriteit wil zeggen dat de informatie ook echt klopt. De informatie moet juist zijn en volledig. Stel je maar eens voor wat er zou gebeuren als een arts informatie over de gezondheidsrisico's aan een reiziger naar West-Afrika zou verstrekken die een paar jaar oud is of waaruit een bladzijde ontbreekt. Zou jij gaan?
Beschikbaarheid wil zeggen dat de informatie op het juiste moment beschikbaar is. Als de directeur van een onderneming wil weten welke klanten de rekeningen nog moeten betalen, moet hij dat direct uit zijn boekhoudsysteem kunnen halen. Maar het mag dan weer niet zo zijn dat die informatie zou openbaar toegankelijk is dat de concurrent (of een hacker) er ook bij kan.
Toegang tot de informatie in drie stappen.
Als student van Noorderpoort heb je al lang ontdekt dat je pas kunt inloggen op het wifi-netwerk, in de ELO en je noorderpoortmail nadat je een paar keer je inloggegevens hebt moeten invullen. En dat je in de ELO wel de bestanden van de docent kunt lezen (en downloaden), maar dat je ze niet kunt veranderen of verwijderen. En als het goed is weet je ook dat jij wel de berichten op jouw noorderpoort-studentmail kunt lezen, maar dat een medestudent daar niet bij kan. En als je wel eens opdrachten inlevert in een inlevermap in de ELO, zie je elke keer dat de docent alle ingeleverde werkstukken kan zien en jij alleen je eigen werkstuk.
Dit proces bestaat eigenlijk uit drie stappen: identificatie, authenticitatie en autorisatie.
Identificatie komt van identificeren: je maakt bekend wie je bent. Als jij bij de grens van een land je paspoort laat zien, staat daar in wie je bent, met foto en al. Op een laptop of een internetsite heb je een inlogscherm, waar je een gebruikersnaam kunt invoeren.
Authenticatie komt van authentiek: je bent ook echt wie je zegt te zijn. Bij een paspoort is dat zeker, want dat is uitgebreid gecontroleerd op het gemeentehuis, toen je het paspoort aanvroeg. En de pasfoto maakt het voor de douane gemakkelijk om te kijken of je het ook echt bent. Bij het inloggen op een internetpagina kan het best zijn dat iemand ergens je gebruikersnaam heeft gevonden. Maar als diegene niet het wachtwoord weet is toegang toch onmogelijk.
Autorisatie. We weten nu dat je het echt zelf bent. Maar nu is het de vraag wat je eigenlijk mag. Een douanier kan aan je paspoort zien of je zijn land eigenlijk wel in mag. Soms is er nog wat extra's nodig: een visum. En zo kan het dat in onze Electronische Leer Omgeving ELO de docent wel alle werkstukken in de inlevermap ziet en jij alleen je eigen en zelfs niet dat van een medestudent. Een docent heeft gewoon meer rechten gekregen van de beheerder. En studenten krijgen leesrechten in de mapen of studiewijzers met leermateriaal en schrijfrechten in een inlevermap.
In bedrijven zie je iets soortgelijks. Een manager mag wel alle voortgangsgesprekken met medewerkers zien, maar een medewerker natuurlijk alleen maar zijn eigen.
Je koppelt rechten dus aan functies en de funties hang je weer aan personen.
Two factor authenticatie
Bij de meeste toepassingen moeten gebruikers inloggen met een gebruikersnaam en een wachtwoord. Dit noemen we single factor authentication. Er kunnen redenen zijn om nog een tweede controle uit te voeren voor de gebruiker toegang krijgt. Er zit dan een tweede stap in het inlogproces, bijvoorbeeld een code die per sms naar de gebruiker wordt gestuurd en die moet worden ingevuld tijdens het inloggen. Uiteraard vooral bedoeld om het hacken van gegevens tegen te gaan.
Opdracht 1.
Lees eerst het heldere verhaal van Rory Scholman, destijds 25 jaar en student aan de Hogeschool van Rotterdam. Hij legt heel duidelijk uit wat two factor authentication is en op welke manieren dit mogelijk is.
Beantwoord daarna onderstaande vragen om te controleren of je alles goed hebt begrepen.
1. Welke drie soorten authenticatiemiddelen worden door Scholman onderscheiden?
2. Geef twee voorbeelden van "wat een gebruiker weet" als authenticatiemiddel.
3. Geef twee voorbeelden van "wat een gebruiker heeft" als authenticatiemiddel.
4. Er zijn systemen die bij de reset van wachtwoorden vragen om een oud wachtwoord en waarbij de gebruiker vervolgens nog het antwoord op een geheime vraag moet geven.
Is deze procedure een voorbeeld van two factor authenticatie of niet? Leg uit waarom wel of niet.
5. Geef een voorbeeld van een inlogprocedure waarbij sprake is van two factor authenticatie.
6. Geef drie redenen om géén gebruik te maken van two factor authenticatie.
7. Waarom is het bij een gedeeld account (bijvoorbeeld een twitter account van een bedrijf) geen goed idee om two factor authenticatie toe te passen?
8. Hoe maakt Facebook gebruik van two factor authenticatie? Maak je hier zelf wel eens gebruik van?
9. Als jij inlogt voor internetbankieren, doe je dat via single factor authenticatie of via two factor authenticatie?
10. Wat is jouw mening over de veiligheid van de inlogprocedure bij jou op school. Motiveer uitgebreid je antwoord met behulp van je nieuw verworven kennis in dit gehele hoofdstuk.
Lever je antwoorden op de vragen in in de inlevermap.
Praktijkopdrachten
Opdracht 2.
1 Je hebt vast een Facebook account. Breng voor dit account in beeld hoe je informatie daar zichtbaar kunt maken voor verschillende groepen met verschillende rechten. Met andere woorden: wie mag welke informatie zien op jouw Facebookpagina.
a) Maak een overzichtslijst met groepen en rechten van mensen die dingen op jouw tijdlijn mogen zien. Dus wat jij standaard hebt ingesteld.
b) Maak een lijst van apps die aan jouw account zijn gekoppeld en breng in kaart welke informatie die apps van jou ontvangen via Facebook. Als je hier mee klaar bent, kun je misschien gelijk de zaak eens wat opschonen.
Beveiliging en wachtwoorden
Elk wachtwoord is te kraken. Alleen, bij het ene wachtwoord duurt het wat langer dan bij andere.
Als je verantwoordelijk bent voor een bedrijfssysteem, dan is het zaak dat jij zorgt dat de gebruikers van het bedrijfssysteem veilige en niet te kraken wachtwoorden gebruiken.
Opdracht 3.
1. Test eerst eens je eigen wachtwoorden en kijk hoe snel ze te kraken zijn, via How Secure is your password.
2. Er zijn ook nog andere websites waar je de sterkte van je wachtwoorden kunt testen. Grappig genoeg geven ze allemaal een andere uitkomst.
Test je eigen wachtwoorden ook met Speedy Password en met Password checker online
2. Stel voor de gebruikers van het bedrijfssysteem een voorschrift op voor het bedenken van een veilig wachtwoord. Je weet al dat een goed wachtwoord niet alleen veilig is, maar ook goed te onthouden moet zijn (anders gaan ze het ergens opschrijven en dat is het meest onveilige wat je maar kunt bedenken. Op bovenstaande websites staan voldoende tips voor het maken van veilige wachtwoorden.
Lever het volgende in:
1. De tijd die een computer volgens bovenstaande 4 websites nodig heeft om jou wachtwoorden te kraken. Doe dit in de vorm van een tabel in Word. In de linker kolom zet je wachtwoord 1, wachtwoord 2 enzovoort, in de 3 kolommen daarnaast de testwebsites en in de tabel dan de tijd per wachtwoord die ze nodig zeggen te hebben om je wachtwoord te kraken.
2. Het voorschrift voor het maken van een veilig wachtwoord.