Парольная аутентификация

Требования к паролю должны обеспечивать стойкость к подбору по словарю, к угадыванию по интересам субъекта, не должны использоваться в других системах, не должны оставаться стандартными.

Недостатком является возможность подсмотреть пароль, записать на листочек.

Дополнительные мероприятия для защиты пароля:

1. Использование программных генераторов

2. Защита базы паролей

3. Ограничение количества неудачных попыток входа

4. Обучение пользователя

Одноразовые пароли

Одноразовые пароли устойчивы к прослушиванию сети, поскольку не могут быть использованы многократно. Суть системы одноразовых паролей состоит в следующем – имеется односторонняя функция, эта функция известна пользователю и серверу аутентификации, имеется закрытый ключ, известный только пользователю. На этапе начального администрирования, функция применяется к ключу n раз. После этого результат сохраняется на сервере. После этого процедура проверки подлинности пользователя выглядит следующим образом:

1. Сервер посылает на пользовательскую систему число n-1

2. Пользователь применяет функцию f к секретному ключу n-1 раз и отправляет результат по сети на сервер аутентификации.

3. Сервер применяет функцию к значению и сравнивает результат с ранее полученной величиной.

4. В случае совпадения личность пользователя считается установленной, сервер запоминает новое значение и уменьшает счетчик на единицу.

Другой подход к надежной аутентификации состоит в генерации одноразового пароля через небольшой промежуток времени (например, раз в минуту). Для этого могут использоваться программы либо специальные интеллектуальные карты. Серверу должны быть известен алгоритм генерации пароля и связанные с ним параметры. Кроме того часы клиента и сервера должны быть синхронизированы.

Сервер аутентификации Kerberos

Имеется открытая незащищенная сеть, в узлах которых сосредоточены субъекты (это как пользователи, так и программные системы). Каждый субъект обладает секретным ключом.

Чтобы субъект С сумел доказать свою подлинность субъекту S он должен не только назвать себя, но и продемонстрировать знание секретного ключа.

Система Kerberos представляет собой доверенную третью сторону, владеющую секретными ключами обслуживаемых субъектов и помогающую им попарной проверки подлинности.

С (Client) посылает запрос на сервер kerberos, содержащей сведения о нем и запрашиваемой услуги. В ответ Kerberos возвращает билет – это, зашифрованный секретным ключом сервера, набор информации и копию этой части информации, зашифрованной ключом клиента. Клиент должен расшифровать вторую порцию данных и передает их вместе билетом серверу. Сервер, расшифровав билет, сравнивает его содержимое с дополнительной информации, присланной клиентом. Совпадение свидетельствует о том, что клиент продемонстрировал знание секретного ключа.

Дополнительно решается вопрос о первоначальном обмене ключами между Kerberos и субъектами и о хранении ключей субъектами.

Идентификация и аутентификация с использованием биометрических данных

Биометрия – совокупность автоматизированных методов идентификации и/или аутентификации людей на основе их физиологических и поведенческих характеристик.

1. Физиологические – отпечатки пальцев, сетчатки, роговица глаз, геометрия руки, лица.

2. Поведенческие – динамика ручной подписи, стиль работы с клавиатурой

3. Смежные – особенности голоса, распознавание речи

В общем виде работа с биометрическими данными организована следующим образом:

1. Создается база характеристик пользователей, в ней хранятся биометрические шаблоны

2. В дальнейшем для идентификации и аутентификации повторяется процесс снятия и обработки данных

3. После чего производиться поиск в базе данных шаблонов

4. И выясняется подлинность

Иногда применяют совместную аутентификацию, например, с использованием интеллектуальных карт. Биометрический шаблон хранят на самой карте.

Минусы биометрических методов:

1. Дороговизна биометрических считывателей

2. Возможность подмены на этапе передачи данных

3. Ограниченность применения биометрии в «полевых» условиях

4. Биометрические данные человека меняются и требуется их сопровождать

5. Любая ошибка в биометрии оказывается фатальной