- •Лекция 15-16. Компьютерная безопасность
- •Основы противодействия нарушению конфиденциальности информации
- •Методы разграничения доступа
- •Идентификация и аутентификация пользователей
- •Методы ограничения доступа к информации
- •Методы мониторинга несанкционированные действий
- •Криптографические методы защиты данных
- •Принцип достаточности защиты
- •Использование хэш-функций
- •Электронная цифровая подпись
- •Защита информации в Интернете
- •Понятие об электронных сертификатах
- •Компьютерные вирусы
- •Методы защиты от компьютерных вирусов
- •Средства антивирусной защиты
Методы разграничения доступа
При организации доступа субъектов к объектам выполняются следующие действия:
идентификация и аутентификация субъекта доступа;
проверка прав доступа субъекта к объекту;
ведение журнала учета действий субъекта.
Идентификация и аутентификация пользователей
При входе в КС, при получении доступа к программам и конфиденциальным данным субъект должен быть идентифицирован и аутентифицирован. Эти две операции обычно выполняются вместе, т.е., пользователь сначала сообщает сведения, позволяющие выделить его из множества субъектов (идентификация) – вводит имя пользователя (login), а затем сообщает секретные сведения, подтверждающие, что он тот, за кого себя выдает.
Обычно данные, идентифицирующие пользователя, не засекречены, но для усложнения проведения атак по несанкционированному доступу желательно хранить эти данные в файле, доступ к которому возможен только администратору системы.
Для аутентификации субъекта чаще всего используются атрибутивные идентификаторы, которые делятся на следующие категории:
пароли;
съемные носители информации;
электронные жетоны;
пластиковые карты;
механические ключи.
Паролем называют комбинацию символов, которая известна только владельцу пароля или, возможно, администратору системы безопасности. Обычно пароль вводится со штатной клавиатуры после включения питания. Возможен ввод пароля с пульта управления или специального наборного устройства. При организации парольной защиты необходимо выполнять следующие рекомендации:
Пароль необходимо запоминать, а не записывать.
Длина пароля должна быть не менее девяти символов.
Пароли должны периодически меняться.
Должны фиксироваться моменты времени успешного получения доступа и неудачного ввода пароля. Информация о попытках неверного ввода пароля должны подвергаться статистической обработке и сообщаться администратору.
Пароли должны храниться так, чтобы доступ к ним был затруднен. Это достигается двумя способами:
пароли хранятся в специальном ЗУ, запись в которое осуществляется в специальном режиме;
пароли подвергаются криптографическому преобразованию (шифрованию).
При вводе пароля не выдавать никаких сведений на экран, чтобы затруднить подсчет введенных символов.
Не использовать в качестве паролей имена и фамилии, дни рождения и географические или иные названия. Желательно менять при вводе пароля регистры, использовать специальные символы, набирать русский текст на латинском регистре, использовать парадоксальные сочетания слов.
В настоящее время компьютер поддерживает ввод пароля до начала загрузки операционной системы. Такой пароль хранится в энергонезависимой памяти и обеспечивает предотвращение несанкционированного доступа до загрузки любых программных средств. Этот пароль считается эффективным средством, если злоумышленник не имеет доступа к аппаратуре, так как отключение внутреннего питания сбрасывает этот пароль.
Другие способы идентификации (съемные носители, карты и. др.) предполагают наличие технических средств, хранящих идентификационную информацию. Съемный носитель, содержащий идентификационную информацию — имя пользователя и его пароль, находится у пользователя КС, которая снабжена устройством для считывания информации с носителя.
Для идентификации и аутентификации часто используется стандартный гибкий диск или флэш-память. Достоинства такого идентификатора заключаются в том, что не требуется использования дополнительных аппаратных средств и кроме идентификационного кода на носителе может храниться и другая информация, например, контроля целостности информации, атрибуты шифрования и др.
Иногда, для повышения уровня защищенности, используются специальные переносные электронные устройства, подключаемые, например, к стандартным портам компьютера. К ним относится электронный жетон-генератор — прибор, вырабатывающий псевдослучайную символьную последовательность, которая меняется примерно раз в минуту синхронно со сменой такого же слова в компьютерной системе. Жетон используется для однократного входа в систему. Существует другой тип жетона, имеющего клавиатуру и монитор. В процессе идентификации КС выдает случайную символьную последовательность, которая набирается на клавиатуре жетона, по ней на мониторе жетона формируется новая последовательность, которая вводится в КС как пароль.
К недостатку способа идентификации и аутентификации с помощью дополнительного съемного устройства можно отнести возможность его потери или хищения.
Одним из надежных способов аутентификации является биометрический принцип, использующий некоторые стабильные биометрические показатели пользователя, например, отпечатки пальцев, рисунок хрусталика глаза, ритм работы на клавиатуре и др. Для снятия отпечатков пальцев и рисунка хрусталика требуются специальные устройства, которые устанавливаются на компьютерных системах высших уровней защиты. Ритм работы при вводе информации проверяется на штатной клавиатуре компьютерной системы и, как показывают эксперименты, является вполне стабильным и надежным. Даже подглядывание за работой пользователя при наборе ключевой фразы не дает гарантии идентификации злоумышленника при его попытке повторить все действия при наборе фразы.