Den logiske tilgangskontrollen er et system for tilgangskontroll til et informasjonssystem . Det er ofte kombinert med fysisk tilgangskontroll og gjør det mulig å begrense antall brukere av informasjonssystemet.
Siden 1960-tallet har tilgangskontrollmodellen utviklet seg på grunn av innledende behov både på militære og sivile felt. Militærsektoren krever tilgangskontroll hovedsakelig på grunn av de mange konfidensielle dataene den kan inneholde. Det sivile domenet er begrenset til kontroll av integritet.
Fra 1970-tallet ble mange modeller av tilgangskontroll satt på plass. Blant dem modellene DAC, MAC og TMAC.
Det er bedre kjent på fransk som skjønnsmessig tilgangskontroll . DAC er en tilgangskontrollmodell der midler er på plass for å begrense tilgangen til data. Denne modellen lar brukeren gi tilgang til ønsket objekt.
Den obligatoriske tilgangskontrollen er et tilgangskontrollsystem der beskyttelsesordren ikke er opp til eieren av dette verktøyet.
Dette tilgangskontrollsystemet er en modell som samler brukere med forskjellige roller og samarbeider for å utføre en bestemt oppgave.
Det er en organisasjonsbasert modell fra 2003 med en autorisasjonspolicy for å kontrollere tilgang sentrert om organisasjonsbegrepet.
Bedrifter behandler konfidensielle data i sine enheter. Disse dataene lagres i datamaskindatabaser eller fysisk i lokaler. Dette forutsetter at ikke alle kan ha tilgang til alle disse dataene. For å gjøre dette setter bedrifter opp logiske tilgangskontroller. Oppretting av brukerkontoer med passord, eller ved tildeling av elektroniske merker eller ved en biometrisk kontroll brukes i selskaper.
Informasjonssystemadministratoren konfigurerer brukertilgang eller ikke til de forskjellige programvarene og databasene til informasjonssystemet. Det er derfor administratoren som definerer autorisasjonene i henhold til brukerne.
Funksjonen til en ansatt i en organisasjon kan rettferdiggjøre hans delvise eller totale tilgang til selskapets informasjonssystem. I en ERP er for eksempel visse oppgaver reservert for regnskapsførere, og andre oppgaver er ikke tilgjengelige, for eksempel ansettelseskontrakter forbeholdt personalavdelingen.
Lederen for et selskap har ikke nødvendigvis tilgang til alle data og tjenester i informasjonssystemet.
Av alle disse grunnene kan det være nødvendig å etablere logisk tilgangskontroll.
Alle regjeringer har en forpliktelse til å beskytte sine sensitive informasjonssystemer. USA gjør det gjennom NSA . Den franske regjeringen har gjennom det nasjonale byrået for sikkerhet for informasjonssystemer gitt ut en liste over operatører av avgjørende betydning der sikkerheten til databaser må være sterk fordi den er viktig for landet. Disse operatørene er begge selskaper som EDF eller SNCF og administrasjoner som nasjonalt forsvar.
Regjeringer er pålagt å implementere logisk tilgangskontroll på samme måte som private selskaper.
Tilgangskontroll til en informasjonssystemressurs utøves på to måter:
A priori- modus Dette består i å revidere og konfigurere tilgangsrettighetene som er tildelt brukere (vi snakker om "Identity and Authorization Management" eller "Identity & Access Management"). En posteriori modus Dette består i å kontrollere tilgangsrettighetene som tildeles brukerne på tidspunktet for tilgang til systemet.Når det gjelder informasjonssystemer, er tilgangskontroll et sikkerhetssystem som tar sikte på å verifisere den nødvendige retten til tilgang til en person eller en maskin til en eller flere data.
Logisk tilgangskontroll er delt inn i tre elementer: autentisering, autorisasjon og sporbarhet. Dette er trinn beskrevet av protokollen AAA (Authentication Authorization Accounting). Det første elementet består i å sikre at identiteten til enheten som ber om tilgang er kjent for databasen og at den beviser den (med et passord som bare den for eksempel vet). Den andre følger den første og sjekker om enheten er autorisert til å bruke dataene. Sistnevnte tillater innsamling av informasjon om bruk av data (tilkoblingsvarighet, brukerens IP-adresse , etc.).
Denne fasen skal ikke forveksles med forestillingen om identifikasjon selv om de er knyttet sammen. Begrepet identifikasjon gjør det faktisk mulig å sikre om identiteten til tilgangsanmoderen er i databasen (med for eksempel en ID). Autentisering består i å verifisere at enheten samsvarer med identiteten som søker å koble seg sammen, det vil si koblingen mellom identiteten og beviset på identiteten. Den vanligste formen for autentisering er brukernavnet / passordet . Mer eller mindre forseggjorte autentiseringssystemer som begrenser risikoen for inntrenging, brukes avhengig av viktigheten av dataene for de som begrenser tilgangen til dem.
Autentiseringsmetoder PassordEt passord er tilknyttet en identifikator som gir tilgang til systemet. Denne metoden gir ikke et høyt sikkerhetsnivå. Det kan være ekstremt enkelt for en ondsinnet person å stjele et passord (fysisk eller gjennom hacking).
BiometriI biologi refererer biometri til den statistiske studien av størrelsen og veksten av levende ting. Ved å tilpasse denne forestillingen til tilgangskontroll, vil biometri betegne identifikasjon og autentisering av et individ ved anerkjennelse av sistnevnte (fysisk, atferdsmessig, stemmegjenkjenning, etc.).
En biometrisk autentiseringsmetode kan ha en dobbel fordel: pålitelig og rask. Risikoen for tyveri er begrenset av de unike egenskapene til hvert individ, risikoen forbundet med tyveri reduseres. Hvis vi tar et eksempel på en fingeravtrykksautentisering, gjøres det raskere enn ved å bruke et passord.
Den største ulempen med et biometrisk system er dets vanskeligheter med å tilpasse seg kroppslige eller atferdsmessige endringer. Å kutte av fingeren vil føre til et problem med godkjenning av fingeravtrykk.
I tillegg vil biometrisk autentisering være vanskelig å bruke på en ikke-levende organisme (maskiner for eksempel).
AutentiseringstokenDet er et sterkt autentiseringssystem, det vil si samtidig som krever to autentiseringsfaktorer, derfor dobbeltsjekk.
Den autentisering token er ofte materialisert med et kort, kalkulator eller nøkkelring. Det er en transportabel elektronisk enhet som ofte oppdateres koder som gir innehaveren tilgang til et system.
Hensikten med denne autentiseringsmetoden er å overvinne manglene ved enkel autentisering representert av blant annet passordtyveri. For eksempel er tilgang til en bankkonto via en distributør bare mulig hvis personen har bankkortet i tillegg til koden for å få tilgang til kontoen. Det ene uten det andre ville ikke tillate tilgang a priori.
Ulempen med denne metoden er at tilgangskontrollen er fysisk og derfor utsatt for tyveri.
Dobbel autentisering med engangspassordFor å forbedre autentiseringsprosessen krever noen informasjonssystemer tilleggsinformasjon fra brukeren. Før du får tilgang til en konto eller før du kjøper på nettet, kan det bli bedt om en engangskode for å legge til et sikkerhetsnivå. Faktisk kan statiske passord lett knekkes, avhengig av styrke. Tilgang til sensitive data er betinget av at den foreslåtte utfordringen lykkes, dvs. at du skriver inn riktig unikt passord. Dette genereres tilfeldig, og det mottas på en mobiltelefon, hvis brukeren tidligere har angitt mobilnummeret sitt, eller på en e-postadresse. Generelt pålegger informasjonssystemet en begrenset tid for å kunne angi godkjenningskoden. Etter fristen må brukeren be om en ny utfordring igjen.
Når det gjelder kjøp på nettet har Visa og Mastercard utviklet, i samarbeid med banker, " 3D secure " -protokollen som involverer spesifikke godkjenningsprosedyrer. Begrepet "3D sikker" er definert av tre områder: "forholdet mellom banken og kortinnehaverkunden, forholdet mellom banken og dens e-handelskunde , forholdet mellom kundens bank og e-handelsmannens". En av de klassiske prosedyrene kan være å sende en engangskode på SMS.
Når det gjelder tilgang til kontoer med sensitive data, har webmail-leverandører og designere av sosiale nettverk implementert ytterligere sikkerhetsfunksjoner for å forhindre kontohack.
Denne fasen består i å filtrere tilgangen til enheter som autentiserer for tilgang til systemet eller en definert ressurs. Den autentiserte brukeren har ikke systematisk autorisasjon til å få tilgang til en ressurs, han må være autorisert til å gjøre det. På et hotell vil ikke økonomiavdelingen ha datamaskintilgang til data knyttet til resepsjonsavdelingen og omvendt.
En administrator bestemmer hvem som er autorisert eller ikke til å bruke en ressurs.
Fra et informasjonsbeskyttelsesperspektiv kan noen brukere godt være godkjent og autorisert til å få tilgang til et system, men for å garantere sikkerheten til sistnevnte må brukerens enhet oppfylle sikkerhetskravene som er definert av administratoren.
I AAA-protokollen består sporbarhet av å overvåke tilgangen til sensitive IT-ressurser, med et spesifikt mål: å kjempe mot tyveri av rettigheter. Data samles inn for å sikre sikkerheten til informasjonssystemet, for eksempel under en kommersiell transaksjon eller en dataoverføring. I tilfelle et hack, vil den innsamlede informasjonen være nyttig for å bestemme handlingene som er utført med ondsinnet hensikt. Dette kan være datoen for handlingene, hendelsene ... Sporbarheten gjør det også mulig å finne IP-adressen, for å kunne bestemme hvilken bruker som har utført ondsinnede handlinger.
Ledelse, konfidensialitet, databeskyttelse har blitt viktige temaer innen IT for å begrense truslene som invaderer det virtuelle miljøet. I februar 2015 ble millioner stjålet krypteringsnøkler fra Gemalto, den største produsenten av sikre SIM-kort for mobiloperatører. Disse dataene vil tillate hackere å dekryptere, lese og overvåke brukernes telefoner.
Sony Picture måtte møte et nordkoreansk piratangrep uten kjennskap fra sine ansatte i 2014.
I tillegg øker spredningen av systemer som krever tilgangskontroll. Hver bruker tildeles dusinvis av passord, eller en eller annen form for logisk tilgangsidentifikator. En person eller et selskap kan være bruker og avhengig av et informasjonssystem av mange grunner: å komme inn i en bygning, dele en sky, bruke applikasjoner osv. Utviklingen av tilgangskontroller har en tendens til å samle alle disse autentiseringsmodusene i en enkelt. Logiske og fysiske tilgangssystemer konvergerer for tiden.
Den nåværende metoden, som bruker mange identifikasjonsmåter, har mange ulemper med hensyn til kostnadene, kompleksiteten ved installasjonen, men også ubehaget for brukerne. Med konvergensen av tilgangsmetoder mot et enkelt medium kan alle disse ulempene forsvinne uten å redusere sikkerhetsnivået.
Den loven (National Commission for Computing og Liberties) anbefaler denne blandingen for å øke nivået av sikkerhet.
Noen selskaper setter opp "ansattkort". Disse kortene har logisk og fysisk tilgang.
Logisk tilgang:
Fysisk tilgang:
På samme prinsipp som det "brukte kortet", er ny teknologi tilbøyelig til å utvikle seg "kontaktløs", og muliggjør autentisering i større skala.
Den økende bruken av informasjonssystemer innebærer etablering av streng lovgivning om bruk av tilgangsmodus. Bedrifter som lagrer personopplysninger må implementere effektiv og effektiv tilgangskontroll.