GoldenLine
Zaloguj się

konto usunięte

Temat: pytanie o konieczność hashowania haseł

Takie pytanie mi ktoś w sieci zadał... sprawdziłem UODO i rozporządzenie ministra właściwego i słowa tam nie ma odnośnie wymogu hashowania haseł użytkowników w bazie.

Zatem moje pytanie: czy jest podstawa prawna wymagająca hashowania haseł użytkowników w bazie? Przyjmijmy, że system informatyczny spełnia wszystkie inne wymagania, ale hasła są trzymane w postaci jawnej.

PS) pytanie skopiowane z grupy Ochrona Danych
Link do wypowiedziLink
Karol K.

Karol K. Pełnomocnik ds.
Ochrony Informacji
Niejawnych,
Specjalist...

Temat: pytanie o konieczność hashowania haseł

Moim zdaniem:
Po pierwsze hasło użytkownika to nie dana osobowa, więc nie ma nic o nim w przepisach. Natomiast złamanie hasła może dać dostęp do danych osobowych, więc należy to ująć w polityce bezpieczeństwa. Jeśli oszacujesz ryzyko i wykażesz, iż mimo trzymania hasła w postaci jawnej dane osobowe są bezpieczne (co na pewno będzie trudne), to nie widzę przeszkód w takim stanie rzeczy. Zresztą jeśli ktoś włamie się do bazy danych, to już hasło użytkownika nie będzie mu potrzebne, ponieważ pobierze sobie wszystkie dane użytkowników. Dlatego uważam, iż haszowanie hasła z punktu widzenia danych osobowych nie ma znaczenia.Karol Kij edytował(a) ten post dnia 27.03.12 o godzinie 09:38
Link do wypowiedziLink

konto usunięte

Temat: pytanie o konieczność hashowania haseł

Karol Kij:
Moim zdaniem:
Po pierwsze hasło użytkownika to nie dana osobowa, więc nie ma nic o nim w przepisach.

Nieprawda, hasło użytkownika najczęściej będzie jego daną osobową. Poza przypadkami, kiedy dwóch lub więcej użytkowników będzie miało to samo hasło.

Natomiast złamanie hasła może dać dostęp do danych osobowych, więc należy to ująć w polityce bezpieczeństwa. Jeśli oszacujesz ryzyko i wykażesz, iż mimo trzymania hasła w postaci jawnej dane osobowe są bezpieczne (co na pewno będzie trudne), to nie widzę przeszkód w takim stanie rzeczy. Zresztą jeśli ktoś włamie się do bazy danych, to już hasło użytkownika nie będzie mu potrzebne, ponieważ pobierze sobie wszystkie dane użytkowników. Dlatego uważam, iż haszowanie hasła z punktu widzenia danych osobowych nie ma znaczenia.

I tak, i nie. Na pewno nie ma w systemie prawnym przepisu, który by to wprost nakazywał. Natomiast nie można powiedzieć, że taka praktyka nie ma znaczenia - prowadzi do zwiększenia poziomu bezpieczeństwa danych osobowych, więc ma znaczenie. Ale ponieważ przepisy tego nie nakazują, decyzja o ew. wdrożeniu została pozostawiona administratorowi danych.
Link do wypowiedziLink

konto usunięte

Temat: pytanie o konieczność hashowania haseł

Paweł Litwiński:
Karol Kij:
Moim zdaniem:
Po pierwsze hasło użytkownika to nie dana osobowa, więc nie ma nic o nim w przepisach.

Nieprawda, hasło użytkownika najczęściej będzie jego daną osobową. Poza przypadkami, kiedy dwóch lub więcej użytkowników będzie miało to samo hasło.

hm... no tak, ale tak samo hash wyliczony z hasła jednoznacznie osobę określa, bo każda osoba ma unikalny hash, a przecież nie będziemy hashować hashy
Natomiast złamanie hasła może dać dostęp do danych osobowych, więc należy to ująć w polityce bezpieczeństwa. Jeśli oszacujesz ryzyko i wykażesz, iż mimo trzymania hasła w postaci jawnej dane osobowe są bezpieczne (co na pewno będzie trudne), to nie widzę przeszkód w takim stanie rzeczy. Zresztą jeśli ktoś włamie się do bazy danych, to już hasło użytkownika nie będzie mu potrzebne, ponieważ pobierze sobie wszystkie dane użytkowników. Dlatego uważam, iż haszowanie hasła z punktu widzenia danych osobowych nie ma znaczenia.

I tak, i nie. Na pewno nie ma w systemie prawnym przepisu, który by to wprost nakazywał. Natomiast nie można powiedzieć, że taka praktyka nie ma znaczenia - prowadzi do zwiększenia poziomu bezpieczeństwa danych osobowych, więc ma znaczenie. Ale ponieważ przepisy tego nie nakazują, decyzja o ew. wdrożeniu została pozostawiona administratorowi danych.

OK, dzięki. Ale nie zgodzę się, że to zwiększa bezpieczeństwo. Jeśli ktoś może obejrzeć hasła użytkowników, bo ma kopię bazy, to może też obejrzeć wszystkie inne rzeczy. Najwyżej nie może łatwo zobaczyć hasła w postaci jawnej, ale nie oszukujmy się, najczęściej stosowana metoda, czyli md5, wcale nie zabezpiecza przed szybkim odkryciem postaci jawnej.

Chodziło mi raczej o potwierdzenie, że w przepisach tego nie ma. Dzięki.
Link do wypowiedziLink
Karol K.

Karol K. Pełnomocnik ds.
Ochrony Informacji
Niejawnych,
Specjalist...

Temat: pytanie o konieczność hashowania haseł

Paweł Litwiński:
Nieprawda, hasło użytkownika najczęściej będzie jego daną osobową. Poza przypadkami, kiedy dwóch lub więcej użytkowników będzie miało to samo hasło.

Moim zdaniem samo hasło nie stanowi danych osobowych chyba, że jest powiązane z innymi danymi bezpośredni identyfikującymi daną osobę (np. Imię i Nazwisko) lub na podstawie których jesteśmy jednoznacznie daną osobę zidentyfikować (np. numer NIP czy Pesel). Haszowanie chroni samo hasło, dopiero ujawnieni hasła stanowi zagrożenie do ujawnienia danych osobowych danej osoby.

I tak, i nie. Na pewno nie ma w systemie prawnym przepisu, który by to wprost nakazywał. Natomiast nie można powiedzieć, że taka praktyka nie ma znaczenia - prowadzi do zwiększenia poziomu bezpieczeństwa danych osobowych, więc ma znaczenie. Ale ponieważ przepisy tego nie nakazują, decyzja o ew. wdrożeniu została pozostawiona administratorowi danych.

Zgadzam się z Tobą. Decyzja o wdrożeniu została pozostawiona administratorowi. Zastosowane mechanizmy bezpieczeństwa, lub ich brak należy uzasadnić w polityce bezpieczeństwa. Tak jak napisałem poprzednio jeśli "intruz" będzie miał możliwość w bazie danych podejrzenia haseł to i będzie mógł zobaczyć resztę danych. Raczej kłania się tu kwestia podejrzenia tych haseł i próby użycia ich np. na innych stronach (jeśli użytkownik użyje takiego samego).
Link do wypowiedziLink
Karol K.

Karol K. Pełnomocnik ds.
Ochrony Informacji
Niejawnych,
Specjalist...

Temat: pytanie o konieczność hashowania haseł

Szymon G.:

OK, dzięki. Ale nie zgodzę się, że to zwiększa bezpieczeństwo. Jeśli ktoś może obejrzeć hasła użytkowników, bo ma kopię bazy, to może też obejrzeć wszystkie inne rzeczy. Najwyżej nie może łatwo zobaczyć hasła w postaci jawnej, ale nie oszukujmy się, najczęściej stosowana metoda, czyli md5, wcale nie zabezpiecza przed szybkim odkryciem postaci jawnej.

Chodziło mi raczej o potwierdzenie, że w przepisach tego nie ma. Dzięki.

Zgadzam się z Tobą. Jeśli uzyskamy dostęp do bazy danych to hasło użytkownika będzie w tym przypadku mało ważne. Dane osobowe i tak będą ujawnione więc na ich bezpieczeństwo ma to mały wpływ. Tutaj raczej kłania się kwestia podejrzenia tych haseł i próby użycia ich np. na innych stronach (jeśli użytkownik użyje takiego samego). Sama metoda md5 przestaje być skuteczna zwłaszcza dla krótkich i mało skomplikowanych haseł, dlatego stosuje się "solenie" haszy.Karol Kij edytował(a) ten post dnia 27.03.12 o godzinie 10:21
Link do wypowiedziLink

konto usunięte

Temat: pytanie o konieczność hashowania haseł

Karol Kij:
Paweł Litwiński:
I tak, i nie. Na pewno nie ma w systemie prawnym przepisu, który by to wprost nakazywał. Natomiast nie można powiedzieć, że taka praktyka nie ma znaczenia - prowadzi do zwiększenia poziomu bezpieczeństwa danych osobowych, więc ma znaczenie. Ale ponieważ przepisy tego nie nakazują, decyzja o ew. wdrożeniu została pozostawiona administratorowi danych.

Zgadzam się z Tobą. Decyzja o wdrożeniu została pozostawiona administratorowi. Zastosowane mechanizmy bezpieczeństwa, lub ich brak należy uzasadnić w polityce bezpieczeństwa. Tak jak napisałem poprzednio jeśli "intruz" będzie miał możliwość w bazie danych podejrzenia haseł to i będzie mógł zobaczyć resztę danych. Raczej kłania się tu kwestia podejrzenia tych haseł i próby użycia ich np. na innych stronach (jeśli użytkownik użyje takiego samego).

I czy wtedy odpowiada administrator za to, że ktoś odczytane hasło użył w innym miejscu? Chyba nie.
Link do wypowiedziLink
Karol K.

Karol K. Pełnomocnik ds.
Ochrony Informacji
Niejawnych,
Specjalist...

Temat: pytanie o konieczność hashowania haseł

Szymon G.:

I czy wtedy odpowiada administrator za to, że ktoś odczytane hasło użył w innym miejscu? Chyba nie.

Nie jestem prawnikiem ale wydaje mi się, że po części odpowiada też i za to. Administrator odpowiada za to, że te dane zostały wykradzione i za skutki, które powstały w wyniku wykradzenia danych.

Ja wyobrażam sobie to tak - jeśli powierzam firmie A swój dowód osobisty na przechowanie i ma ta firma go zabezpieczyć a okazuje się, że dowód został skradziony i użyty do wzięcia kredytu to mam prawo żądać odszkodowania od tej firmy za nienależyte wykonanie usługi (oddany dowód miał być bezpieczny, a nie był skoro go skradziono). Ale to już prawnicy niech się wypowiedzą :)Karol Kij edytował(a) ten post dnia 27.03.12 o godzinie 10:36
Link do wypowiedziLink

konto usunięte

Temat: pytanie o konieczność hashowania haseł

Szymon G.:
Ale nie zgodzę się, że to zwiększa bezpieczeństwo.

To po co Pan chce to robić? Czy ogólniej, zastanawia się nad tym?
Link do wypowiedziLink
Leszek K.

Leszek K. Zarządzanie
bezpieczeństwem
informacji. Dane
osobowe.

Temat: pytanie o konieczność hashowania haseł

Szymon G.:

Ale nie zgodzę się, że to zwiększa bezpieczeństwo. Jeśli ktoś może obejrzeć hasła użytkowników, bo ma kopię bazy, to może też obejrzeć wszystkie inne rzeczy. Najwyżej nie może łatwo zobaczyć hasła w postaci jawnej, ale nie oszukujmy się, najczęściej stosowana metoda, czyli md5, wcale nie zabezpiecza przed szybkim odkryciem postaci jawnej.
Na pewno zwiększa bezpieczeństwo. Może nie eliminuje ryzyka tak, jakbyśmy sobie tego życzyli, jednak je zmniejsza. Jeśli to za mało - można zastosować tzw. stretching - to jest np. najpierw zastosować funkcję skrótu jednego rodzaju, a później inną (albo nawet wiele).

Czy hasło jest daną osobową? Oczywiście, każda informacja dotycząca zidentyfikowanej lub możliwej do zidentyfikowania osoby jest daną osobową. Informacja o numerze buta także będzie. Jednak pozbawiona powiązania z osobą - daną osobową już nie będzie.

Haszowania haseł nie wymaga żaden akt prawny, przynajmniej wg mojej wiedzy. Przechowywanie ich jednak w formie plaintext (otwarty tekst) bez szczególnego uzasadnienia uważam za niezbyt dobra praktykę (ba, powiedziałbym nawet, że złą)
Link do wypowiedziLink

konto usunięte

Temat: pytanie o konieczność hashowania haseł

Karol Kij:

Moim zdaniem samo hasło nie stanowi danych osobowych chyba, że jest powiązane z innymi danymi bezpośredni identyfikującymi daną osobę (np. Imię i Nazwisko) lub na podstawie których jesteśmy jednoznacznie daną osobę zidentyfikować (np. numer NIP czy Pesel).

Potrafi Pan połączyć hasło do systemu z konkretnym użytkownikiem systemu?
Link do wypowiedziLink
Karol K.

Karol K. Pełnomocnik ds.
Ochrony Informacji
Niejawnych,
Specjalist...

Temat: pytanie o konieczność hashowania haseł

Paweł Litwiński:

Potrafi Pan połączyć hasło do systemu z konkretnym użytkownikiem systemu?

Rozumiem o co Panu chodzi. Ciężko wyobrazić sobie samo hasło bez pozostałych danych. Może nie jasno się wyraziłem, w moim rozumieniu samo hasło jako takie nie jest daną osobową, tak jak i nr buta. Aby tą daną osobową się stało muszą nastąpić inne przesłanki, np. połączenia i imieniem i nazwiskiem. I z tym połączeniem hasło należy chronić jakby daną osobową było.
Link do wypowiedziLink
Karol K.

Karol K. Pełnomocnik ds.
Ochrony Informacji
Niejawnych,
Specjalist...

Temat: pytanie o konieczność hashowania haseł

Leszek K.:
Na pewno zwiększa bezpieczeństwo. Może nie eliminuje ryzyka tak, jakbyśmy sobie tego życzyli, jednak je zmniejsza. Jeśli to za mało - można zastosować tzw. stretching - to jest np. najpierw zastosować funkcję skrótu jednego rodzaju, a później inną (albo nawet wiele).

Według mojej opinii haszowanie haseł nie ma większego wpływu patrząc na bezpieczeństwo całego systemu (chyba, że chodzi o konta adminów itd..), ale ma duży wpływ na bezpieczeństwo danych pojedynczego użytkownika, którego hasło dotyczy. Jeśli jesteśmy w stanie zagwarantować bezpieczeństwo danych użytkownika przechowując hasło w otwartym tekście, to nie widzę przeszkód. Natomiast musimy zdawać sobie sprawę z ewentualnych skutków w razie ujawnienia - i temu służy szacowanie ryzyka.
Link do wypowiedziLink

konto usunięte

Temat: pytanie o konieczność hashowania haseł

Paweł Litwiński:
Szymon G.:
Ale nie zgodzę się, że to zwiększa bezpieczeństwo.

To po co Pan chce to robić? Czy ogólniej, zastanawia się nad tym?


Tylko zastanawiam się nad odpowiedzią na pytanie skierowane do mnie w stylu: "czy hashowanie wynika z przepisów".

Zastanawiam się jeszcze bardziej, bo teraz się okazuje, że nie wynika z przepisów, a przeważnie zaleca się hashowanie haseł żeby je trzymać w postaci niejawnej, chociaż przeważnie jest to źle robione i bez problemów można takie hasło odtworzyć. Pytanie tylko czy to jest najważniejsza część systemu, bo przeważnie o wiele ważniejsze są dane całkowicie nieszyfrowane.

I tak w ogóle jeśli będę miał hasła trzymane w postaci jawnej, to przecież to nie wpływa na bezpieczeństwo systemu.
Link do wypowiedziLink
Karol K.

Karol K. Pełnomocnik ds.
Ochrony Informacji
Niejawnych,
Specjalist...

Temat: pytanie o konieczność hashowania haseł

Szymon G.:

I tak w ogóle jeśli będę miał hasła trzymane w postaci jawnej, to przecież to nie wpływa na bezpieczeństwo systemu.

Na bezpieczeństwo całego systemu, racja, ma nie wielki wpływ. Natomiast ma ogromne znaczenia z poziomu użytkownika.

Jest multum serwisów, które wymagają ode mnie rejestracji (fora, blogi itd..), zdarza się, że do kilku serwisów używam tego samego hasła (ciężko jest zapamiętać wszystkie te hasła). Nie chciałbym aby moje hasło było wpisanie zwykłym tekstem, bo bałbym się zaufać nawet samemu administratorowi, czy nie pokusi się o wykorzystanie tych danych. A ile jest ludzi, którzy wszędzie podają to samo hasło, czy to bank czy forum. Później, przy ewentualnych problemach (np. włamanie do systemu bankowości online) pierwsze co podejrzenia lecą na Administratora, któremu dane wyciekły bo miał bezpośredni dostęp do nieszyfrowanych haseł. Ja tu bym się długo na tym nie rozwodził i dla świętego spokoju hasło zaszyfrował. Nie dużo roboty, a użytkownik jest spokojniejszy.Karol Kij edytował(a) ten post dnia 27.03.12 o godzinie 12:51
Link do wypowiedziLink

konto usunięte

Temat: pytanie o konieczność hashowania haseł

I tak, i nie. Na pewno nie ma w systemie prawnym przepisu, który by to wprost nakazywał. Natomiast nie można powiedzieć, że taka praktyka nie ma znaczenia - prowadzi do zwiększenia poziomu bezpieczeństwa danych osobowych, więc ma znaczenie. Ale ponieważ przepisy tego nie nakazują, decyzja o ew. wdrożeniu została pozostawiona administratorowi danych.
Twórcy UODO założyli, że analiza ryzyka będzie przeprowadzona, ale bez wymagania zapisów. Powyższa decyzja administratora mogłaby być udokumentowana. Tak się dzieje w poniższych systemach, gdzie wymaga się istnienia formalnego procesu zarządzania ryzykiem:
- ISO 14001
- ISO 27001
- Kontroli zarządczej
- AQAP
- PN 18001
- planów ciągłości działania w UM i UGJacek Zontek edytował(a) ten post dnia 31.03.12 o godzinie 11:07
Link do wypowiedziLink

konto usunięte

Temat: pytanie o konieczność hashowania haseł

Jacek Zontek:

I tu mamy do czynienia z obecnym tematem-tabu -analizą ryzyka.
[...]
to dlaczego w ODO jest taki "lajcik"?

bo ustawa pochodzi sprzed kilkunastu lat. Rozporządzenie też ma swoje lata.
W praktyce chciałbyś by prawnie było zapisane wdrożenie takiego ISO 27001 mini...

A zarazem: to o czym piszesz to nie są akty prawne, a konkretne metodyki/metodologie konstrukcji systemów zarządzania. Prawo powszechne (moim zdaniem) nie powinno w tak szczegółowy sposób wpływać na procesy w organizacjach (także niepublicznych).
Link do wypowiedziLink
Przemysław C.

Przemysław C. Trener biznesu,
coach ACC ICF,
ochrona danych
osobowych

Temat: pytanie o konieczność hashowania haseł

wracając do hashowania hasła myślę że może być to bardzo przydatne w przypadkach ewentualnych naruszeń ochrony danych (modyfikowanie, usuwanie itp z konkretnego konta użytkownika) i zbieranego materiału dowodowego. Założenie że haszowanie nie jest skuteczne w 100% jest prawdziwe jednak odczytanie zahashowanego hasła wymaga konkretnego działania którego nie każdy będzie się w stanie podjąć przez co system w którym przetwarzane są dane osobowe jest z założenia bardziej bezpieczny.
Czasem mam wrażenie ze popełniamy błąd i ewentualnych potencjalnych intruzów traktujemy jako osoby z wiedzą na "naszym" poziomie przez co zakładamy że jeżeli coś dla nas jest łatwe dla wszystkich jest łatwe, ale i w drugą stronę też to działa i jeżeli my czegoś nie umiemy to w prosty sposób zakładamy że a wiedza jest tak tajemna że spotkanie potencjalnego intruza z tak "tajemną" wiedzą praktycznie nie istnieje.
A zabezpieczenia najprostsze są najskuteczniejsze - zgodnie z zasadą 20-80 tzn 20% działania,środków finansowych itp podnoszącego bezpieczeństwo spowoduje 80 % wzrost samego bezpieczeństwa.
Link do wypowiedziLink

konto usunięte

Temat: pytanie o konieczność hashowania haseł

To było pytanie retoryczne :)
Brak mi jedynie wymagania formalnego zapisu z przeprowadzonej analizy ryzyka.

Kontrola zarządcza jest wymagana aktem prawnym. Pozostałe są standardami.
to dlaczego w ODO jest taki "lajcik"?

bo ustawa pochodzi sprzed kilkunastu lat. Rozporządzenie też ma swoje lata.
W praktyce chciałbyś by prawnie było zapisane wdrożenie takiego ISO 27001 mini...

A zarazem: to o czym piszesz to nie są akty prawne, a konkretne metodyki/metodologie konstrukcji systemów zarządzania. Prawo powszechne (moim zdaniem) nie powinno w tak szczegółowy sposób wpływać na procesy w organizacjach (także niepublicznych).
Link do wypowiedziLink
« Wróć do tematów
Odpowiedz

Podobne tematy





Wyślij zaproszenie do
Anuluj