Kodutöö #3

Tähtaeg: 16. november (lahendused tuleb esitada enne neljapäeva)

Soovituslikud lugemismaterjalid

• The secret to online safety: Lies, random characters, and a password manager
• KeePass keys
• Kahefaktoriline autentimine
  • Man in the Browser Attack vs. Two Factor Authentication
  • Two Factor Auth List

Kirjalikud ülesanded

1. Miks peaksid veebilehed/teenusepakkujad salvestama klientide paroole näiteks bcrypt abil selle asemel, et kasutada SHA-2 koos soolamisega? (0.5p)
2. Kuidas saab teadmistepõhist autentimissüsteemi rünnata. Kuidas saab ainult informatsioonil põhinevat autentimist turvalisemaks muuta ilma teist autentimisfaktorit kasutamata? (1p)
3. Kuidas on võimalik rünnata kahefaktorilist autentimissüsteemi, mis põhineb paroolil ja PIN-kalkulaatoril? Piirangud: ründaja ei saa juurdepääsu PIN-kalkulaatorile ja ei saa ka rünnata panka, aga võimalik on nakatada klientide arvuteid pahavaraga. Kirjeldage rünnet. (2p)
4. Mis on peamine erinevus OpenID poolt pakutava teenuse ja OAuth poolt pakutava teenuse vahel? Mille poolest suurendab OAuth kasutamine nii kliendi kui teenusepakkuja turvalisust? (1p)
5. Võrrelge brauseripõhiseid paroolihaldajaid päris paroolihaldustarkvaradega (näiteks KeePass või LastPass). Mille poolest on brauseripõhised paroolihaldajad ebaturvalisemad? Mille poolest võiks KeePass olla turvalisem kui LastPass? (1p)

Kirjalike ülesannete esitamine

Lahendused tuleb esitada läbi selle veebilehe. Lahenduste esitamiseks tuleb ülikooli kasutajakontoga courses.cs.ut.ee lehele sisse logida. Vastused peavad olema esitatud kas PDF failina või tavalise tekstifailina .txt. Praktiliste ülesannete lahendused tuleb esitada eraldi nende jaoks ette nähtud vormidesse, mis asuvad lehe alumises osas.

Palun lisada kommentaarina ülesannete lahendamisele kulunud aeg. Selle põhjal oskame järgmiste koduste ülesannete mahtu paremini planeerida.

Praktilise ülesande lahendus

1. Ülesanne: looge KeePass abil paroolide andmebaas ja esitage see lahendusena. Kui ülesanne sai praktikumis tehtud, siis ei pea seda uuesti saatma. (2p)
   Ülesande lahendus peab vastama järgmistele tingimustele:
   • Andmebaasi peavõtmeks on: "infoturve" (see on meelega liiga lühike, et teha lahenduste kontrollimine lihtsamaks)
   • Paroolide andmebaasis on ainult üks väli (teised väljad kustutage).
   • Välja nimeks olgu teie nimi ja kasutajanimeks matriklinumber
   • Parool peab olema 37 kohaline ja see peab olema genereeritud KeePass poolt.