Мельников Д. А. - Информационная безопасность открытых систем - 2013

3.2.2.1. Информация о состоянии процедуры аутентификации

Информация о состоянии процедуры аутентификации (ИСА) описывает состояние аутентификации, сохраняющееся между обращениями к службам аутентификации. ИСА может включать:

•сеансовые криптоключи;

•последовательные номера сообщений.

ИСА необходимо хранить в защищенном режиме. Эта ин­ формация храниться у провайдеров СЛАУ.

3.2.2.2. Вспомогательные (обеспечивающие) средства

Вспомогательные средства аутентификации могут потребо­ ваться для распределения описательной информации, паролей или ключей (используя СЛКЛ) между объектами, которым тре­ буется проведение процедуры аутентификации. Кроме этого, в данной ситуации может потребоваться использование протоко­ ла между взаимодействующими сторонами и другими объекта­ ми, выполняющими функции провайдеров СЛАУ. Обеспечение процедуры аутентификации также может потребовать отзыв ВИАУ.

Инсталляция. Средство инсталляции размещает предъяв­ ляемую ВИАУ и проверочную ВИАУ. Это средство в последу­ ющем может быть детализировано и представлено в терминах: средство регистрации, средство проверки подлинности и сред­ ство подтверждения.

Средство регистрации. Средство регистрации побужда­ ет центр безопасности фиксировать некоторую проверочную ВИАУ, связанную с взаимодействующей стороной. Эта инфор­ мация включает УИД, который присваивается либо взаимодей­ ствующей стороной, либо центром безопасности. (Регистраци­ онный ЦБ может потребовать от взаимодействующей стороны подтверждение гарантий с точки зрения проведения проверки подлинности регистрации.) В этот момент времени взаимодей­ ствующая сторона является кандидатом на вхождение в ССБ,

124

но она пока еще официально не признана членом ССБ и обмен ВИАУ невозможен.

Средство проверки подлинности. Средство проверки подлин­ ности, функционирующее от имени УЦ ССБ, включает взаимо­ действующую сторону в ССБ.

Проверка подлинности проверочной ВИАУ, связанной с взаимодействующей стороной, может потребовать организации соединения между центром безопасности и другим объектом, ко­ торое может быть установлено без использования ЭМВОС или Интернет-архитектуры. Функционирование средства проверки подлинности влечет за собой применение УИД, входящего в со­ став проверочной ВИАУ.

Средство подтверждения. Средство подтверждения исполь­ зуется после применения средства проверки подлинности. Это средство направляет взаимодействующей стороне или другим объектам ответную специфическую информацию. Простейшей формой ответной информации является квитанция, или уда­ ление после инсталляции. Другие формы могут быть следую­ щими:

•независимый СЕРТ|АУ;

•общепринятый УИД;

•предъявляемая ВИАУ.

Впоследующей процедуре подтверждения взаимодействую­ щая сторона может быть аутентифицирована.

Изменение. Средство изменения ВИАУ применяется от имени взаимодействующей стороны или администратора с це­ лью осуществления изменений в ВИАУ.

Распределение. Средство распределения ВИАУ позволя­ ет любой взаимодействующей стороне получить необходимую проверочную ВИАУ, а после получения — проверить ее.

Блокировка. Средство блокировки, применяемое от имени центра безопасности, переводит процедуру аутентификации в состояние, при котором взаимодействующая сторона временно приостанавливает собственную аутентификацию.

Разблокировка. Средство разблокировки, применяемое от имени центра безопасности, переводит процедуру аутентифика­

125

ции в состояние, при котором служба блокировки приостанав­ ливает свое функционирование.

Деинсталляция. Средство деинсталляции удаляет запись о взаимодействующей стороне из набора записей о взаимодей­ ствующих объектах, подлежащих аутентификации. Это сред­ ство в последующем может быть детализировано и представле­ но в терминах: средство признания несостоятельности, средство уведомления и средство удаления регистрации.

Средство признания несостоятельности (invalidate). Это средство выполняет действие, инициализированное центром безопасности, которое включает аннулирование проверочной ВИАУ и/или изменение ИСА, относящейся к взаимодействую­ щей стороне. Средство признания несостоятельности препят­ ствует прохождению процедуры аутентификации взаимодей­ ствующей стороной.

Средство уведомления (notify). Это средство может быть ис­ пользовано центром безопасности после использования средства признания несостоятельности. Средство уведомления направля­ ет взаимодействующей стороне ответное извещение о признании ее несостоятельности, которое также может содержать информа­ цию о том, как пройти процедуру повторной регистрации.

Средство удаления регистрации. Это средство исключает взаимодействующую сторону из ССБ. Это означает удаление уникальных свойств взаимодействующей стороны и соответ­ ствующей проверочной ВИАУ. Это средство применяется цен­ тром безопасности.

3.2.2.3. Функциональные средства

Запрос (acquire). Средство запроса обеспечивает претенден­ ту или проверяющей стороне получение информации, необхо­ димой при формировании определенной ВИАУ для обмена, которая, в свою очередь, необходима для запроса процедуры аутентификации. В этом случае может понадобиться взаимо­ действие с ДТС (например сервером аутентификации).

Входные данные кандидата следующие:

•тип аутентификационного обмена;

126

•УИД взаимодействующей стороны;

•уникальный параметр проверяющей стороны;

•тип предъявляемой ВИАУ (например пароль, ключ);

•предъявляемая ВИАУ (например значение пароля);

•тип ВИАУ для обмена;

•срок действия (время начала и окончания действия).

Выходные данные для кандидата следующие:

•статус (положительное или отрицательное решение);

•информация, необходимая при формировании ВИАУ для запроса;

•срок действия (время начала и окончания действия).

Формирование (generateV Средство формирования приме­ няется претендентом при генерировании ВИАУ для обмена и / или при обработке полученной ВИАУ для обмена.

Входные данные кандидата следующие:

•тип аутентификационного обмена;

•УИД взаимодействующей стороны;

•информация, необходимая при формировании ВИАУ для запроса, полученная после использования средства запроса;

•ссылка на сохраненную ИСА;

•ВИАУ для обмена, полученная от проверяющей сторо­ ны;

•тип ВИАУ для обмена;

•уникальный параметр проверяющей стороны;

•предъявляемая ВИАУ.

Выходные данные для кандидата следующие:

•статус (положительное решение, необходимо дальнейшее информационное взаимодействие или отрицательное ре­ шение);

•ссылка на сохраненную ИСА;

•ВИАУ для обмена, которая будет передаваться прове­ ряющей стороне.

127

Тип аутентификационного обмена может быть определен на основе входных данных при первом инициировании работы средства формирования в процессе аутентификационного обме­ на, при условии, что претендент является инициатором процеду­ ры аутентификации. При этом же инициировании работы сред­ ства формирования в ответном сообщении доставляется ссылка на сохраненную ИСА в качестве выходных данных. В после­ дующих обращениях к средству формирования в рамках одного

итого же процесса аутентификационного обмена эти входные

ивыходные данные не нужны, однако ссылка на сохраненную ИСА может использоваться в качестве входных данных.

ИСА будет сохраняться средством формирования для последу­ ющего использования в процедуре аутентификации, но до тех пор, пока не будет получен положительный или отрицательный ответ.

Если получен ответ «необходимо дальнейшее информацион­ ное взаимодействие», то претендент будет использовать средство формирования для последующего получения ВИАУ для обмена от другого субъекта. Претенденту, возможно, придется провести несколько таких операций (т.е. использование средства фор­ мирования, хранящего информацию о предыдущем состоянии процедуры аутентификации, полученную ВИАУ для обмена), причем до тех пор, пока не будет получен положительный или отрицательный ответ. Таким же образом средство формирова­ ния реализует и другие схемы формирования ВИАУ, включая многократные процедуры запрос/ответ, а также востребован­ ные некоторыми схемами процедуры информационного обмена в условиях отсутствия соответствующих сведений.

Проверка (verifyУ Проверяющая сторона использует сред­ ство проверки для верификации полученной от претендента ВИАУ для обмена и/или формирования ВИАУ для обмена, ко­ торая будет передаваться претенденту.

Входные данные кандидата следующие:

•тип аутентификационного обмена;

•информация, необходимая при формировании ВИАУ для запроса, полученная после использования средства запроса;

128

•ссылка на сохраненную ИСА;

•полученная от претендента ВИАУ для обмена;

•проверочная ВИАУ.

Выходные данные для кандидата следующие:

•статус (положительное решение —необходимо дальней­ шее информационное взаимодействие или отрицатель­ ное решение);

•ссылка на сохраненную ИСА;

•ВИАУ для обмена, которая будет передаваться претен­ денту (если состояние процедуры аутентификации — «необходимо дальнейшее информационное взаимодей­ ствие»);

•УИД взаимодействующей стороны (если получен поло­ жительный ответ);

•срок действия (время начала и окончания действия);

•указатель обоюдной аутентификации.

Тип аутентификационного обмена может быть опреде­ лен на основе входных данных при первом инициировании работы средства проверки в процессе аутентификационного обмена, при условии, что проверяющая сторона является ини­ циатором процедуры аутентификации. При этом же иниции­ ровании работы средства проверки в ответном сообщении до­ ставляется ссылка на сохраненную ИСА в качестве выходных данных. В последующих обращениях к средству проверки в рамках одного и того же процесса аутентификационного об­ мена эти входные и выходные данные не нужны, однако ссыл­ ка на сохраненную ИСА может использоваться в качестве входных данных.

ИСА будет сохраняться средством проверки для последую­ щего использования в процедуре аутентификации, но до тех пор, пока не будет получен положительный или отрицательный ответ.

Если был получен положительный ответ, то в нем также со­ держались данные, указывающие на подтверждение подлинно­ сти взаимодействующей стороны.

129

Формирование и проверка. В случае обоюдной аутентифи­ кации средства формирования и проверки могут быть объеди­ нены в одно средство. Входные и выходные данные кандидата представляют собой объединение входных и выходных данных двух средств.

ПРИМ ЕЧАНИЕ. Средство формирования и средство провер­ ки не доставляют какие бы то ни было данные. Доставка данных зависит от системы в которой используется аутентификация.

Рис. 3.9. Пример1информационных потоков между функционально связанными службами (средствами)

1 В этом примере представленная служба запросов используется и претендентом, и проверяющей стороной. Но на практике, как правило, эта служба используется только одной из этих взаимодействующих сторон, либо не используется ни одной. Несмотря на то что имеют место информа­ ционные потоки между службами (средствами) формирования и провер­ ки, ни одна из этих служб не предназначена для использования модулей связи.

130

Пример информационных потоков. На рис. 3.9 представлен пример информационных потоков, связанных с функциониро­ ванием средств запроса, формирования и проверки, которые ис­ пользуются в модели проведения процедуры аутентификации (например прикладных процессов).

3.3. Свойства способов аутентификации

Способы аутентификации (СПАУ) могут основываться на принципах a), d) и е), представленных в § 3.1.3. Принцип d) предусматривает использование ДТС (§ 3.1.5.2), но такие спо­ собы, в конечном счете, будут зависеть от принципов а) или е). С другой стороны, в открытых системах процедура аутентифика­ ции удаленных объектов очень часто основана на принципе а), т.е. на использовании секретных последовательностей символов (СПС, secrets) в форме ключа или пароля.

3 .3 .1 . С и м м етр и ч н ы е/аси м м етр и ч н ы е методы аутентиф икации

Аутентификация удаленных объектов очень часто основана на использовании СПС, которые имеют форму ключа или паро­ ля. Процедура аутентификации влечет за собой обязательную демонстрацию знания СПС. Методы такой демонстрации (по­ каза) делятся на две обширные категории:

•симметричные методы, при которых обе взаимодейству­ ющие стороны совместно используют общую ВИАУ;

•асимметричные методы, при которых не вся ВИАУ ис­ пользуется обеими взаимодействующими сторонами со­ вместно.

Примеры симметричных методов аутентификации:

•пароль;

•обмен зашифрованными данными на основе симметрич­ ной криптографии с использованием общего крипто­ ключа.

131

Примеры асимметричных методов аутентификации:

•асимметричная криптография с использованием пары криптоключей;

•методы, с помощью которых владение информацией мо­ жет быть проверено без показа какой-либо части этой ин­ формации.

3 .3 .2 . И спользование к р и п т о гр а ф и ч е с к и х / н е кр и п то гр а ф и ч ес ки х методов

Способы аутентификации, основанные на знании чегонибудь (§ 3.1.3), в дальнейшем могут характеризоваться ис­ пользованием ими криптоалгоритмов для защиты ВИАУ. Сим­ метричные, асимметричные и гибридные криптографические методы могут использоваться для обеспечения целостности, а в некоторых случаях для защиты конфиденциальности ВИАУ.

Некриптографические методы предусматривают исполь­ зование паролей или запросно-ответные таблицы. Примером криптографических методов является использование шифрова­ ния для защиту передаваемых паролей.

3 .3 .3 . Типы аутенти ф и кац и и

Подтверждение подлинности затрагивает две взаимодей­ ствующие стороны. При односторонней аутентификации одна сторона выступает в роли претендента, а другая — проверяющей стороны. При обоюдной аутентификации каждая взаимодей­ ствующая сторона выступает одновременно в роли претендента и в роли проверяющей стороны. Обоюдная аутентификация мо­ жет осуществляться с использованием одних и тех же или раз­ личных способов аутентификации, причем в обоих направле­ ниях.

33.3.1. Односторонняя аутентификация

Односторонняя аутентификация может быть проведена с использованием:

132

•либо одной процедуры доставки ВИАУ (например когда используются уникальные номера);

•либо трех процедур доставки ВИАУ, когда используется запросно-ответный метод информационного обмена;

•либо более трех процедур доставки ВИАУ. Такой вариант приемлем для некоторых специфических способов аутен­ тификации в условиях отсутствия каких-либо начальных сведений.

Врассмотренных выше случаях предполагалось, что претен­ дент является инициатором процедуры аутентификации. Если инициатором процедуры аутентификации является проверяю­ щая сторона, то число процедур доставки будет другим.

3 3 3 .2 . Обоюдная аутентификация

При обоюдной аутентификации нет необходимости приме­ нять удвоенное число процедур доставки или один и тот же спо­ соб аутентификации в обоих направлениях.

В случае использования способов аутентификации с тре­ мя процедурами доставки ВИАУ при односторонней аутенти­ фикации обоюдная аутентификация не требует какого-либо последующего информационного обмена. Запрос в течение запросно-ответной процедуры может быть совмещен с пере­ дачей другого запроса, используемого проверяющей стороной (затем выступающей в роли претендента) для аутентификации претендента (затем выступающего в роли проверяющей сто­ роны).

3 3 3 3 . Квитированиерезультатов аутентификации

В некоторых случаях весьма полезно использовать квити­ рование (acknowledgement) результатов процедуры аутентифи­ кации, когда объекту аутентификации был дан положительный или отрицательный ответ. Такая квитанция может быть гаран­ тированной или может быть простым ответом «да» или «нет» без предоставления каких-либо гарантий. Отправка квитанции потребует дополнительной процедуры доставки.

133