43
IAEA International Atomic Energy Agency Access Control Presented by: Dr. M Akbar Marwan http://akbar.staff.gunadarma.ac.id July 2015
IAEA International Atomic Energy Agency
Access Control
Presented by: Dr. M Akbar Marwan
http://akbar.staff.gunadarma.ac.id
July 2015
IAEA
Objective
• Penjelasan singkat Acces Control
• Teknik Autentikasi • Password • Tokens Smart cards • Biometrics • Autentikasi kriptografi
• Beberapa faktor Autentikasi • Perbandingan Jenis • Kesimpulan
2
IAEA
konteks
Kadang-kadang digunakan untuk mengontrol akses ke informasi , sistem , atau fasilitas . - email, programs, buildings, dll.. Beberapa teknologi dan metode mendukung penggunaan array untuk melakukannya. Presentasi ini dirancang untuk memberikan gambaran dari beberapa metode tersebut. Masing-masing memiliki kekuatan dan kelemahan 3
IAEA
Policies Procedures, Awareness Physical protection layer
Network Host
Application
4
Data
Lapisan pertahanan dilaksanakan di berbagai tingkat arsitektur komputer dan dikombinasikan dengan langkah-langkah teknis maupun administratif untuk melindungi isi (Data)
Defence-in-depth – Layered Protection
4 4
IAEA
Access Control
Istilah kontrol akses merujuk kepada masalah mengenai akses sumber daya sistem
. Access Control
Authentication Authorization
5
IAEA
Authentication
Otentikasi dapat dilakukan dengan dua cara:
Authentication
Identification Verification
6
IAEA
Authentication
Dua kemungkinan membutuhkan otentikasi: • Ketika Anda menyalakan komputer tunggal,
Bagaimana komputer menentukan bahwa Anda adalah benar-benar Anda dan bukan orang lain?
• Ketika anda masuk (log in) ke akun online banking anda, bagaimana server Bank anda tau itu adalah benar anda dan bukan orang lain.
7
IAEA
Authorization
• Setelah anda telah melakukan otentikasi melalui komputer atau server pada jaringan, anda harus membangun batasan pada aktivitas anda.
• Batasan Otorisasi dilakukan kepada pengguna aotentikasi.
8
IAEA
Access Control System Operation
9
Masing-masingkomponendanfungsiperludinilaiuntukkeamanan.
IAEA
Prinsip Access Control
10
Access Control Server
• Sistem fisik Access Control bekerja pada prinsip yang sama dan arsitektur juga seringkali sama
IAEA
Beberapa cara untuk otentikasi
• Sesuatu yang Anda tahu (rahasia)
• Ini mengasumsikan bahwa hanya pemilik akun tahu rahasia misalnya password atau PIN yang diperlukan untuk otentikasi.
• Sesuatu yang dimiliki (metode unik)
• Ini mengasumsikan bahwa hanya pemilik akun memiliki mekanisme unik untuk mengotentikasi misalnya kartu pintar atau tanda.
• Sesuatu seperti (fitur unik biologi)
• Ini mengasumsikan bahwa spesifik tubuh dapat digunakan untuk tegas mengidentifikasi seseorang.
Itu adalah metode otentifikasi secara single atau kombinasi dari beberapa darinya di dalam order untuk membuat otentikasi yang kuat
11
IAEA
Apa cara terbaik untuk Otentikasi?
Setiap bentuk otentikasi memiliki : • Tingkat keamanan yang berbeda • karakteristik Kemudahan penggunaan yang
berbeda • Biaya yang berbeda untuk mendapatkan • Biaya yang berbeda untuk mengelola • kenyamanan
12
IAEA
Teknik otentikasi
• Sandi berdasarkan (sesuatu yang Anda tahu) • Token ( Password generators) berdasarkan
(sesuatu yang Anda miliki) • Smart card berdasarkan (sesuatu yang Anda miliki)
• MAC address dilaptop (sesuatu yang Anda miliki)
• Biometric berdasarkan (sesuatu tentang anda)
• Kombinasi yang berbeda dari atas
13
IAEA
Definisi baru otentikasi Elektronik
• Otentikasi adalah proses penentuan identitas dari mesin / manusia untuk tingkat kebutuhan jaminan.
• Mekanisme untuk membuktikan identitas jarak jauh dapat menjadi lebih kompleks.
• Pendekatan dinilai
14
IAEA
Token
• Teknik otentikasi berbasis Token
15
IAEA
otentikasi Token
• Kebanyakan pengganti umum untuk password sederhana adalah token otentikasi.
• Ini adalah merancang yang menghasilkan password baru yang akan digunakan untuk otentikasi setiap kali digunakan.
• Hal ini sangat kecil dalam ukuran seperti mobil remote control. • Memiliki prosesor, layar LCD dan baterai. Mungkin juga memiliki
keypad untuk memasukkan informasi dan waktu jam nyata. • Biasanya baterai berlangsung seumur hidup token. • Out menempatkan nilai-nilai numerik atau heksadesimal. • Setiap token diprogram dengan nilai unik yang disebut
benih. Benih memastikan bahwa setiap tanda akan menghasilkan seperangkat unik kode output.
• Kode ini sejumlah pseudorandom disebut satu kali password.
16
IAEA
Token
• Ada dua jenis token yang tersedia: • Challenge response token (Asynchronous Tokens) • Token berbasis waktu(Synchronous Tokens)
17
Challenge/ResponseEncryp<ngToken
4558921 3
4 5 67 8 90Enter
Challenge/
responseToken
Challenge
Inputthechallenge,frompopupwindow,inthetokenusingthekeypad
InternalSeed
ResponseontheTokenLCDscreen
ReadtheResponseontheLCD
ScreenandEnteritatthelogonprompt Logon
PopupWindow
Challenge
Authen<ca<onserver
SeedDatabase
GenerateaRandomNumber
TokenEncryptthechallengeusingInternal
seedasakey
Responseonpopup
ServerDecryptthechallengeusingInternal
seedasakey
ChallengeMatch?
18
Serverassumesthattokenisin
possessionoftheauthen<cuser.
Challenge/ResponseEncryp<ngToken
4558921 3
4 5 67 8 90Enter
Challenge/
responseToken
Challenge
Inputthechallenge,frompopupwindow,inthetokenusingthekeypad
InternalSeed
ResponseontheTokenLCDscreen
ReadtheResponseontheLCD
ScreenandEnteritatthelogonprompt
LogonPopupWindow
Challenge
Authen<ca<onserver
SeedDatabase
GenerateaRandomNumber
TokenEncryptthechallengeusingInternal
seedasakeyTruncatetheresponse
Responseonpopup
ServerEncryptthechallengeusing
InternalseedasakeyTruncatetheresponse
Match?
19
Parallelcomputa<on
Model
Challenge/ResponseEncryp<ngToken
4558921 3
4 5 67 8 90Enter
Challenge/
responseToken
Challenge
Inputthechallenge,frompopupwindow,inthetokenusingthekeypad
InternalSeed
ResponseontheTokenLCDscreen
ReadtheResponseontheLCD
ScreenandEnteritatthelogonprompt
LogonPopupWindow
Challenge
Authen<ca<onserver
SeedDatabase
GenerateaRandomNumber
Responseonpopup
Match?
ResponseontheTokenLCDscreen
Truncatetheresponseifrequiredatboththeends
Truncatetheresponseifrequiredatboththeends
20
TokenberbasiswaktuTimeBasedToken
InternalSeed
ResponseontheTokenLCDscreen
ReadtheResponseontheLCD
ScreenandEnteritatthelogonprompt
LogonPopupWindow
Authen<ca<onserver
SeedDatabase
Responseonpopup
Match?
ResponseontheTokenLCDscreen
Truncatetheresponseifrequiredatboththeends
Truncatetheresponseifrequiredatboththeends
4657
TokenClock(SEED)
ServerClock(SEED)
ChallengeChallenge
21Pseudorandom
number
TokenberbasiswaktuTimeBasedToken
InternalSeed
Authen<ca<onserver
SeedDatabase
4657
TokenClock
ServerClock
Thehardwarereal<meclockintheTimeBasedtokencandriZduetoambienttemperature
changes.Asaresultthegeneratedresponsewillnotbematched
IfaZeradjus<ngtheserverclockbythepreviously
storedclockoffset,wefindtheresponsewithintheinnerwindow,allowtheuserIN,andstorethenew
clockoffset
+2
0
-2
Ifwecouldnotlocatetheresponsewithintheinnerwindow,searchwithinthe
outerwindow,iftheresponseislocated,asktheuserforthenextresponse,ifthenext
responseiscorrect,letuserINandstorethenewclockoffset.
+10
0
-10
Ifwecouldnotlocatethe
responsewithintheouter
window,rejectthe
authen<ca<on
22
IAEA
Tokens dengan dua faktor otentikasi
23
IAEA
Tokens dengan dua faktor otentikasi
• Menggunakan PIN dengan token otentikasi akan membuat dua faktor otentikasi.
• Dua cara utama untuk memperkenalkan PIN di token:
• Aktivasi PIN dari token.
• PIN faktor ke dalam perhitungan respon komputasi.
24
IAEA
Smart card berbasis otentikasi
25
IAEA
Smart Cards
• Smart cards dikembangkan berdasarkan standart ISO7816
• mendefinisikan bentuk, ukuran, ketebalan, posisi kontak, protokol sinyal listrik dan beberapa fungsi sistem operasi yang mendukung smart card.
• Contoh seperti : credit card. • Smart cards memiliki data prosesor yang kecil
tetapi dapat menerima data, proses ini menggunakan program penyimpanan didalam memori dan kemudian hasil dipancarkan keluar melalui port komunikasi.
26
IAEA
Smart card and smart card reader
Smart card reader
Smart card
27
IAEA
Arsitektur Smart Card
VCC
Clock Reset
GND
I/O
8-bit or 16-bit Microcontroller
RAM 256 bytes+
ROM 2 KB+
EEPROM 8-64 KB+
Crypto accelerator
Internal Chip Bus
ISO 7816 Power,
Clock and I/O Bus
Crypto accelerator is in
the Crypto smart card only
28
IAEA
Smart Cards
• Smartcard dapat digunakan untuk otentikasi berdasarkan "sesuatu yang Anda miliki."
• Hal ini dapat memungkinkan kunci kriptografi atau rahasia lainnya, dan mungkin melakukan beberapa perhitungan pada kartu.
29
IAEA
Pembaca Smart Card
• Tujuan utama smarycard reader (pemcaca) adalah digunakan untuk memverivikasi informasi yang tersimpan didalam kartu.
• Pembaca menciptakan sinyal-sinyal listrik yang diperlukan untuk me-reset smart card, kekuatan itu, memberikan komunikasi dan sistem jam (3-5 MHz, 5v).
• Sekarang 32bit RISK-based dengan frequensi 25 MHz ,ARM processors digunakan pada smartcard
30
IAEA
Jenis Smart Cards
• Tiga jenis smart card yang tersedia:
• Kartu kontak: kartu pintar yang memiliki bantalan kontak dan memiliki kontak listrik langsung dengan pembaca mereka disebut kartu kontak.
• Contact-less cards): yang tidak memiliki bantalan kontak dan yang memiliki koneksi RF antara kartu pintar dan pembaca disebut kartu kontak-kurang.
• Combi-card: Apakah kedua kontak dan loop kawat.
31
IAEA
Klasifikasi smart cards
• Isi storage kartu: ada PIN (dilindungi 9encrypted) memory, EEPROM. Ini digunakan untuk tarik tunai dll. Ini seperti memori pada kartu
• Cryptographic smart cards dan non cryptographic smart cards.
32
IAEA
Smart card Properties
• Temper resistant dan Temper proof • Teknologi Crypto untuk algoritma kunci
enkripsi public dibangun pada semua protokol authentication dapat digunakan.
• Seiring dengan kartu Anda akan perlu untuk selalu membawa pembaca kartu atau komputer / laptop harus memiliki pembaca kartu inbuilt.
33
IAEA
Smart Card Based Applications
• Digunakan dalam dua faktor otentikasi • Smart card Crypto dapat memegang kunci
publik dan swasta dan sertifikat untuk digunakan oleh web browser. Mereka melakukan operasi kriptografi dalam kartu.
• Mereka dapat digunakan sebagai cache password untuk menyimpan berbagai user ID dan password yang digunakan untuk mendapatkan akses ke berbagai sumber daya.
34
IAEA
Smartcards
• Mekanisme kriptografi yang kuat • pelaksanaan aman
• Elektronik tanda tangan, enkripsi,hash… • Perlindungan data
• Khususnya untuk kunci kriptografi
• Nyata otentikasi dua faktor • Elemen otentikasi di kartu fisik • pengetahuan PIN yang diperlukan
35
IAEA
Metode otentikasi kriptografi
36
IAEA
Kriptografi Authentication Protokol
• Otentikasi Berdasarkan Shared Secret Key • Membangun Shared Key: Diffie-Hellman • Otentikasi Menggunakan Kerberos • Otentikasi Menggunakan Public-Key Cryptography • Tanda tangan digital • Ford Verisign dan Kaliski dari RSA telah mengembangkan
teknik "Password pengerasan" di mana Server sandi pengerasan membantu untuk membuat password yang kuat dari password pengguna disediakan
37
38
Signature generation
Message
Hash
Digest
Encrypt
Signature
Private key of
A
Message
Hash
Digest 2 Signature
Decrypt
Digest 1
Public key of
A If exact
match then the signature
is valid
Signature Verification
39
IAEA 40
Comparison of Authentication Methods Authentication
Type Example Advantages Disadvantages
Something you know
• Password • Passphrase • Personal
identification number
• Easy and • inexpensive to
implement
• Easy to guess • Subject to password
sniffers and dictionary attacks
• Users do not always secure their passwords
Something you have
• Token, Memory card,
• Smart card
• Difficult to attack
• Can be lost or stolen,
• can be expensive to implement
Something you are
• Biometric device (fingerprint, voice recognition, eye scanners, etc…)
• Portable and provides an easy method of authentication
• Can be expensive to implement, user acceptance may be difficult,
• False rejections and false exception rates must meet security objectives
Ref: Official (ISC)2 Guide to the CISSP Exam, Susan Hansche CISSP, John Berti CISSP, Chris Hare CISSP, Auerbach Publications, New York, 2004. Page 168
IAEA
Kesimpulan
• Kuat dua atau tiga faktor otentikasi diperlukan untuk melindungi sumber daya kritis
• Token otentikasi adalah bentuk dominan dari otentikasi yang kuat.
• Hybrid PKI-tanda semakin populer. Dalam SSL, PKI digunakan untuk otentikasi server dan mengenkripsi sesi. Token digunakan untuk mengotentikasi klien.
41
IAEA
kesimpulan ……
• Smart card adalah tempat yang ideal untuk mengadakan kunci pribadi dan melakukan operasi PKI aman.
• Biometrik yang kompleks. Sebagai perangkat otentikasi faktor tunggal, mereka mudah digunakan, tetapi tidak memiliki keamanan yang kuat. Dalam kombinasi dengan faktor-faktor lain dapat menciptakan solusi otentikasi 2- dan 3-faktor yang kuat.
42
IAEA
Questions?
43
