Het is een bekend ritueel. Je komt in dienst bij je nieuwe werkgever, krijgt een laptop mee met daarbij een gebruikersnaam. Samen met jouw eigen wachtwoord krijg je dan toegang tot het bedrijfsnetwerk. Niks aan de hand tot dus ver. Zo lijkt het. Want in een wereld waarin de vraag niet is òf jouw bedrijfssysteem aangevallen wordt door hackers, maar wanneer, is deze vorm van authentificatie niet langer garantie voor een goed beveiligde werkomgeving.
Een ieder die op een of andere manier de combinatie van gebruikersnaam en wachtwoord weet te achterhalen, kan zich voordoen als jouw persoon. Helaas kennen we inmiddels voorbeelden genoeg van ongeautoriseerde toegang. De gevolgen zijn vaak desastreus voor zowel getroffen personen als de reputatie van betrokken organisaties. Het gebruik van de public key infrastructure (pki)-methode is het nieuwe alternatief. Geen wachtwoord meer, maar wel een veel beter beveiligde werkomgeving.
Meer veiligheidscenario’s
Uiteraard is er niet een weg die naar een veilig Rome leidt. Zo maken organisaties tegenwoordig ook gebruik van one time password (otp)-codes. Dit zijn wachtwoorden die elke keer anders zijn. Een ander alternatief is het scannen van qr-codes. Daarbij is er sprake van plaatjes die steeds veranderen. Het voordeel van deze mogelijkheden is dat ze relatief makkelijk te integreren zijn in bestaande it-omgevingen.
Veel gebruikers zijn ook bekend met deze authentificatiemethode. Het grote nadeel van deze manier van beveiligen is dat het over de jaren heen een duurdere oplossing is dan public key infrastructure (pki). Duurder door de vele licentiekosten die elk jaar terugkomen. En tegelijkertijd ook minder veilig dan pki door de cryptografisch zwakkere oplossing.
PKI voor een veiliger werkomgeving
Om wel beter voorbereid te zijn op digitale inbraken, kiezen steeds meer organisaties voor het gebruik van de public key infrastructure-methode. Deze manier van beveiligen is gebaseerd op sterke cryptografische technieken die de identiteit van de werkelijke gebruiker vaststellen. Bij het browsen op internet wordt steeds vaker gebruik gemaakt van deze techniek. Als je vandaag de dag de website van een bank bezoekt, verschijnt er een groen balkje. Daarmee weet je dat je echt bij de website van jouw bank aangekomen bent.
Deze methode is ook prima bruikbaar voor een veilige toegang tot jouw bedrijfsnetwerk. Het voordeel van de pki-methode is dat de organisatie zo goed als zeker weet dat er sprake is van de werkelijke gebruiker die geautoriseerd is voor toegang tot het bedrijfsnetwerk. Bovendien is hiermee altijd sprake van een veilige verbinding tussen de echte gebruiker en het bedrijfsnetwerk.
Hoe werkt PKI?
Waar je voorheen een gebruikersnaam toegekend kreeg bij indiensttreding van jouw werkgever, ontvang je met pki een smartcard of een bestandje dat je op jouw computer installeert. Deze kaart of stukje software bevat cryptografisch materiaal. En mocht je zo’n smart card kwijtraken, dan kan de kaart direct opgeschort of uitgeschakeld worden. Dat geldt natuurlijk ook voor het moment dat je niet meer werkzaam bent voor die organisatie.
De introductie van pki is relatief eenvoudig. De benodigde software voor het optuigen van pki is bijvoorbeeld standaard onderdeel van een Microsoft omgeving. Ook de open source-omgeving kent vergelijkbare alternatieven met dezelfde functionaliteit. Die software moet geactiveerd cq geïnstalleerd worden.
Het uitschakelen van het systeem van gebruikersnaam met wachtwoord is eveneens een relatief makkelijke ingreep voor de it-afdeling. Iedere desktop of laptop geeft toegang aan de smartcard dus ook voor de hardware zijn er niet of nauwelijks aanpassingen nodig.
Met pki blijft de it-afdeling bovendien bespaard van de medewerkers die zich na hun vakantie melden omdat ze hun wachtwoord vergeten zijn. Ook voor de gebruiker betekent het meer gemak. Die hoeft niet meer aan te kloppen bij de it-afdeling en met een selfservice kan hij of zij eenvoudig zijn of haar pincode aanpassen.
De ontvangst van een smartcard met pincode wordt voortaan het bekende ritueel wanneer je in dienst komt bij een nieuwe werkgever.
Haaino Beljaars, security consultant bij Sogeti
