5. Идентификация и аутентификация. Организация парольной защиты.

С каждым зарегистрированным в АСОИ субъектом (пользователем или процессом, действующим от имени пользователя) связана некоторая информация, однозначно идентифицирующая его. Это может быть число или строка символов, именующие данный субъект. Такую информацию называют идентификатором субъекта. Имея идентификатор, зарегистрированный в сети, пользователь считается легальным (законным).

Прежде чем получить доступ к ресурсам АСОИ, пользователь должен пройти процесс первичного взаимодействия с системой, который включает две стадии: идентификацию и аутентификацию.

Идентификация – это процедура распознавания пользователя по его идентификатору (имени). Эта функция выполняется в первую очередь, когда пользователь делает попытку войти в АСОИ. Он сообщает системе по ее запросу свой идентификатор и система проверяет в своей базе данных его наличие.

Аутентификация – процедура проверки подлинности, позволяющая достоверно убедиться, что пользователь является именно тем, кем он себя объявляет. Обычно пользователь подтверждает свою идентификацию, вводя в систему уникальную информацию о себе. Для подтверждения своей подлинности субъект может предъявлять системе разные сущности. В зависимости от предъявляемых сущностей процедуры аутентификации могут быть разделены на следующие категории:

• на основе знания чего-либо (пароль, персональный идентификационный номер PIN);

• на основе обладания чем-либо (магнитные карты, смарт-карты, сертификаты, устройства touch-memory и персональные генераторы, которые используются для создания одноразовых паролей);

• на основе каких-либо неотъемлемых характеристик, т. е. проверка биометрических характеристик человека (голос, отпечатки пальцев, сетчатка глаза).

Идентификация и аутентификация – взаимосвязанные процессы распознавания и проверки подлинности субъектов (пользователей). От них зависит решение системы, можно ли разрешить доступ к ресурсам системы конкретному пользователю или процессу. Обычно подлинность устанавливается один раз, но в системах с высокой степенью безопасности может проводиться периодическая перепроверка или проверка в определенных условиях, например, после системного сбоя.

ПАРОЛИ

Одним из распространенных методов аутентификации является применение пароля и хранение его значения в ВС. Существует несколько типов паролей.

1. Метод Простого пароля требует, чтобы пользователь ввел строку символов для проверки их в ЭВМ. В схеме с простым паролем пользователю обычно разрешается самому выбрать себе пароль, чтобы его было легко запомнить. Чем больше длина пароля, тем большую безопасность будет обеспечивать система, так как нарушителю потребуются большие усилия для отгадывания пароля. Недостатком простого пароля является то, что им может пользоваться нарушитель без ведома зарегистрированного пользователя. Одним из путей решения этой проблемы является выдача системой на терминал пользователя очередного номера, за которым зарегистрировано его обращение к системе на данный день.

Схема простого пароля имеет модификации:

1.1. Выборка символов - при обращении пользователя к системе его могут попросить ввести отдельные символы из пароля. Каждый раз это будут другие буквы. Такой прием не позволит нарушителю при пассивном перехвате в сети узнать пароль.

1.2. Пароль однократного использования - пользователю заранее выдается список из N паролей. Такой же список в зашифрованном виде храниться в ЭВМ. После использования пароля пользователь вычеркивает его из списка, в следующий раз введет очередной пароль из списка.

Схема паролей однократного использования имеет серьезный недостаток: пользователь должен помнить или иметь при себе весь список паролей и следить за текущим.

Пароли однократного использования могут применяться также для установления подлинности окончания сеанса как со стороны пользователя, так и ЭВМ. Всякий раз, когда пользователь завершает работу, ЭВМ передает ему свой пароль однократного использования и затем прерывает связь. Если пользователь был отключен, но не получил истинного пароля от ЭВМ, ему следует принять меры предосторожности. Эта ситуация может означать следующее: нарушитель прослушивает незащищенную линию связи, посылает пользователю ложное сообщение об отключении, а затем использует линию связи по своему усмотрению.

1.2. Пароль передается при выходе из системы на следующий сеанс – Недостаток: если произошел обрыв связи.

Пароль однократного использования можно применять при относительно редких обращениях к системе или при передаче специальной информации.

2. При использовании метода "ЗАПРОС-ОТВЕТ" применяют набор ответов на M стандартных и N ориентированных на пользователя вопросов. Система задает пользователю некоторые (или все) вопросы в произвольном порядке.

Ст Год рождения вашего отца ?

Ст Номер вашей школы ?

По В каком городе вы жили в 1993 году ?

3. В некоторых случаях система защиты может потребовать, чтобы пользователь доказал свою подлинность с помощью корректной обработки алгоритмов. Это процедура носит название "рукопожатие", она может быть выполнена как между пользователем и ЭВМ, так и между двумя ЭВМ.