En lösenordsfri värld utopi eller verklighet

Transkript

1 En lösenordsfri värld utopi eller verklighet Lösenord är överallt idag. Vad får vi för säkerhetsnivå? Hur hackar man ett lösenord? Kan man ta bort lösenorden? Hur då? Vad händer då? Av Stefan Gustafsson

2 Agenda Expisoft AB, en kort presentation Lösenord, hur ser det ut idag? Var används lösenord? Hur ersätter man lösenorden?

3 Expisoft AB Hjälper orgaisationer att skydda: Information Nätverk Arbetsstationer med hjälp av digitala certifikat och smarta kort

4 Expisoft AB hjälper företag att skydda sina nätverk, arbetsplatser och sin information med hjälp av smarta kort Expisoft är ett ungt svenskt mjukvarubolag med lång erfarenhet av IT-säkerhet. Vi har utvecklat säkerhetslösningar sedan i början av 90 talet (Bull/Steria). Nu arbetar vi vidare med att förädla och förbättra säkerhetslösningar under eget namn. Expisoft kan erbjuda omfattande resurser genom att vi jobbar i ett nätverk med flera andra aktörer på marknaden. Vi använder oss också av resurser på den globala marknaden. Expisoft är experter på PKI, dvs publika nycklar, certifikat och smarta kort och har flera stora svenska och internationella kunder inom olika branscher.

5 Expisoft AB Mjukvara Vi utvecklar standardprodukter och speciallösningar Närvara Vi stödjer våra kunder på plats och i projekt med kunskap och lösningar Ansvara Vi kan leverera applikationer och lösningar som tjänst

6 Expisoft AB

7 Lösenord Styrkor Enkel lösning Känd teknik Svagheter Folk glömmer lösenord Möjligheter SSO genom att ha samma lösenord överallt Hot Lätta att gissa Policy Går att avlyssna Skicka via krypterad förbindelse Går att kopiera Återanvändning av lösenord

8 VFH vs DataFöreningen Februari 2008 Vuxna Förbannade Hackare användarnamn, och hash av lösenord kopieras expisoftstefan, 46d366e10f fbfbb1bfc59324

9 Vilka fanns där? 400 telia.com 153 gmail.com 139 hotmail.com 99 home.s 71 bredband.net 68 volvo.com 55 tietoenator.com 52 astrazeneca.com 41 sogeti.se 41 guide.se 38 comhem.se 37 swipnet.se 36 forsakringskassan.se 34 wmdata.com 34 vgregion.se 34 teliasonera.com 34 spray.se 32 capgemini.com 30 hm.com 26 posten.se 26 knowit.se 25 acando.com 24 csn.se 23 swedbank.se 22 vattenfall.com 22 ericsson.com 21 vv.se 21 systeam.se 21 spv.se 21 dfs.se 21 atea.com 20 yahoo.se 19 yahoo.com 19 seb.se 18 folksam.se rps.police.se 9 riksdagen.se 9 fmv.se

10 Hur knäcker man en hash? 1-6 tecken knäcktes inom timmar efter hacket Rainbow tabell Dictionary Ord + siffror + kontrolltecken 46d366e10f fbfbb1bfc Träff på 4993 av unika hashar (20,8%) Motsvarar 5253 av konton (21,2%) Som skydd kan man lägga till ett salt-värde (1 kod-rad i applikationen)

11 Hur såg lösenorden ut? 13 sommar 7 password 5 kalle 5 gunnar 5 dennis 5 trustno1 5 hejsan 4 london 4 anders 4 sierra 4 johanna 4 amanda 4 fredrik 4 2fast4u 4 nisse 4 hemligt 4 losenord

12 Lösenordslängder Av 4413 olika lösenord är längdfördelningen så här.. 1: 2 2: 3 3: 19 4: 227 5: 369 6: : 760 8: 762 9: : 94 11: 29 12: 8 13: 4 14: 0 15: 1 (långt men inte bra)

13 Slutsatser Användare kan inte hitta på lösenord! Användare kommer att använda samma lösenord på flera tjänster! Hackern kommer antagligen inte knäcka ditt system, han loggar in med användarnamn och lösenord!

14 Expisofts vision Expisoft ska vara ett lösenordsfritt företag Inga lösenord vid inloggning från internet Smartcard för dagligt jobb Alla lösenord skapade av dator Klart senast Expisoft ska erbjuda en lösning på lösenordsproblemet Enklare införande av våra säkerhetsprodukter Tydligare lösningsegenskaper Dialog med partner

15 Inga lösenord mot Internet Mail i telefonen ActiveSync med klientcertifikat Z-push iphone Configuration Utility VPN OpenVPN Klientcertifikat på kort Intranet/Wiki Apache Klientcertifikat på kort Fjärradministration SSH med RSA nyckel

16 Smartcard för dagligt jobb Arbetsplats Kort för inloggning SSO WLAN Klientcertifikat på kort Nätverk 802.1x Klientcertifikat på kort Mail Krypterad och signerad mail i Thunderbird Klientcertifikat på kort Verksamhetssystem Klientcertifikat på kort

17 Har vi fixat allt? Lokalt BKS på 35 Windows maskiner Lokalt BKS på 5 Linux maskiner Lokalt BKS på 4 VmWare ESXi Service konton i AD 3 st managerbara swichar Firewall WLAN routrar IP-telefoni router Bandstationen! Dock ej kaffemaskinen (än?)

18 SSO lösning Digital lösenordspärm Webb-tjänst för att skapa lösenord och koppla dessa till ett systemnamn Lagring av alla lösenord i en databas, krypterade Inloggning till tjänsten med klientcertifikat Vi kan styra vem som får tillgång till vilket lösenord Automatiskt lösenordsbyte Agenter kopplade mot målsystemen Agenter för Windows/Linux/SSH Automatisk inloggning Webb Plugin till browser SSH, SU

19 Produkter Secure Office Server CA & Katalog SSO Lösenordshantering med agenter Secure Office POC Proxy för Client/Server Proxy för Web-trafik Secure Office Authenticator WLAN Radius server med EAP-TLS 802.1x Radius server med EAP-TLS SAML 2.0 SSO IdP

20 Frågor? Tveka inte att prata med någon av våra säkerhetsexperter