RSA heeft afgelopen week een nieuwe techniek gelanceerd om inlogsystemen van bijvoorbeeld websites veiliger te maken: RSA Distributed Credential Protection. Is dit eindelijk het antwoord op het snel groeiende probleem van gekraakte toegangsbeveiliging?
In een tijd waarin systeem-hacks aan de orde van de dag zijn, is een nieuwe oplossing voor toegangsbeveiliging zeer welkom, en er zal ook veel geld aan te verdienen zijn. RSA doet een poging de toegangsbeveiliging beter te maken met het Distributed Credential Protection (DCP)-systeem. DCP wordt door RSA gepositioneerd als een oplossing voor ontwikkelaars en websitebeheerders. DCP moet voorkomen dat er, zoals RSA zegt, een enkel point-of-compromise bestaat binnen een omgeving. Voor de eindgebruiker werkt de oplossing transparant en zal geen extra drempels opwerpen.
De werking van DCP is grofweg als volgt:
– Net als bij bestaande systemen wordt er een hash gemaakt van het gebruikerswachtwoord.
– Nieuw is dat de hash wordt gesplitst en in twee databases wordt opgeslagen.
– Wanneer een gebruiker zich aanmeldt, worden beide delen opgehaald, gecombineerd en gedecodeerd.
– Tot slot wordt het wachtwoord gecontroleerd.
Rehash
Een hacker moet zich bij een met DCP uitgeruste website altijd toegang tot twee databases verschaffen. Wanneer één van beide databases gecompromiteerd raakt en een hacker weet hashes te bemachtigen, dan kan de beheerder op beide databases een rehash uitvoeren. Na een rehash zijn de eerder bemachtigde hashes op slag onbruikbaar aangezien ze niet meer op hun 'wederhelft' zullen passen.
De vraag is nu of DCP werkelijk iets gaat verbeteren aan de veiligheid van websites. Het principe dat ten grondslag ligt aan de technologie ziet er goed uit, al wordt er bijvoorbeeld niet gesproken over de mogelijkheid tot inloggen wanneer één van de twee databases niet bereikbaar is. Op dit moment lijkt DCP voornamelijk een systeem dat een inbraakpoging zodanig vertraagd dat er ondertussen nieuwe hashes gegenereerd kunnen worden die een volledige hack zo goed als onmogelijk maken.
Beperkte verbetering
Naar mijn mening ziet het er naar uit dat het werkelijke probleem ook met DCP blijft liggen waar het nu al ligt: bij de organisatie en het beheer van de toegangssystemen. Met twee servers verantwoordelijk voor de authenticatie moeten er ook twee systemen onderhouden, gemonitord en beveiligd worden. Wanneer er bijvoorbeeld een lek geconstateerd wordt (als het geconstateerd wordt) moeten acties zoals een rehash ook daadwerkelijk uitgevoerd worden. Kortom, technisch gezien lijkt DCP een oplossing, maar in totaliteit lijkt de oplossing slechts een beperkte verbetering van de beveiliging op te leveren.
Ik ben benieuwd naar jouw mening over deze nieuwe technologie.
