Добавил:
ivanov666
Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз:
Предмет:
Файл:Программно-аппаратные средства защиты информации. В 3 частях. Ч.1. Учебное пособие.pdf
на сканировании радужной оболочки глаза, являются
British Telecom, Sensar и
японская компания
Oki.
2.5.5. СЕТЧАТКА ГЛАЗА
Получить изображение сетчатки глаза значительно сложнее, чем изобра
жение радужной оболочки, так как она расположена на глазном дне. Сетчатку
глаза исследуют инфракрасным светом низкой интенсивности, который на
правляется через зрачок к кровеносным сосудам глазного дна
.
Сетчатка глаза является уникальным аутентификатором и используется
для получения доступа на объектах с высокой степенью секретности. Данный
вид биометрических данных является очень надёжным, поскольку ошибки пер
вого рода (пропуск цели) и второго рода (ложная тревога) имеют очень малую
-
-
-
вероятность. Данные системы не лишены недостатков. Различные глазные бо
лезни, например катаракта, могут негативно повлиять на процедуру идентифи
кации
.
2.5.6. ГОЛОСОВАЯ ИДЕНТИФИКАЦИЯ
Этот биометрический способ идентификации отличается от других своей
простотой и относительно невысокой стоимостью, но при этом есть существен
ный недостаток
–
низкий процент точности идентификации. Заболевания, на
пример простуда, ларингит, негативно влияют на показатели результативности
в таких системах. Проводятся исследования по улучшению и изменению под
ходов к анализу речи человека, объединения физиологических и поведенческих
-
-
-
-
-
факторов. Нередко данный вид удостоверения подлинности используется для
получения доступа к помещениям со сравнительно низкой степенью секретно
сти. Лидерами в этой области можно считать компании
T-Netix, ITT Nuance,
Veritel.
41
-
2.5.7. ГЕОМЕТРИЯ ЛИЦА
Идентификация человека по лицу является быстрорастущим и перспек
тивным направлением развития индустрии биометрических систем. Главное
достоинство данного способа определяется схожестью процесса идентифика
ции людей друг другом
.
Примером системы контроля доступа на базе распознавания лица являет
ся система распознавания посетителей, установленная компанией
Mr. Payroll в
местах для обналичивания чеков. При первом посещении делается цифровой
снимок лица клиента, который передаётся в процессинговый центр. Система
сверяет изображение с лицом клиента при каждом последующем посещении и
только после этого производит обналичивание чека
Технология
Facelt
для распознавания одного или нескольких лиц в слож
.
-
-
-
-
ных сценах позволяет автоматически определять присутствие человека, его ме
стоположение, выделить изображение и произвести идентификацию
.
Системы распознавания лиц позволяют выполнять следующие функции
установление подлинности
многих
».
«
один в один» или поиск соответствия
«
один из
Данная система создаёт изображение лица человека, выделяет на нём ха
рактерные части и вычисляет уникальный хэш-код для каждой личности. Сис
тема
Facelt
режимом работы, и архивировать изображения лица объёмом до
использования на различных физических носителях
кодах и т.п
позволяет своевременно отслеживать лица, обладая специальным
84
байта для
(
смарт-картах, штрих
.) с
небольшим объёмом пространства для хранения. Каждая система
идентификации по геометрии лица определяется применяемыми способами ко
-
:
-
-
-
-
дирования и сжатия изображения. Используя современные статистические ме
тоды, мы можем получить все лица из репрезентативной выборки. Они охваты
вают пиксели изображения лица и универсально представляют лицевые формы
42
-
.
Фактически в структуре лица доступно гораздо больше элементов, чем количе
-
ство частей самого лица. Однако оказалось, что для синтеза заданного портрета
с высокой точностью требуется всего несколько (от
12 до 40)
характерных эле
ментов из имеющегося набора. Личность человека определяется не только ха
рактерными элементами, но и тем, как они геометрически сочетаются (учиты
вается их взаимное расположение
матический код индивидуальной идентичности
).
Созданный таким образом сложный мате
–
шаблон
Faceprint –
содержит
информацию, которая отличает человека от миллионов людей и может быть
скомпилирована и сравнена с другими с феноменальной точностью. Шаблон не
зависит от изменения освещения, тона кожи, наличия/отсутствия очков, мими
ки, волос на лице и голове, возможно изменение угла поворота лица до
в любом направлении
.
35°
-
-
-
-
-
2.5.8. ПЕРСПЕКТИВЫ БИОМЕТРИЧЕСКИХ СИСТЕМ БЕЗОПАСНОСТИ
Биометрические технологии всё чаще занимают лидирующие позиции в
индустрии безопасности, борьбе с преступностью и терроризмом. События
11
сентября
2001 г. в
США подтвердили необходимость широкого использова
ния биометрических систем безопасности, способных идентифицировать людей
в местах их массового скопления
– на
вокзалах, в метро, в аэропортах, на ста
дионах, в торговых центрах и т.д. Прогноз рынка биометрических технологий
показывает их значительный рост во всех странах. Однако в настоящее время
структура рынка выглядит так
−
по отпечаткам пальцев
−
по радужной оболочке глаза
:
– 34%;
– 34%;
-
-
−
по геометрии кисти руки
по геометрии лица
−
−
по голосу
– 11%;
– 15%;
– 25%;
43
−
верификация подписи
– 3%.
В нашей стране биометрические системы контроля появились в середине
1990-х гг. Из-за
неразвитости и чрезмерной секретности отечественных техно
логий все коммерческие биометрические системы были импортными. На этом
этапе себестоимость систем, а соответственно, и цена, были довольно высоки
ми
–
например, довольно простое устройство контроля физического доступа
стоило около
12 000
долларов. Такое дорогое оборудование носило, скорее, ха
рактер экзотики, нежели массового распространения. Сегодня цена на такие
системы снизилась примерно на порядок. Поэтому первая причина развития ак
тивного спроса на них в нашей стране исключительно экономическая
ства стали намного дешевле. Вторая причина
–
это объективная потребность
–
устрой
клиентов в организации современной, налаженной системы безопасности в ор
ганизации, в офисе компании или в частном доме
.
-
-
-
-
-
-
По мнению большинства экспертов, в России особенно распространены
дактилоскопические устройства. Есть основания полагать, что системы распо
знавания подписи
–
традиционной биометрической характеристики будут вне
дрены в банковские структуры. Установка систем идентификации личности по
радужной оболочке, сетчатке глаза, голосу
–
большая редкость в России. Тем
не менее уже есть примеры использования этих устройств, особенно во многих
крупных банках Москвы; компания
«
Макдональдс» установила биометриче
ские системы для отслеживания рабочего времени персонала; в последнее вре
мя резко возрос спрос на дактилоскопические системы среди тех, кто устанав
ливает их в своих загородных домах
.
Отечественные разработки на этом рынке сильно фрагментированы, су
ществуют на уровне прототипов, о более серьёзных объёмах их продаж, к со
-
-
-
-
-
-
-
жалению, говорить не приходится. Одна из самых известных систем, разрабо
танная российскими инженерами
, – «
Кордон
» –
это устройство, обеспечиваю
щее физический доступ в помещение; также есть разработки в области дакти
44
-
-
-
лоскопии (компания
рит
»).
Российский рынок биометрических систем безопасности в основном
«BioLink»); в
области распознавания лиц (компания «Спи
-
представлен иностранными компаниями, которые продают свои технологии на
нашем рынке через своих российских партнёров. Упомянутая выше система
Facelt
компания
Smart Eye,
ках импортного дактилоскопического оборудования
представлена, например, группой компаний «Дан-ком
«
Солинг» активно внедряет немецкую систему распознавания лиц
»;
инжиниринговая
компания «Биометрические системы» специализируется на постав
.
Большинство прогнозов сводятся к тому, что рост внедрения биометриче
ских систем безопасности на российском рынке в ближайшее время будет ла
винообразным
.
2.6. ТИПОВЫЕ РЕШЕНИЯ В ОРГАНИЗАЦИИ
-
-
-
СИСТЕМ ИДЕНТИФИКАЦИИ И АУТЕНТИФИКАЦИИ
ПОЛЬЗОВАТЕЛЕЙ
2.6.1. ТИПОВЫЕ СХЕМЫ ХРАНЕНИЯ КЛЮЧЕВОЙ ИНФОРМАЦИИ
Проанализируем типовые схемы хранения ключевой информации в от
крытых компьютерных системах на примере хранения информации для удосто
верения подлинности пользователей
Допустим, что для каждого аутентифицируемого субъекта
два информационных поля: идентификатор
.
i
содержится
(IDi) и
аутентификатор
(Ki).
Первое
поле является неизменяемым, информация во втором поле, как правило, может
изменяться
.
-
-
Пара
(IDi, Ki) –
это основная информация, относящаяся к учётной записи
пользователя, хранится в базе данных удостоверения подлинности компьютер
ной системы
.
-
45
База данных удостоверения подлинности для открытых компьютерных
систем находится в каком-либо объекте файловой системы компьютера. Это
означает, что потенциальный нарушитель способен её украсть и исследовать
.
Все имеющиеся в настоящее время угрозы для базы данных удостовере
ния подлинности можно разделить на два типа
Первый тип угроз
данных удостоверения подлинности
В операционных системах
–
это копирование, исследование и изменение базы
.
Windows
.
это реализовано посредством исполь
зования контроля доступа к базе данных удостоверения подлинности на уровне
операционной системы и запрета доступа к этим базам данных, за исключением
ключевых системных процессов
В операционных системах семейства
ветствующим определением дискреционной политики безопасности
.
UNIX
защита обеспечивается соот
.
-
-
-
Тем не менее следует отметить, что эти средства защиты почти никогда
не работают должным образом. Например, злоумышленник может использо
вать специальные утилиты для извлечения базы данных удостоверения подлин
ности операционной системы из реестра, в который она копируется при запуске
операционной системы, либо загрузившись с внешнего носителя. В связи с
этим при защите баз данных больше внимания уделяется защите от второго ти
па угроз. Предполагается, что злоумышленник смог получить доступ к содер
жимому базы данных удостоверения подлинности
Второй тип угроз
базе данных удостоверения подлинности
–
это угроза изучения информации, содержащейся в
.
.
Информация удостоверения подлинности не должна находиться в базе в
открытом виде, поскольку злоумышленник сможет без труда ознакомиться с
-
-
-
-
ней, если получит доступ к базе. Информация, хранящаяся в этой базе данных
должна быть заблокирована. Такой метод блокирования аутентификационной
информации, как шифрование, не обладает необходимой надёжностью, по
46
,
-
скольку шифрование должно выполняться с использованием определённого
ключа, который тоже должен где-то храниться, а значит, существует возмож
ность его компрометации. К тому же нужно, чтобы подсистема удостоверения
подлинности пользователя не сравнивала аутентификатор, введённый пользо
вателем напрямую, с эталоном в ОЗУ, поскольку существующие инструменты
отладки, такие как
YDbg,
позволяют выполнить пошаговое исполнение процес
са удостоверения подлинности и получить доступ к реальным аутентификато
рам (узнать, что система хочет увидеть на этапе удостоверения подлинности
).
Следовательно, обеспечение безопасности удостоверения подлинности
должно выполняться методами, отличными от шифрования, и чтобы эталоны
не были известны даже самой подсистеме удостоверения подлинности. С дру
гой стороны, подсистема удостоверения подлинности должна чётко определять
правильность конкретного аутентификатора, не зная эталона
.
-
-
-
-
-
К настоящему времени известны две типовые схемы хранения ключевой
информации в базах данных удостоверения подлинности, которые могут ре
шить эти проблемы. Рассмотрим эти схемы подробнее
.
Схема 1. В компьютерной системе выделяется объект-эталон для иден
тификации и удостоверения подлинности. Структуру объекта-эталона можно
представить в виде табл
В этой таблице
. 2.2.
Ei = F(IDi, Ki),
где
F –
функция хэширования
При правильном выборе вида функции хэширования, зная
становить
Ki
расчётным путём невозможно
.
Ei и IDi,
вос
.
-
-
-
Получается, что вместо индивидуальных аутентификационных данных
пользователей
Ki в
базе данных удостоверения подлинности хранится результат
их одностороннего преобразования. Для извлечения
пользуется алгоритм хэширования
MD4.
NTLM в Windows NT ис-
47
2.2. Первая типовая схема хранения ключевой информации
Рассмотрим алгоритм идентификации и удостоверения подлинности для
схемы
1.
Шаг
Шаг
1.
Пользователь предъявляет свой идентификатор
2.
Если не находится ни одного совпадения с
ID.
IDi,
имеющимися в базе
пользователей компьютерной системы, то идентификация отвергается
т.е. пользователю не предоставляют доступ. В случае если существует иденти
фикатор
телем
аутентификатор
IDi = ID,
i,
прошёл идентификацию
Шаг
3.
Система удостоверения подлинности запрашивает у пользователя
Шаг
4.
Система удостоверения подлинности сравнивает
устанавливается факт «пользователь, назвавшийся пользова
K и
вычисляет значение
».
Y = F(IDi, K).
Ei и Y, и
при сов
,
-
-
-
падении записывается событие
цию в системе
в систему не допускается
»,
иначе удостоверение подлинности отклоняется, и пользователь
.
Первыми, кто предложил использовать этот метод, были Роджер Нидхем
и Майк Гай (проект «Титан
», 1967 г.,
Вторая типовая схема хранения ключевой информации немного преобра
зует схему
48
1.
«
пользователь успешно прошёл аутентифика
Кембридж
).
-
-
2.3. Вторая типовая схема хранения ключевой информации
Схема 2. В компьютерной системе выделяется эталонный объект
со структурой, приведённой в табл
В этой таблице
. 2.3.
Ei = F(Si, K),
где
Si –
ром
по
Ei и Si.
случайный вектор, формируемый при создании пользователя с номе
i; F –
некоторая необратимая функция, для которой нельзя восстановить
Алгоритм идентификации и удостоверения подлинности для схемы
Шаг
1.
Шаг
Пользователь предъявляет свой идентификатор
2.
Если не находится ни одного совпадения с
ID.
IDi,
имеющимися в
K
2.
компьютерной системе, то в идентификации будет отказано, т.е. пользователю
-
не предоставляют доступ. Если же существует
«
пользователь, назвавшийся пользователем
тификации
Шаг
удостоверения подлинности
Шаг
формацию
».
3. По
идентификатору
IDi
информация
.
4.
Система запрашивает у пользователя аутентифицирующую ин
K и
вычисляет значение
Y = F(Si, K).
i,
успешно прошёл процедуру иден
IDi = ID,
Si
извлекается из базы данных
устанавливается факт
-
-
49
Шаг
5.
Система удостоверения подлинности проводит сравнение
Ei и Y.
Если они совпадают, то фиксируется событие «пользователь успешно прошёл
аутентификацию
тель не допускается в систему
»,
иначе удостоверение подлинности отклоняется, и пользова
.
Преимущество второй схемы в том, что даже если пользователи выберут
одинаковые пароли, то
= F(IDi, Ki)
обычно вычисляется в виде
Ei
будет для них разной. В первой схеме значение
Ei = F(Ki),
что не позволяет получить та
Ei =
кой результат. Для защиты базы данных удостоверения подлинности в ОС
UNIX
используется вторая схема
.
Если для защиты паролей использовать криптографически стойкие функ
ции
F, то
взломать ключевую систему можно будет только посредством пере
бора ключей. Тогда злоумышленник должен будет один за другим перебирать
ключи, генерировать информацию
E
для каждого из них, преобразовывать её в
-
-
-
-
соответствии с известным алгоритмом и сравнивать получившуюся информа
цию
E с
информацией удостоверения подлинности
Ei.
Рассмотрим, к примеру, результат использования криптографически не
безопасных алгоритмов хэширования в качестве функции
F.
менте
Пример. Схема
Excel
хранится хэш-образ пароля, используемый для сравнения хэша па
1
используется для защиты книг
Microsoft Excel. В
доку
роля, который указывается пользователем при снятии защиты. Длина хэша со
ставляет
свойствами (обладает низкой стойкостью к образованию коллизий
16
бит. Используемая хэш-функция обладает плохими рассеивающими
).
Это значит
что довольно много паролей имеют один и тот же хэш-образ, и не составит тру
да подобрать нужный. Например, если попытаться защитить книгу
Excel с по-
-
-
-
-
-
,
-
мощью пароля
«test»,
пароль
«zzyw»
также будет принят как правильный. Это
очень плохая функция, особенно для баз данных удостоверения подлинности
операционной системы
50
.