Вопрос 2
Аутентификация пользователя – это проверка, действительно ли проверяемый пользователь является тем, за кого он себя выдает. Различные методы аутентификации необходимы, фактически, во всех системах ограничения и разграничения доступа к данным – как распределенных, так и предназначенных для защиты отдельного компьютера.
Для корректной аутентификации пользователя необходимо, чтобы пользователь предъявил аутентификационную информацию – некую уникальную информацию, которой должен обладать только он и никто иной.
Существует три основных типа аутентификационной информации:
Проверяемый пользователь знает некую уникальную информацию. Пример: парольная аутентификация.
В настоящее время парольная аутентификация является наиболее распространенной, прежде всего, благодаря своему единственному достоинству – простоте использования.
Однако, парольная аутентификация имеет множество недостатков:
В отличие от случайно формируемых криптографических ключей (которые, например, может содержать уникальный предмет, используемый для аутентификации), пароли пользователя бывает возможно подобрать из-за достаточно небрежного отношения большинства пользователей к формированию пароля. Часто встречаются случаи выбора пользователями легко предугадываемых паролей, например:
пароль эквивалентен идентификатору (имени) пользователя (или имени пользователя, записанному в обратном порядке, или легко формируется из имени пользователя и т.д.);
паролем является слово или фраза какого-либо языка; такие пароли могут быть подобраны за ограниченное время путем «словарной атаки» - перебора всех слов согласно словарю, содержащему все слова и общеупотребительные фразы используемого языка;
достаточно часто пользователи применяют короткие пароли, которые взламываются методом «грубой силы», т.е. простым перебором всех возможных вариантов.
Существуют и свободно доступны различные утилиты подбора паролей, в том числе, специализированные для конкретных широко распространенных программных средств.
Пароль может быть получен путем применения насилия к его владельцу.
Пароль может быть подсмотрен или перехвачен при вводе.
Учитывая важность пароля как средства повышения безопасности информации от несанкционированного использования, следует соблюдать некоторые меры предосторожности при его хранении, в том числе:
не хранить пароли в вычислительной системе в незашифрованном виде;
не печатать и не отображать пароли в явном виде на терминале пользователя.
Пользователь имеет некий предмет с уникальными характеристиками или содержимым. Примеры: смарт-карта, USB-токен и т.д.
В большинстве случаев аутентификация с помощью уникального предмета обеспечивает более серьезную защиту, чем парольная аутентификация.
Предметы, используемые для аутентификации, можно условно разделить на следующие две группы:
«Пассивные» предметы, которые содержат аутентификационную информацию (например, некий случайно генерируемый пароль) и передают ее в модуль аутентификации по требованию. При этом, аутентификационная информация может храниться в предмете как в открытом (примеры: магнитные карты, смарт-карты с открытой памятью, электронные таблетки Touch Memory), так и в защищенном виде (смарт-карты с защищенной памятью, USB-токены). В последнем случае требуется ввод PIN-кода для доступа к хранящимся данным, что автоматически превращает предмет в средство двухфакторной аутентификации.
«Активные» предметы, которые обладают достаточными вычислительными ресурсами и способны активно участвовать в процессе аутентификации (примеры: микропроцессорные смарт-карты и USB-токены). Эта возможность особенно интересна при удаленной аутентификации пользователя, поскольку на основе таких предметов можно обеспечить строгую аутентификацию. Под этим термином скрывается такой вид аутентификации, при котором секретная информация, позволяющая проверить подлинность пользователя, не передается в открытом виде.
Аутентификация с помощью уникальных предметов обладает и рядом недостатков:
Предмет может быть похищен или отнят у пользователя.
В большинстве случаев требуется специальное оборудование для работы с предметами.
Теоретически возможно изготовление копии или эмулятора предмета.
Аутентификационная информация является неотъемлемой частью пользователя. Пример: отпечаток пальца и другие виды биометрической аутентификации (биометрической называется аутентификация пользователя по его биометрическим признакам).
Биометрическая аутентификация основана на уникальности ряда характеристик человека. Наиболее часто для аутентификации используются следующие характеристики:
Отпечатки пальцев.
Узор радужной оболочки глаза и структура сетчатки глаза.
Черты лица.
Форма кисти руки.
Параметры голоса.
Схема кровеносных сосудов лица.
Форма и способ подписи.
В зависимости от используемой биометрической характеристики, средства биометрической аутентификации имеют различные достоинства и недостатки. Например, использование отпечатков пальцев наиболее привычно и удобно для пользователей, но, теоретически, возможно создание «искусственного пальца», успешно проходящего аутентификацию.
Общий же недостаток биометрической аутентификации – необходимость в оборудовании для считывания биометрических характеристик, которое может быть достаточно дорогостоящим.
Для повышения стойкости аутентификации (т.е. усложнения кому-либо возможности аутентифицироваться под чужим именем) часто используют несколько методов аутентификации одновременно. Наиболее частые примеры: одновременное использование смарт-карты + ее PIN-кода или пароля + отпечатка пальца. Аутентификация на основе одновременного предъявления аутентификационной информации двух видов называется двухфакторной. Существуют примеры и трехфакторной аутентификации, определяемой аналогичным образом.
Методы хранения ключевой информации:
· препятствие;
· механизмы шифрования;
· регламентация;
· принуждение.
Препятствие – метод физического преграждения пути злоумышленнику к ключевой информации (к аппаратуре, носителям информации и т.д.).
Механизмы шифрования – криптографическое закрытие информации. Эти методы защиты все шире применяются при хранении информации на магнитных носителях. При передаче информации по каналам связи большой протяженности этот метод является единственно надежным.
Регламентация – создание таких условий автоматизированной хранения ключевой информации, при которых нормы и стандарты по защите выполняются в наибольшей степени.
Принуждение – метод защиты, при котором пользователи и персонал ИС вынуждены соблюдать правила хранения ключевой информации под угрозой материальной, административной или уголовной ответственности.
Вся совокупность технических средств подразделяется на аппаратные, физические и программные.
Аппаратные средства – устройства, встраиваемые непосредственно в вычислительную технику, или устройства, которые сопрягаются с ней по стандартному интерфейсу.
Физические средства включают различные инженерные устройства и сооружения, препятствующие физическому проникновению злоумышленников на объекты защиты и осуществляющие защиту персонала (личные средства безопасности), материальных средств и финансов, информации от противоправных действий. Примеры физических средств: замки на дверях, решетки на окнах, средства электронной охранной сигнализации и т.п.
Программные средства – это специальные программы и программные комплексы, предназначенные для защиты информации в ИС. Как отмечалось, многие из них слиты с ПО самой ИС.
Из средств ПО системы защиты выделим еще программные средства, реализующие механизмы шифрования (криптографии). Криптография – это наука об обеспечении секретности и/или аутентичности (подлинности) передаваемых сообщений.
Билет 18