11.3.3. Ідентифікація, автентифікація й авторизація

Щоб користувач отримав можливість працювати в середовищі ОС, його має бути авторизовано. Авторизованому користувачу виділяються певні ресурси системи, для нього створюються необхідні структури даних (об'єкт-користувач) і запуска­ються певні процеси, які забезпечують цьому користувачу виконання його функ­цій. Наприклад, йому може бути виділено певну область системної пам'яті для копіювання в неї атрибутів користувача, що зберігаються у системній базі даних. Такий користувач отримує можливість запускати від свого імені процес, який ін­терпретує введені ним команди і транслює їх у системні виклики, що дає йому змогу виконувати дії з файлами та запускати програми на виконання.

У захищених системах авторизація здійснюється лише після ідентифікації й автентифікащії користувача. Ідентифікація, як було описано у розділі 1, склада­ється з двох процедур: присвоєння об'єкту (суб'єкту) ідентифікатора та розпізна­вання об'єкта за наданим ідентифікатором. В ОС стосовно користувачів перша процедура полягає у створенні облікового запису користувача — цю процедуру виконує адміністратор. Друга процедура полягає у введенні користувачем свого ідентифікатора у відповідь на зашгг системи. Ідентифікатором може бути умовне ім'я або певне число.

Для підтвердження того, що користувач насправді є тим, за кого себе видає, проводиться автентифікація, яка вимагає від користувача введення додаткової ін­формації. Зараз в ОС здебільшого застосовують автентифікацію двох типів: з вико­ристанням паролів і за допомогою зовнішніх носіїв із ключовою інформацією*

Парольна автентифікація передбачає, що користувач має повідомити системі деяку таємну інформацію, найчастіше — рядок символів. Автентифікація цьото типу — найпоширеніша та достатньо надійна, якщо виконуються дві умови, жод­ну з яких сама система проконтролювати не може, відтак виконання цих умов є вимогою до зовнішнього середовища. По-перше, користувачі мають забезпечу­вати таємність своїх паролів. Якщо зловмисник може заволодіти паролем^- па­рольну автентифікацію повністю скомпрометовано. Тому користувачі зобов'я­зані (і це регулюється виключно організаційно-адміністративними заходами) не повідомляти свої паролі будь-яким іншим особам і не записувати паролі, або, що­найменше, не зберігати записані паролі в місцях, що можуть бути доступними для інших осіб. По-друге, користувачі зобов'язані обирати такі паролі, щоб їх не могли вгадати порушники. Хоча виконання останньої вимоги насамперед зале­жить від користувачів, операційна система також має для її реалізації вбудовані засоби (вводяться обмеження на мінімальну довжину пароля, на наявність у ньо­му літер у різних регістрах, цифр і спеціальних символів). Однак усі ці заходи не захищають від паролів на кшталт 123qweRTY, відтак не здатні унеможливити спроби добирання паролів.

Звісно, що у будь-якій захищеній ОС потрібно вживати типових заходів, які протидіють добиранню паролів порушниками і заволодінню ними. До таких за­ходів належать:

• згадані вище обмеження на мінімальну довжину та складність пароля;

• обмеження терміну дії пароля (максимального та мінімального);

• блокування термінала після кількох невдалих спроб введення з нього пароля;

• блокування облікового запису користувача після кількох невдалих спроб вве­дення ним пароля;

• зберігання паролів у системі в зашифрованому вигляді, бажано — з викори­станням криптографічно стійких хеш-функцій;

• захист об'єкта, в якому зберігають зашифровані образи паролів, від несанк­ціонованого доступу.

Ідентифікація та автентифікація за допомогою зовнішніх носіїв ключової ін­формації дає змогу використовувати значно більші й складніші ключі, оскільки користувачу не потрібно їх запам'ятовувати. Хоча такий спосіб автентифікації виключає можливіств добирання та вгадування паролів, залишається актуальною загроза викрадання носія. Для того щоб нейтралізувати цю загрозу, застосовують автентифікацію відразу двох типів, а саме: перш ніж використати носій, користу­вач маеввести спеціальний пароль або PIN-код. Ключі, що зберігаються на само­му носії у зашифрованому вигляді, можна розшифрувати з використанням того пароля, який вводить користувач. Отже, автентифікація може бути успішною ли­ше за умови, що користувач має при собі носій і знає правильний пароль доступу до нього. У якості таких носіїв колись використовували звичайні дискети, зго­дом ш пластикові картки з магнітною смугою, потому поширення набули так звані інтелектуальні карти (Smart Card), що містять у собі не лише пам'ять, в яку можна щось записати, але й мікропроцесор, що здійснює певні перетворення ін­формації. Найсучасніші носії такої інформації — це так звані токени (мініатюрні електронні пристрої), які не лише зберігають інформацію про ключі, але й здій­снюють її захист і навіть здатні самостійно автентифікувати користувача, який їх використовує.