Podcast na Základy kybernetické a informační bezpečnosti

Kapitoly

Základní pilíře bezpečnosti

Triáda CIA

Kdo jsi a co smíš?

Šifrování versus hashování

Kdo co smí vidět

Modely řízení přístupu

Kouzla a šifry

Stavitelé a bořiči

Trezor versus pečeť

Shrnutí a rozloučení

Přepis

Ondřej: Dobře, tak tohle jsem vůbec netušil – a myslím, že to musí slyšet všichni. Celá kybernetická bezpečnost stojí na třech jednoduchých principech?

Karolína: Přesně tak! Zní to složitě, ale v jádru je to elegantní. Posloucháte Studyfi Podcast a dnes se ponoříme do základů kybernetické bezpečnosti.

Ondřej: Takže, Karolíno, co jsou ty tři pilíře, ta... magická triáda?

Karolína: Říká se jí triáda CIA. Ne, nemá to nic společného s agenty. Znamená to Confidentiality, Integrity a Availability. Česky důvěrnost, integrita a dostupnost.

Ondřej: Dobře, CIA. To si budu pamatovat. Co přesně znamená ta důvěrnost?

Karolína: Představ si to jako tajemství. Důvěrnost zajišťuje, že tvoje zprávy nebo data si přečtou jen ti, kterým jsou určeny. Nikdo jiný.

Ondřej: Takže třeba šifrování zpráv na WhatsAppu?

Karolína: Přesně! Nebo když se přihlašuješ do e-mailu heslem. To je všechno o důvěrnosti. Chráníš informace před neoprávněným zrakem.

Ondřej: Jasně. A co integrita?

Karolína: Integrita je o tom, že data zůstanou neporušená a přesně taková, jaká byla odeslána. Nikdo je cestou nezměnil.

Ondřej: Takže když pošlu fakturu na tisíc korun, chci mít jistotu, že příjemci nepřijde faktura na deset tisíc, protože to někdo po cestě upravil.

Karolína: Přesně tak. K tomu slouží třeba digitální podpisy nebo takzvané hashe, které fungují jako pečeť pravosti. Ale k nim se ještě dostaneme.

Ondřej: Super. A ten třetí princip, dostupnost?

Karolína: Dostupnost je jednoduchá – znamená, že když potřebuješ přístup ke svým datům nebo k nějaké službě, tak prostě funguje. Není vypnutá nebo přetížená.

Ondřej: Jako když spadne web školy zrovna den před odevzdáním úkolu. To je narušení dostupnosti.

Karolína: To je přesně ono. Proto firmy mají záložní servery a ochranu proti útokům, které by jejich služby shodily.

Ondřej: Dobře, takže CIA – důvěrnost, integrita, dostupnost. Chápu. Ale jak systémy vlastně poznají, kdo jsem a co smím dělat?

Karolína: Skvělá otázka! Tady vstupují do hry dva klíčové pojmy: autentizace a autorizace.

Ondřej: Zní to podobně. Jaký je v tom rozdíl?

Karolína: Autentizace odpovídá na otázku: „Kdo jsi?“. Je to proces, kdy prokazuješ svou identitu. Třeba zadáním hesla, přiložením prstu nebo použitím klíče.

Ondřej: Takže když se hlásím do bankovnictví, zadám heslo a pak potvrdím v aplikaci – to je autentizace?

Karolína: Ano, a to, co jsi popsal, je dokonce vícefaktorová autentizace neboli MFA. Kombinuješ něco, co znáš – heslo, s něčím, co máš – telefon. Tím je to mnohem bezpečnější.

Ondřej: A autorizace je tedy co?

Karolína: Autorizace přichází hned po úspěšné autentizaci. Ta odpovídá na otázku: „Co smíš dělat?“. Systém ověří tvoji identitu a pak ti přidělí práva.

Ondřej: Aha! Takže autentizací se dostanu do firmy, ale autorizace určí, jestli mám klíče od kanceláře ředitele, nebo jen od kuchyňky.

Karolína: Přesně tak! Běžný zaměstnanec se sice do systému přihlásí, ale autorizace mu nedovolí koukat na výplatní pásky ostatních. K tomu se často používá model RBAC – řízení přístupu podle rolí.

Ondřej: Zmínila jsi hashe. Často slyším i o šifrování. Není to to samé?

Karolína: Vůbec ne, a je to důležité rozlišovat. Šifrování je obousměrné. Vezmeš čitelný text, zašifruješ ho do nečitelné podoby a pomocí klíče ho můžeš zase dešifrovat zpátky.

Ondřej: Jako tajná zpráva, ke které potřebuju dešifrovací knihu.

Karolína: Přesně. Slouží k utajení obsahu. Ale hashování je jednosměrné. Z dat vytvoříš unikátní otisk, takový digitální otisk prstu. Ale z toho otisku už nikdy nezískáš původní data zpět.

Ondřej: K čemu je to dobré, když to nejde vrátit?

Karolína: Hlavně pro ověření integrity. Stáhneš soubor, spočítáš si jeho hash a porovnáš ho s hashem, který uvádí autor. Pokud se shodují, víš, že soubor nikdo nezměnil. A taky se tak bezpečně ukládají hesla. Do databáze se neukládá tvoje heslo, ale jen jeho hash.

Ondřej: Takže i když se někdo dostane do databáze, moje heslo nezíská. To je chytré!

Karolína: Je to základní stavební kámen bezpečnosti. Takže abychom to shrnuli: triáda CIA chrání data, autentizace ověřuje, kdo jsi, a autorizace říká, co smíš. A kryptografie, jako šifrování a hashování, nám k tomu dává nástroje.

Ondřej: Dobře, takže autorizace říká, co smím. Ale jak se to v praxi vlastně řídí? Kdo určuje, že zrovna já můžu vidět tenhle soubor, a kolega zase jiný?

Karolína: Přesně tak! A tomu se říká řízení přístupu. Think of it this way... účetní vidí faktury, personalista zase údaje zaměstnanců, ale navzájem si do toho nelezou.

Ondřej: Jasně, to dává smysl. Aby v tom nebyl chaos.

Karolína: Přesně. A existuje na to několik modelů. Třeba ABAC, což je řízení přístupu podle atributů.

Ondřej: Atributů? Jakože jestli jsem hodný, nebo zlý?

Karolína: Skoro! Spíš podle oddělení, času, nebo třeba místa. Například smíš otevřít dokument jen v pracovní době a jen z firemní sítě.

Ondřej: Aha, takže systém kontroluje víc věcí najednou. Co dál?

Karolína: Pak je tu MAC – povinné řízení přístupu. Tam práva nastavuje centrálně administrátor a nikdo s tím nehne. To je taková přísná armádní verze.

Ondřej: Rozkaz, pane! A co je nejběžnější?

Karolína: Asi ACL, neboli Access Control List. To je prostě seznam u každého souboru, který říká: Ondřej smí číst, Karolína upravovat a jen admin mazat.

Ondřej: Super, takže máme různé 'vrátné' podle toho, jak moc přísní potřebujeme být. To je skvělý přehled!

Karolína: Přesně tak. Ale ochrana souborů je jen jedna část. Co když nám někdo odposlouchává síť? Proto tu máme poslední, a možná nejvíc cool, oblast – kryptologii.

Ondřej: Kryptologie! To zní jako něco z fantasy.

Karolína: A trochu to tak i funguje. Je to věda o ochraně informací pomocí kódů a šifer. Cílem je zajistit důvěrnost, integritu a třeba i to, že nemůžeš popřít, že jsi něco poslal.

Ondřej: Takže aby nikdo cizí nečetl, neměnil a vědělo se, od koho to je.

Karolína: Přesně. A teď to důležité... bezpečnost šifry nespočívá v tajném algoritmu, ale v tajném klíči. Algoritmus může být klidně veřejný.

Ondřej: To je zajímavé. Takže recept na šifru je známý, ale tajná přísada je klíč?

Karolína: Bingo! A podle toho se kryptologie dělí. Máme kryptografii, která tyhle šifry vytváří. A pak máme kryptoanalýzu...

Ondřej: ...která se je snaží prolomit! Stavitelé zámků proti zlodějům!

Karolína: Jo, to je skvělé přirovnání. Existuje ještě steganografie, která se snaží skrýt samotnou existenci zprávy. Třeba ji schová do fotky koťátka.

Ondřej: Aha, takže u šifrování každý vidí zamčenou truhlu, ale u steganografie ani neví, že tam nějaká truhla je.

Karolína: Přesně tak. U šifrování máme dva hlavní typy. Symetrické, kde je jeden klíč na zamykání i odemykání. A asymetrické, kde je jeden klíč veřejný a druhý soukromý.

Ondřej: To zní bezpečněji.

Karolína: Je, ale je pomalejší. A pak je tu něco úplně jiného – hašování. To není šifrování. Je to jednosměrná funkce.

Ondřej: Počkat, jednosměrná?

Karolína: Jo. Z dat vytvoříš unikátní otisk, takzvaný hash. Ale z toho otisku už nikdy nezískáš původní data zpátky. Je to jako digitální pečeť, ne jako trezor. Používá se pro kontrolu, jestli se data nezměnila, nebo pro ukládání hesel.

Ondřej: Takže abychom to shrnuli... Šifrování skrývá obsah, ale dá se odkrýt správným klíčem. Hašování data nevratně „rozemele“ na otisk pro ověření. Je to tak?

Karolína: Naprosto perfektní shrnutí.

Ondřej: Skvěle. Tím jsme na konci našeho dnešního maratonu o základech sítí. Karolíno, moc ti děkuju, bylo to super srozumitelné!

Karolína: Já děkuju za pozvání! Bylo to fajn.

Ondřej: A děkujeme i vám, posluchačům Studyfi Podcastu. Doufáme, že jste se něco nového naučili. Mějte se krásně a slyšíme se příště!