5.3.5. Установление эффективной идентификации и аутентификации

Эффективное управление информацией требует, чтобы можно было бы идентифицировать каждый сетевой объект, к которому можно обращаться или на котором можно обрабатывать информацию. Объекты могут быть людьми или сетевыми средствами, такими как файл-серверы, принтеры и центральные процессоры. Идентификация состоит из уникального имени или кода для каждого объекта. Для людей это могло бы быть реальным именем, псевдонимом, табельным номером сотрудника или любой другой уникальной формой. Для других объектов, идентификатор может быть назначенным именем или кодом. Важное требование, чтобы каждый идентификатор был уникальным. Это создает проблемы в большом производстве с сотнями соединенных рабочих станций и десятками серверов баз данных. Многие реальные или назначенные имена или коды оказываются слишком избыточными. Должен быть другой способ.

Решение заключается в использовании идентификаторов, в которых применяется иерархический подход, и которые связаны с конкретным подразделением. Рассмотрим сетевое имя, которое состоит из трех частей: объект, подразделение (или другой организационный уровень) и страна. Имя пользователя могло бы быть следующим "Иван Кузнецов/Производство/Россия". Конечно, части можно сократить: ИКузнецов/Произв/Ро, при отсутствии дублирования сокращения для другого подразделения или страны. Следует обратить внимание, что данная проблема является более сложной, чем традиционный идентификатор, используемый для доступа к одиночному, автономному компьютеру. С потенциалом для 10000 имен и 1000 положений, и с возможным наличием нескольких И. Кузнецовых, гарантия уникальных идентификаторов требует планирования. Тот же самый подход может использоваться для других объектов – например, при использовании той же самой организации и страны: "Принт-сервер_2/Производство/Россия" или, ПС2/Произв/Ро. Этот тип идентификатора напоминает схему адресации в сети и позволяет провести быстрый, эффективный поиск и идентификацию.

Аутентификация относится к доказательству требуемого тождества. Хотя пароль – наиболее типичный опознавательный знак, он имеет много слабостей. Более достоверная аутентификация включает использование физических характеристик или биометрических данных, таких как отпечатки пальцев, голос, сканирование сетчатки – которые не могут быть изменены и, с достоверностью, уникальны. Лучшими являются также системы «запрос-ответ», которые основаны на знании пользователем процедуры доступа, и физические опознавательные знаки, такие как карманные генераторы кода, которые скоординированы с центром безопасности сети.

Использование знаков аутентификации (токенов), отличных от паролей или в добавление к ним, вовлекает дополнительные компоненты системы, обычно сочетающие программное обеспечение и аппаратные средства, чтобы обеспечить взаимодействие опознавательного средства и системы. Генератор паролей отвечает на сигнал от терминального устройства, генерируемый центральным процессором, и обеспечивает доступ к клавиатуре. Очевидно, что система должна использовать команды или дополнительные схемы для обеспечения необходимого сервиса. Из-за стоимости (и потому что производители до сих пор не обеспечивают встроенную безопасность) большинство сетевых систем продолжают использовать парольную аутентификацию.

При использовании паролей, следует убедить пользователей хорошо соблюдать дисциплину. Сегодня почти все неавторизованные проникновения в сетевые компьютерные системы происходят от небрежности в проектировании или реализации системы, включая ошибки пользователей или пренебрежение парольной дисциплиной. Для разумной эффективности, пароли должны состоять не менее чем из шести символов, не быть легко угадываемыми, но относящимися к пользователю, и изменяться не реже, чем каждые 90 дней. Чем длиннее пароль, тем больше сложностей предполагаемый злоумышленник имеет при его получении с помощью угадывания или вычисления.

Конструкция пароля оказывает прямое воздействие на безопасное время, или время, в течение которого пользователь может ощущать безопасность от перехватчика, который пытается угадать (или вычислить пароль). В качестве примера можно утверждать, что увеличение длины пароля только на один символ заметно увеличивает безопасное время: если ожидаемое безопасное время для трехсимвольного пароля составляет около трех месяцев, безопасное время для пароля из четырех символов составляет семьдесят восемь месяцев.

Так же важна форма пароля. Пользователь должен быть в состоянии с определенностью его помнить (и не испытывать неудобств, вынуждающих его записывать), но он также должен быть очень сложным для угадывания другими. Телефонный номер школьной подруги или название улицы – примеры правильных форм.