Dokumenti

Informacijski sustavi imaju veliku ulogu u današnjem društvu. Tokom dana, prosječan korisnik služi se raznim uslugama Interneta kako bi obavljao određene zadatke. Svaki informacijski sustav mora zadovoljavati određeni skup sigurnosnih zahtijeva kako bi korisnicima pružao najmanju razinu sigurnosti. Najosnovniji sigurnosni zahtjev predstavlja upravljanje pristupom. Korisnicima se obično dodjeljuju određene funkcionalnosti i mogućnosti ovisno o njihovoj ulozi, identitetu i drugim značajkama.

Ovo se postiže davanjem posebnog identiteta za svakog korisnika sustava. No, sustav mora moći odrediti je li korisnik koji koristi sustav zaista onaj korisnik kojemu pripada taj dodijeljeni identitet. Lozinke predstavljaju najrašireniju metodu autentifikacije korisnika. Iako je područje kriptografije dalo velik niz doprinosa u pogledu algoritama i protokola za autentifikaciju, lozinke su i dalje nezaobilazne. Naime, one čine najpraktičniji i najjeftiniji način provjere identiteta. Kod provjere identiteta lozinkom, korisnik mora zapamtiti određenu tajnu te ju prilikom prijave reproducirati. Korisniku se ne mora izdavati nikakav dodatni uređaj kako bi dokazao svoju identitet. No, ova jednostavnost često ima utjecaj na sigurnost identiteta, što zloćudni korisnici često iskorištavaju.

Autentifikacija korisnika je neophodan dio u osiguravanju osnovnih sigurnosnih zahtijeva. Korisnik stvara vlastiti digitalni identitet putem registracije na željenu uslugu, a kasnije potvrđuje svoj identitet postupkom autentifikacije. Proces autentifikacije predstavlja niz koraka koji potvrđuju je li korisnik legitiman ili ne. Općenito, autentifikacija se postiže tako da korisnik predoči neku vrstu faktora kojime dokazuje svoj identitet. Autentifikacijski faktori mogu uključivati jednu ili više stvari. Ti faktori se odnose na nešto što korisnik zna, ima ili jest.

Autentifikacija lozinkom nije idealna metoda provjere identiteta korisnika. Vidljivo je da postoji niz mogućih nedostataka koje zloćudni korisnik može iskoristiti kako bi otuđio identitet drugog korisnika. Prvi nedostatak se odnosi na odabir lozinke. Postoji velik broj istraživačkih radova koji ukazuju na različite nedostatke lozinki, posebice na njihov odabir. Naime, korisnici često ne mare za sigurnost vlastitih identiteta. Odabir lozinke smatra se najvažnijim korakom u osiguravanju vlastitog identiteta na Internetu. Upravo iz ovog razloga smatra se kako su korisnici sustava prvi neprijatelji. Bruce Schneier smatra kako prosječan korisnik ne može ili neće niti pokušati zapamtiti dovoljno složene lozinke kako bi osigurao vlastiti identitet.

Autentifikacija korisnika lozinkom smatra se iznimno nepovoljnom metodom provjere identiteta. Autentičnost korisnika se zasniva na samo jednom podatku, a integritet tog podatka ovisi o njegovoj tajnosti. Kako je uočeno u kriptografiji, tajnost nije odgovarajuća metoda zaštite. Dodatno, kod autentifikacije korisnika postoji više različitih točaka ispada. U općem slučaju, krajnje točke su korisnik i sustav. Autentifikacija korisnika lozinkom podrazumijeva njezinu pohranu na sustavu koji obavlja autentifikaciju. Odnosno, sustav mora imati neki oblik lozinke kojime će potvrditi da se radi o legitimnom korisniku. U općem slučaj postoje dvije metode pohrane lozinki. Moguće je lozinke pohraniti u izvornom obliku ili ih šifrirati jednosmjernim algoritmom stvaranjem sažetka (engl. Hash function).

Prosječan korisnik služi se velikim brojem različitih usluga na Internetu. Na primjer, koristi Internet bankarstvo, obavlja kupovinu putem weba, izdaje i pregledava oglase, provjerava vlastitu elektroničku poštu i drugo. Obzirom da tako velik broj usluga na webu, korisnici su prisiljeni otvarati velik broj novih računa. Radi jednostavnijeg pamćenja korisničkih podataka, često se koriste iste lozinke za različite račune. Uporabom iste lozinke korisnici povećavaju vlastitu ranjivost svih svojih korisničkih računa. Ukoliko zloćudni korisnik uspije otkriti lozinku samo jednog računa, ima lozinku za sve ostale korisnikove račune.