DARPA - nowy pomysł na uwierzytelnianie
Jakby tak się dobrze zastanowić, to dominujący dziś system uwierzytelniania dostępu do systemów informatycznych (czyli logowanie za pomocą nazwy użytkownika i hasła) jest bardzo, ale to bardzo prymitywny.Jest też banalnie prosty do obejścia – wystarczy , że ktoś nam ukradnie te dane i już bez żadnych ograniczeń może podszywać się pod nas. Amerykańska agencja badawcza DARPA ma pomysł jak to zmienić. I jest to pomysł wysoce interesujący.
Defense Advanced Research Projects Agency zamierza wkrótce ogłosić nowy projekt, którego celem będzie stworzenie systemu uwierzytelniania opartego nie tylko na loginie i haśle, ale również na szczegółowej obserwacji i analizie zachowań użytkownika. Klasyczna autoryzacja, zarówno ta najprostsza (oparta na hasłach), jak i ta nieco bardziej skomplikowana (skanowanie linii papilarnych lub układu naczyń krwionośnych w dłoniach) kończy się w momencie poprawnego rozpoznania wzorca w pierwszej fazie autoryzacji – jeśli podasz odpowiednio hasło, komputer przyjmuje, że ty to na 100% ty i uwierzytelnianie się kończy. To samo dotyczy skanowania opuszków palca, autoryzacji opartej na analizie wyglądu użytkownika itp.
Naukowcy z DARPA całkiem słusznie zauważyli, że istnieje całkiem dużo scenariuszy, w których taka autoryzacja jest warta funta kłaków. Kradzież hasła to najbardziej oczywisty przykład – ktoś przejmuje twoje i dla każdego systemu autoryzacyjnego jest tobą. W koncepcie zaproponowanym przez agencję (roboczna nazwa to Active Authentication) autoryzacja trwa znacznie dłużej (a tak naprawdę – nigdy nie ustaje), bo nawet po wstępnym zalogowaniu się, system wciąż analizuje zachowania użytkownika i stara się ocenić, czy on to na pewno on. Ocenie mogą podlega m.in. schemat zachowania w systemie, czy specyfika pisania (tempo, specyficzne sformułowania). Bardzo zgrabnie i obrazowo opisuje to Richard Guidorizzi, program manager z DARPA, w rozmowie z serwisem Network World:
Jeśli będziesz miał mój klucz, to owszem – wejdziesz do mojego domu. Ale tam, w salonie, siedzi mój pies i on wie, że nie jesteś mną. Choćbyś trzymał ten klucz z całej siły i mówił mu, że jesteś mną, to i tak go nie przekonasz. On wie, że nie wyglądasz jak ja, nie pachniesz jak ja i nie zachowujesz się jak ja. Chcemy, by ten program zachowywał się tak samo – identyfikował twoje unikalne cechy i autoryzował cię na ich podstawie, a nie tylko w oparciu o jedną daną.
Oczywiście, taki model nie jest absolutną nowością – systemy wykrywające anomalie w zachowaniu użytkownika stosują już m.in. banki czy niektóre serwisy internetowe (Facebook potrafi np. zablokować konto użytkownika, który w kilka dni zaloguje się z terytorium kilku odległych od siebie krajów – zakładając, że konto zostało przejęte). Ale DARPA chce stworzyć kompleksowe rozwiązanie, które będzie można zastosować w każdym środowisku wymagającym uwierzytelnienia.
Agencja zamierza to zrobić po swojemu – tzn. opisać ogólne zasady funkcjonowania takiego systemu i przeanalizować projekty firm czy instytucji, które zgłoszą zainteresowanie opracowaniem tego rozwiązania. Autorzy najciekawszej propozycji otrzymają grant na jej realizację. Efekty tych prac w pierwszej kolejności wdrożone zostaną w amerykańskiej armii (wszak DARPA to agencja wojskowa), ale historia pokazuje, że większość technologii opracowanych przez DARPA na potrzeby wojska w końcu i tak trafia na rynek cywilny.
Pomysł wydaje mi się bardzo interesujący – choćby dlatego, że jest pierwszym od dłuższego czasu projektem, który naprawdę wnosi coś nowego do dziedziny bezpieczeństwa informatycznego. Hasła to przeżytek, i to wyjątkowo archaiczny: dzisiejszy model autoryzacji dostępu do komputera niewiele różni się od „autoryzacji”, z której korzystali pierwsi chrześcijanie (podczas swoich tajnych spotkań) czy Kapitan Kloss – wszystko sprowadza się do podania frazy, której nie powinien znać nikt niepowołany.
Większość nowocześniejszych systemów autoryzacyjnych – skanowanie linii papilarnych, analiza głosu czy wyglądu użytkownika – to tak naprawdę nieco uwspółcześnione wersje klasycznego modelu autoryzacji. I wszystkie mają ten sam zestaw wad – każdą z nich da się obejść (czasami w absolutnie banalny sposób, np. podstawiając przed kamerę zdjęcie użytkownika) i we wszystkich poprawna wstępna autoryzacja sprawia, że użytkownik automatycznie i na zawsze – tzn. na czas całej sesji – zostaje uznany za „legalnego”. A to nie jest najlepsze rozwiązanie, choćby dlatego, że jeśli użytkownik na chwilę odejdzie od komputera, to każdy, kto przy nim usiądzie, „staje się” nim.
Koncept przedstawiony przez DARPA wydaje się sensownym rozwinięciem i uzupełnieniem obowiązującego dziś paradygmatu autoryzacji. Co nie mniej ważne – jest stosunkowo łatwy do powszechnego wdrożenia, bo to rozwiązanie software’owe, które z powodzeniem może zostać wprowadzone na dowolnej platformie. W dzisiejszym świecie, w którym kradzież tożsamości jest na porządku dziennym, nowy pomysł na uwierzytelnienie jest bardzo potrzebny.
