8.6Ідентифікація і автентифікація

8.6.1Основні поняття

Ідентифікацію і автентифікацію можна вважати основою програмно-технічних засобів безпеки, оскільки решта сервісів розраховані на обслуговування іменованих суб'єктів. Ідентифікація і автентифікація - це перша лінія оборони, "прохідна" інформаційного простору організації.

Ідентифікація дозволяє суб'єкту (користувачу, процесу, що діє від імені певного користувача, або іншому апаратний-програмному компоненту) назвати себе (повідомити своє ім'я).

За допомогою автентифікації друга сторона переконується, що суб'єкт дійсно той, за кого він себе видає. Як синонім слова "автентифікація" іноді використовують словосполучення "перевірка достовірності".

Відмітимо в дужках, що походження російськомовного терміну "автентифікація" не зовсім зрозуміло. Англійське "authentication" швидше можна прочитати як "автентикація"; важко сказати, звідки у середині узялося ще "фі" - може, з ідентифікації? Проте, термін устоявся, він закріплений в Керівних документах, використаний в численних публікаціях, тому виправити його вже неможливо.

Автентифікація буває односторонньою (звичайно клієнт доводить свою достовірність серверу) і двосторонній (взаємній). Приклад односторонньої автентифікації - процедура входу користувача в систему.

У мережевому середовищі, коли сторони ідентифікації/автентифікації територіально рознесені, у даного сервісу є два основні аспекти:

1. Що служить автентифікатором (тобто використовується для підтвердження достовірності суб'єкта).

Суб'єкт може підтвердити свою достовірність, пред'явивши принаймні одне з наступного:

• щось, що він знає (пароль, особистий ідентифікаційний номер, криптографічний ключ і т.п.);

• щось, чим він володіє (особисту картку або інший пристрій аналогічного призначення);

• щось, що є частина його самого (голос, відбитки пальців тощо, тобто свої біометричні характеристики).

2. Як організований (і захищений) обмін даними ідентифікації/ автентифікації.

У відкритому мережевому середовищі між сторонами ідентифікації/автентифікації не існує довіреного маршруту; це означає, що в загальному випадку дані, передані суб'єктом, можуть не співпадати з даними, одержаними і використаними для перевірки достовірності. Необхідно забезпечити захист від пасивного і активного прослуховування мережі, тобто від перехоплення, зміни та/або відтворення даних. Передача паролів у відкритому вигляді, очевидно, незадовільна; не рятує положення і шифрування паролів, оскільки воно не захищає від відтворення. Потрібні складніші протоколи автентифікації.

Надійна ідентифікація утруднена не тільки із-за мережевих загроз, але і з цілого ряду причин. По-перше, майже всі автентифікаційні параметри можна дізнатися, вкрасти або підроблювати. По-друге, є суперечність між надійністю автентифікації, з одного боку, і зручностями користувача і системного адміністратора з іншою. Так, з міркування безпеки необхідно з певною частотою просити користувача повторно вводити автентифікаційну інформацію (адже на його місце могла сісти інша людина), а це не тільки складно, але і підвищує вірогідність того, що хтось може підглянути за введенням даних. По-третє, чим надійніше засіб захисту, тим він дорожче.

Сучасні засоби ідентифікації/автентифікації повинні підтримувати концепцію єдиного входу в мережу. Якщо в корпоративній мережі багато інформаційних сервісів, що допускають незалежне звернення, то багатократна ідентифікація/автентифікація стає дуже обтяжливою. На жаль, поки не можна сказати, що єдиний вхід в мережу став нормою, домінуючі рішення поки не сформувалися.

Таким чином, необхідно шукати компроміс між надійністю, доступністю за ціною і зручністю використання і адміністрування засобів ідентифікації і автентифікації.

Цікаво відзначити, що сервіс ідентифікації/автентифікації може стати об'єктом атак на доступність. Якщо система сконфігурована так, що після певного числа невдалих спроб пристрій введення ідентифікаційної інформації (таке, наприклад, як термінал) блокується, то зловмисник може зупинити роботу легального користувача буквально декількома натисненнями клавіш.