מילון מושגים:
SSO - כניסה יחידה: מנגנון שמאפשר למשתמש להתחבר פעם אחת ולגשת לכמה מערכות בלי להזדהות מחדש בכל אחת.
טוקן - פיסת מידע שמשמשת לאימות או להרשאה, שהמערכת מנפיקה ללקוח ומוצגת בבקשות הבאות במקום סיסמה.
אתר אינטרנט - אוסף של דפים ומשאבים מקושרים המתארחים תחת כתובת אחת ומוגשים דרך דפדפן.
פישינג - ניסיון הונאה שבו תוקף מתחזה לגורם מהימן כדי לגרום לקורבן למסור פרטים רגישים כמו סיסמאות.
Azure - פלטפורמת הענן של מיקרוסופט, המספקת שרתים, אחסון, מסדי נתונים ושירותים רבים לפי שימוש.
אנטי וירוס - תוכנה שמזהה, חוסמת ומסירה תוכנות זדוניות מהמחשב, ומנטרת פעילות חשודה.
חומת אש - מערכת שמסננת תעבורת רשת לפי כללים, ומתירה או חוסמת חיבורים כדי להגן על מחשב או רשת.
MFA - אימות רב-שלבי: דרישה ליותר מראיה אחת לזהות, למשל סיסמה בתוספת קוד חד-פעמי, לחיזוק האבטחה.
הסבר על SSO
בשיעור זה פותחים את נושא ה-SSO, שיטת האימות החדשה שמחליפה את השם והסיסמה הקלאסיים, מבינים את הבעיות שהיא פותרת, את מנגנון ה-Token המוצפן שבבסיסה, ואת היתרונות שלה באבטחה ובנוחות עד לכיוון ה-worldwide של עולם בלי סיסמאות.
נושאי הסיכום המוצגים בשיעור:
1. הבעיה בשיטה הקלאסית: בשיטה הקלאסית מזדהים מול כל אתר אינטרנט עם שם וסיסמה, ויש לנו מלא אתרים ובכל אחד צריך לנהל שם וסיסמה בנפרד, וחוץ מזה הייתה בעיית פישינג ענקית.
2. מנגנון הפישינג: שולחים מייל שנראה כאילו הגיע מחברה גדולה או מהבנק, ובתוכו קישור שנראה כמו אתר הבנק, המשתמש התמים לוחץ עליו, נפתח לו אתר מזויף שדומה אחד לאחד לבנק, הוא מכניס את שם המשתמש והסיסמה שלו לאתר המזויף והאקרים מקבלים פרטי גישה לבנק על מגש של כסף.
3. הרעיון של SSO: כדי לפתור את בעיית הפישינג, את האתרים המזויפים ואת ניהול הסיסמאות המציאו רעיון גאוני של SSO, שבבסיסו עומד Token, כרטיס גישה מוצפן שמחליף את השם והסיסמה, והאתר במקום לקבל מאיתנו שם וסיסמה מקבל טוקן מוצפן שאומר מי אני ומה מותר לי לעשות.
4. למה אי אפשר לזייף טוקן: אי אפשר לזייף את ה-Token כי הוא מוצפן על ידי המפתח הפרטי של ספק הזהויות, למשל Azure AD, ששני הצדדים סומכים עליו, גם המשתמש וגם אתר האינטרנט, ובין האתר לספק הזהויות יש federation, ברית שהוגדרה מראש, וכך האתר יכול לבדוק שהטוקן אמיתי, חתום דיגיטלית על ידי הספק ולא מזויף.
5. הטוקן קשור לאתר ספציפי: בתוך הטוקן יש את הכתובת המדויקת של האתר שעבורו הונפק והוא עובד רק עבורו, כך שאם אקח את הטוקן ואנסה להשתמש בו באתר אחר לא אצליח, ואם האקר יבנה אתר מזויף הטוקן לא יעבוד בו.
6. הדפדפן שולח אוטומטית: יותר מזה, הדפדפן של המשתמש אפילו לא ישלח את הטוקן לאתר אחר, כי הטוקנים האלה נשלחים אוטומטית על ידי הדפדפן רק לכתובת הנכונה, והמשתמש לא שם לב לכלום, מבחינתו הוא נכנס לאתר והכל עובד אוטומט בלי להכניס שום שם וסיסמה, ומבחינת מנהלי האבטחה יותר כיף לישון בלילה כשיודעים שהתקפות פישינג לא תצלחנה.
7. סוגי טוקנים: מאחורי הקלעים המערכת משתמשת בכמה סוגי טוקנים, חלקם מוצפנים וחלקם גלויים אך חתומים דיגיטלית כדי שלא יוכלו לשנות אותם.
8. מידע על המכשיר ו-Conditional Access: הגישה החדשה הזאת מוטמעת בתוך מערכת ההפעלה ונותנת מידע על המכשיר, כך שמנהל רשת יכול לדעת מאיזה מכשיר המשתמש עשה לוגין ולדרוש מהמכשיר תנאים, כמו אנטי וירוס מעודכן ופיירוול מעודכן, וזה נקרא Conditional Access, גישה בתנאי שעומדים בדרישות, ואילו בגישה הקלאסית דרך הדפדפן זה בלתי אפשרי כי הדפדפן שומר על המשתמש ולא מעביר מידע על המכשיר לאתרים.
9. הכניסה החד פעמית: הרעיון פשוט, sign in once, תעבור הזדהות חד פעמית מול ספק הזהויות ואז ניגש לכל אפליקציה ולכל אתר אינטרנט שנרצה באופן אוטומטי, access all apps.
10. גם בתוכנות שולחן עבודה: זה לא רק אתרי אינטרנט, גם תוכנות רגילות בשולחן העבודה יודעות לקרוא את הטוקן ולזהות אותנו, כמו עורכי מסמכים, דואר ואחסון בענן, כל התוכנות שמותקנות במחשב לא צריכות לשאול אותנו מי אנחנו, אבל התוכנה צריכה להיות כתובה בגישה החדשה עם תמיכה בטוקנים, אחרת נצטרך להכניס לכל אפליקציה שם וסיסמה בנפרד.
11. העולם צועד ל-passwordless: בגדול העולם צועד לכיוון של passwordless, להשתמש כמה שפחות בסיסמאות ולהחליף אותן בטוקנים מוצפנים שעוברים אוטומטית, ובנוסף אפשר לדרוש MFA, אימות דו שלבי עם סמס, כשנכנסים מ-IP מחוץ לארגון או מחוץ למדינה, וכך עושים פוליסות אבטחה מוגברות לפי מיקום ומכשיר.
12. האימות הראשוני והתחדשות הטוקנים: האימות הראשוני לקבלת הטוקן נעשה עם שם וסיסמה ועם סמס או עם אפליקציה מיוחדת שמייצרת קוד גישה כל שלושים שניות, ואחרי שעוברים אימות חזק פעם אחת מול ספק הזהויות מקבלים טוקן שמחובר למכשיר הספציפי שלנו, הטוקנים מתחדשים ומתחלפים מאחורי הקלעים ואנחנו לא צריכים להתעסק בזה, ומנהל הרשת יכול לדרוש אימות נוסף ביוזמתו כשיש סיכון או מיקום חריג, אבל בכל מקרה אי אפשר לגנוב את הטוקנים ולבצע פישינג, וכך מקבלים גם יותר אבטחה וגם יותר נוחות למשתמש.
סיכום:
בשיעור זה הבנו למה השיטה הקלאסית של שם וסיסמה לכל אתר יצרה עומס ניהולי והזדמנויות לפישינג, למדנו איך SSO מחליף אותה בטוקן מוצפן וחתום דיגיטלית שמונפק על ידי ספק זהויות מהימן, קשור לאתר ספציפי ונשלח אוטומטית על ידי הדפדפן רק לכתובת הנכונה, ראינו איך האימות הראשוני נעשה פעם אחת עם שם, סיסמה ואימות דו שלבי, כיצד הטוקנים מתחדשים ברקע וכיצד הגישה החדשה מאפשרת מדיניות גישה מותנית לפי מכשיר ומיקום, והכרנו את כיוון התנועה של העולם אל עבר אימות בלי סיסמאות.
בשיעור הבא נעסוק בנושא הבדלים בין Azure AD בענן לבין Active Directory.
SR13803HE
