3. Защита от нсд к информации в корпоративных системах
3.1. Способы нсд и защиты от него кс
классификация НСД
защита от НСД
Классификация НСД:
подбор паролей и др. аутентифицирующей информации, 2 способа:
полный перебор; если N – мощность алфавита, используемого в пароле, а K – max длина пароля, то среднее время взлома t*NK/2;
по специальному словарю;
использование подключения к системе в момент временного отсутствия легального пользователя;
подключение к линии связи в момент завершения сеанса легального пользователя;
«маскарад» – выдача себя за легального пользователя:
похищение носителя с ключевой информацией;
перехват пароля:
внедрение закладки, сохраняющей ввод с клавиатуры;
имитация панели для ввода имени и пароля;
социальная инженерия (мошенничество) – метод программируемого взаимоотношения с человеком для достижения цели;
мистификация;
аварийный способ – искусственное создание ситуации отказа в работе отдельных служб атакуемой системы. Цель – отключить средства защиты, нарушить политику безопасности (пример – алгоритм Чижова);
профессиональный взлом:
тщательный анализ ПО;
поиск уязвимостей в ПО ЗИ;
анализ выбранной политики безопасности;
попытка внедрения вредоносных программ.
Направления защиты от НСД:
аутентификация,
разграничение доступа (разграничение полномочий),
шифрование.
3.2. Способы аутентификации пользователей кс
Способы аутентификации:
пользователь знает что-то, что подтверждает его подлинность:
парольная аутентификация;
модель рукопожатия (запрос-ответ) – секретное правило преобразования информации;
пользователь что-то имеет, что подтверждает его подлинность:
материальные носители с ключевой информацией;
магнитные носители;
штрих-коды (со специальным составом, препятствующим сканированию);
touch memory;
token (маркер, брелок);
smart card;
пользователь и есть то лицо, за которое себя выдает (биометрические признаки):
характеристики работы пользователя за компьютером (скорость доступа, клавиатурный почерк, роспись мышью);
ввод специфической информации (решение некоторой логической задачи);
аутентификация на основе БЗ об уровне знаний, культуры пользователя (экспертная система аутентификации).
3.3. Организация базы учетных записей пользователей
понятия
Unix
Windows, алгоритмыWindows NTиLAN Manager
Пусть i – пользователь, RIDi – идентифицирующий номер пользователя (relational identifier), IDi – логическое имя учетное записи пользователя, Di – дескриптор, описатель учетной записи (связь логического имени с физическим лицом), Si – случайная величина.
Пусть Pi – некоторая аутентифицирующая информация (очевидно ее нельзя хранить в открытом виде), Fi – функция преобразования F(Pi, Si) (функция шифрования или хеширования Pi), Gi – информация о правах и полномочиях пользователей системы.
Unix
Учетные записи находятся в файле /etc/passwd (обычно открыт для чтения всем). В современных системах используется затенение (/etc/shadow, /etc/master.passwd). В Linux запрещен доступ по чтению.
Gi: UIDi или GIDi (для группы), home dir, shell
Si: 2-3 символа
Pi и Si используются в качестве начального ключа (вектора) для шифрования магической строки M (8 пробелов): EPi,Si(M) = F(Pi, Si). Для шифрования – алгоритм DES.
Windows NT/2000/XP Pro
База учетных записей: реестр (HKLM\SAM), файл Windows\System32\config\SAM.
Gi: набор битов, задающий привилегии пользователя. Случайные значения не поддерживаются. 2 функции F:
алгоритмWindows NT,
алгоритмLAN Manager.
Алгоритм Windows NT:
максимальная длина пароля – 14 символов,
преобразование в кодировкуUnicode,
применение функции хеширования: hi = H(Pi) (16 байт),
шифрование: F(Pi, Si) = ERIDi(hi) (алгоритм DES).
Алгоритм LAN Manager:
максимальная длина пароля – 14 символов,
преобразование буквенных символов пароля к верхнему регистру: Piup = Uppercase (Pi),
разделение на 2 7-байтовые половины: Piup = Pi1 || Pi2,
шифрование магической строкой M = “kgs!@#$%”: hi = EPi1(M) || EPi2(M),
F(Pi, Si) = ERIDi(hi).