Протоколы аутентификации
Также не следует забывать, что процедуру аутентификации применяют компьютеры при общении друг с другом, используя при этом весьма сложные криптографические протоколы, обеспечивающие защиту линии связи от прослушивания или подмены одного из участников взаимодействия. А поскольку, как правило, аутентификация необходима обоим объектам, устанавливающим сетевое взаимодействие, то аутентификация должна быть взаимной. Иначе, к примеру, покупая товар в не аутентифицированном Интернет-магазине, вы рискуете потерять свои деньги.
В частности, в операционных системах семейства Windows NT 4 используется протокол NTLM (NT LAN Manager — Диспечер локальной сети NT). А в доменах Windows2000/2003 применяется гораздо более совершенный протоколKerberos, который предлагает механизм взаимной аутентификации клиента и сервера перед установлением связи между ними, причём в протоколе учтён тот факт, что начальный обмен информацией между клиентом и сервером происходит в незащищённой среде, а передаваемые пакеты могут быть перехвачены и модифицированы. Другими словами, протокол идеально подходит для применения в Интернет и аналогичных сетях.
Идентификация(лат.identifico— отождествлять):
Идентификация в компьютерной безопасности — процесс сообщения субъектом своего имени или номера, с целью отличить данный субъект от других субъектов. Например, одна из типичных систем идентификации — штрихкод.
Под идентификацией также иногда понимается аутентификация — процесс подтверждения подлинности пользователя, см. также [1]
[1]: Алексей Махоткин
То, что я собираюсь рассказать, довольно тривиально, но, как оказалось, иногда некорректно понимается некоторыми. Я буду говорить об именах пользователей, паролях, о том, для чего они нужны, и о соседних вещах. Есть три с половиной базовые концепции, относящихся к компьютерной безопасности: идентификация, аутентификация, авторизация и аудит. Эти концепции надо тщательно различать между собой. Идентификация -- это попросту имя пользователя, идентификатор, под которым этот пользователь известен системе. Сам по себе идентификатор ничего не говорит о том, правильный ли он или нет. Например, почти во всех операционных системах есть тот или иной root, Administrator, и т. п., и само по себе имя практически никак использовать нельзя -- к нему прилагается некоторый механизм аутентификации). F.A.Q.: почему нельзя использовать "пароль" в качестве имени пользователя и наоборот? [sic!] (На самом деле этот вопрос означает: "нельзя ли как-то избавиться от одного из двух компонентов?") Ответ: ни того, ни другого сделать нельзя, потому что 1) для аудита и для авторизации (см. ниже) нужно то или иное имя пользователя; 2) использовать пароли в качестве имени пользователя нельзя потому, что пароли а) могут вообще отсутствовать (см. ниже); б) иногда меняются; в) вообще-то, секретны, и показывать их потенциальным "аудиторам" нельзя. Аутентификация -- это метод выяснения того, что предъявленное имя действительно принадлежит тому человеку, который предъявляет это имя. Самым распространенным (но далеко не единственным!) способом аутентификации является парольная аутентификация. Именно из-за этой распространенности может создаться впечатление, что от пароля можно либо отказаться, либо использовать его не по назначению. На самом деле, есть огромное количество других способов аутентификации пользователя: например, по радужной оболочке глаза, или по отпечаткам пальцев, или с помощью калькулятора паролей, или с помощью смарт-карт, или с помощью симметричной криптографии. То есть фактически, использование пары "имя пользователя/пароль" -- это просто самое быстрое и дешевое для реализации решение. Авторизация -- это решение о предоставлении пользователю доступа к тому или иному ресурсу (или к самой системе). Авторизация при принятии решения о предоставлении доступа пользуется только и исключительно идентификатором пользователя. Механизмы авторизации предполагают (и правильно делают), что они работают в зоне, защищенной тем или иным механизмом аутентификации. Есть два слегка разных проявления авторизации: авторизация "на вход в систему" и авторизация "на совершение действий". Авторизация на вход в систему проявляется в тот момент, когда пользователя не пускают в систему, потому что он набрал неправильный пароль. Вообще, ошибка аутентификации -- это не единственная причина того, что авторизация на вход в систему может провалиться: например, в это время суток в системе проводятся плановые работы и поэтому доступ пользователей к ней запрещен. Авторизация на вход в систему рассматривается отдельно потому, что именно в точке входа в систему она тесно взаимодействует с аутентификацией, из-за чего эти две вещи часто смешивают. Авторизация на совершение действий срабатывает, например, тогда, когда пользователю не дают прочитать файл, потому что у него нет прав на чтение этого файла (несмотря на то, что пароль-то он знает). То есть, успешная аутентификация не гарантирует какой бы то ни было авторизации. Аудит -- это запись журнала использования того или иного имени. Обычно используется два основных вида записей: записи об аутентификации (например, "пользователь vasya вошел в систему" или "неверный пароль пользователя petya) и записи об авторизации ("пользователь vasya прочитал файл" и "пользователь petya попытался прочитать файл, который читать ему нельзя"). Здесь важно то, что мы должны уметь а) как-то написать вот эти слова типа "petya" и "vasya", чтобы показать их потом "аудиторам" б) при этом не раскрыть секретной информации. Соответственно, становится очевидно, что имя пользователя так или иначе должно существовать (потому что изображение радужки глаза очень сложно использовать для рассуждений о том, скажем, кто именно работал в системе в тот или иной момент).