Základy zabezpečení Mac OS X - MujMAC.cz - Apple, Mac OS X, Apple iPod

9. května 2006, 00.00 | Mac OS X nabízí řadu bezpečnostních služeb a úrovní – patří sem jak šifrování e-mailových zpráv, tak i firewall; patří sem technologie File Vault a další. Na mnoho těchto služeb se v našem seriálu postupně podíváme podrobněji; dnes se soustředíme na tu nejzákladnější ochranu, již Mac OS X nabízí svým uživatelům: autentifikaci pomocí hesla, identifikaci uživatelů, a jejich autorizaci pro přístup k datům a spouštění programů.

Mac OS X nabízí řadu bezpečnostních služeb a úrovní – patří sem jak šifrování e-mailových zpráv prostřednictvím standardu S/MIME, tak i firewall, který chrání náš počítač před útoky prostřednictvím Internetu; patří sem technologie File Vault i protokol pro síťovou autentifikaci Kerberos.

Na mnoho těchto služeb se v našem seriálu postupně podíváme podrobněji; dnes se soustředíme na tu nejzákladnější ochranu, již Mac OS X nabízí svým uživatelům: autentifikaci pomocí hesla, identifikaci uživatelů, a jejich autorizaci pro přístup k datům a spouštění programů.

Aut... cože?

Pojmy autentifikace a autorizace se nezřídka používají jako synonyma, ba mnohdy ve zcela nesmyslných významech; neuškodí proto začít tím, že si podrobněji vysvětlíme, co vlastně který z nich znamená:

• autentifikace je proces, v němž operačnímu systému (či obecně tomu, s kým komunikujeme) nějak prokážeme, že opravdu jsme ten, za koho se vydáváme. V případě operačních systémů je naším "průkazem" obvykle znalost hesla: ten, kdo zná uživatelské heslo, je pro systém autentickým uživatelem;
• identifikace je "interní" záležitost: systém uživatele, který se úspěšně přihlásil (autentifikoval), nějakým způsobem označí (identifikuje), aby při dalších operacích věděl, o koho jde a aby uživatel nemusel znovu procházet autentifikací. Pro operační systém Mac OS X je takovou identifikací uživatelské číslo, ale to celkem vzato nepotřebujeme vědět, neboť v GUI (i v Terminálu) se na jeho místě zobrazuje vždy jméno;
• konečně, ověření, zda je ta která operace přípustná, se říká autorizace: pro každou konkrétní operaci a každého konkrétního uživatele (na základě jeho čísla) systém ověří, zda uživatel má právo tuto akci vyvolat – uživatele k dané operaci autorizuje (nebo také ne).

V běžném životě je nejobvyklejším způsobem autentifikace osobní znalost, nebo ukázání nějakého průkazu: přijedeme-li do hotelu, kde máme reservovaný pokoj, buď nás tam znají, nebo jim ukážeme pas: autentifikace. Oni nám dají klíč (identifikace), a pomocí tohoto klíče se pak některé dveře dají a jiné nedají otevřít (autorizace).

Autentifikace v Mac OS X

Standardním způsobem autentifikace v Mac OS X je, jak jsme se už zmínili, heslo: znalost hesla je považována za dostatečnou autentifikaci uživatele. Tento systém je společný víceméně všem víceuživatelským systémům; Mac OS X jej zdědil z NeXTStepu, jenž sám jej získal z unixu.

Za běžných okolností se patrně s jiným způsobem autentifikace nesetkáme; stojí však za zmínku to, že Mac OS X standardně podporuje autentifikaci pomocí čipových karet, a také snad to, že pro autentifikaci užívá samostatný modul, který není součástí těch aplikací, jež autentifikaci potřebují (např. Finder, nebo třeba System Preferences pro přístup k "administrátorským" panelům). To přináší dvě výhody: především, nelze tento kód snadno napadnout (např. virus se k němu při rozumné konfiguraci systému vůbec nijak nedostane), a kromě toho jakékoli rozšíření autentifikačního systému je automaticky ihned k dispozici všude: pokud např. přidáme do systému doplněk, umožňující přihlášení pomocí otisku prstu, bude automaticky možné používat téhož systému pro autentifikaci ve Finderu i v System Preferences (i kdekoli jinde).

Vhodná a nevhodná hesla

Poměrně často se lze setkat s tím, že uživatelé se cítí bezpečni díky silnému systému ochrany (který prakticky nelze zlomit – bez znalosti hesla v podstatě není možné se k Mac OS X přihlásit (nemáme-li ovšem k počítači fyzický přístup; k tomu vizte následující odstavec).

Zapomínají však na "lidský faktor": pokud se někomu podaří uhádnout naše heslo, má ihned neomezený přístup ke všem našim datům (ve standardní konfiguraci včetně těch, jež jsou uložena v KeyChainu – jak toto risiko omezit si ukážeme v dalších dílech našeho seriálu, až se budeme KeyChainem zabývat podrobněji). Pokud tedy kupříkladu mám uživatelské konto "user" s heslem "user", může Mac OS X nabízet sebebezpečnější systém a sebespolehlivější ochranu, stejně budou má data chráněna asi tak stejně, jako kdybych používal windoze...

Je proto třeba dbát na to, abychom užívali kvalitních a špatně uhádnutelných hesel. Existuje mnoho nejrůznějších rad jak na to, abychom sami heslo nezapomněli, ale aby jej hacker neuhádl; to již značně přesahuje záběr tohoto seriálu, avšak zmíníme se alespoň o jedné z nejjednodušších, ale přitom poměrně efektivních technik: nevymýšlejte heslo, vymyslete vhodnou větu, jež vedle slov obsahuje také čísla (ideálně i zřejmou interpunkci). Tu si zapamatujte, a heslo odvoďte z ní. Taková věta by mohla být třeba "Bylo nás tam roku onoho 12 vlků, starých lodníků"; zvolíme-li třeba jen ten docela nejběžnější a nejjednodušší postup "všechna první písmena", ať si hacker hádá heslo "Bntro1v,sl"!

Překvapivě málokdo ví, že Mac OS X je standardně vybaven službou, jež do jisté míry dokáže vyhodnocovat kvalitu hesel, a dokáže také náhodně hesla generovat – to se může hodit, když si opravdu sami nevíme rady. Nejde bohužel o samostatnou aplikaci, takže není tak snadné se k ní dostat; kdykoli však vkládáme heslo např. při změně uživatelského konta, máme vpravo vedle políčka pro nové heslo k dispozici tlačítko, jímž ji lze přímo na místě vyvolat:

její použití pak již je jednoduché – můžeme si ověřit, že naše výše vymyšlené heslo považuje za docela slušné (pro nevhodná hesla se "kvalita" barví do červena :))

Pozor na fyzický přístup k počítači

Ačkoli jistě nemáme na monitoru nálepku s heslem, zvláště pak se s heslem administrátora (že ne? :)), je třeba mít na paměti, že pokud má někdo fysický přístup k našemu počítači, zabezpečení heslem je v zásadě... na nic. Tedy, samozřejmě, je skvělé jako ochrana proti tomu, aby šéf, když jde zrovna kolem, nemohl nakouknout do složky "práce" a zjistit, že v ní máme pouze tři hry stažené z Inetu, nebo aby si na domácím počítači manželka náhodou nepřečetla e-maily od milenky, či aby se nám synek jen tak mimochodem nehrabal v archivech pornografických fotografií; v takovýchto případech heslo slouží dobře.

Pokud se však k našemu počítači dostane někdo se skutečně zlými úmysly, je ochrana heslem málo platná: počítač lze restartovat do single-user režimu, v němž je v zásadě přístupné cokoli. V extrémním případě lze počítač otevřít, pevný disk vyndat, a jeho obsah přečíst jinde...

Proti tomu, kdo má (nebo může získat) fysický přístup k počítači, tedy existuje jediná ochrana – táž jako proti případnému zlovolnému administrátorovi: šifrování. Jakákoli skutečně důvěrná či citlivá data by měla být vždy, vždy, vždy zašifrovaná – s použitím kvalitního hesla a dobrého šifrovacího algoritmu (tedy nikoli v zašifrovaném archivu ZIP). Také si samozřejmě později ukážeme jak na to :)

Příště...

... si řekneme něco málo více o identifikaci, a dosti podrobně se podíváme na to, jak Mac OS X autorizuje naše pokusy o různé akce.