24.Методы и средства защиты от несанкционированного доступа

Подсистема управления доступом предназначена для защиты ПЭВМ от посторонних пользователей, управления доступом к объ­ектам доступа и организации совместного их использования зарегистрированными пользователями в соответствии с установленными правилами разграничения доступа.

Под посторонними пользователями понимаются все лица, не зарегистрированные в системе (не имеющие зарегистрированного в конкретной ПЭВМ персонального идентификатора). Защита от посторонних пользователей обеспечивается процедурами идентифика­ции (сравнение предъявленного идентификатора с перечнем зарегистрированных на ПЭВМ) и аутентификации (подтверждение под­линности), которая обычно осуществляется путем ввода пароля определенной длины. Для идентификации пользователей в комплексах защиты от НСД наиболее часто используются персональные идентификаторы типа Touch Memory (Ibutton) DS 199X, отли­чающиеся высокой надежностью, уникальностью, наличием быст­родействующей памяти, удобством пользования, приемлемыми массогабаритными характеристиками и низкой ценой.

В комплексах защиты от НСД могут быть реализованы два принципа управления доступом к защищаемым ресурсам: дискреционный и мандатный.

Дискреционный принцип управления доступом. Каждому зарегистрированному пользователю устанавливаются права доступа по принципу присвоения заданных характеристик доступа каждой паре «субъект-объект», которые прописываются в ПРД. При запросе пользователя на доступ обеспечивается однозначное трактование установленных ПРД и в зависимости от уровня полномочий пользователя разрешается или запрещается запрошенный тип доступа.

Данный вариант управления доступом позволяет для любого пользователя системы создать изолированную программную среду (ИПС), т.е. ограничить его возможности по запуску программ, указав в качестве разрешенных к запуску только те программы, которые действительно необходимы для выполнения пользователем своих служебных обязанностей. Таким образом, программы, не входящие в этот список, пользователь запустить не сможет.

Мандатный принцип управления доступом. Принцип управления доступом к ресурсам ПЭВМ (аппаратным и программным), основанный на сопоставлении уровня конфиденциальности, присваиваемого каждому ресурсу, и полномочиях конкретного зареги­стрированного пользователя по доступу к ресурсам ПЭВМ с заданным уровнем конфиденциальности.

Для организации мандатного управления доступом, для каждого пользователя системы устанавливается некоторый уровень допуска к конфиденциальной информации, а каждому ресурсу (каталоги, файлы, аппаратные средства) присваивается так называемая метка конфиденциальности.

При этом разграничение доступа к конфиденциальным каталогам и файлам осуществляется путем сравнения уровня допуска пользователя и метки конфиденциальности ресурса и принятии решения о предоставлении или не предоставлении доступа к ресурсу.

25.Методы защиты программно-аппаратными средствами ас

В состав типового комплекса защиты ПЭВМ от НСД входят аппаратные и программные средства. К аппаратным средствам отно­сятся аппаратный контроллер, съемник информации и персональные идентификаторы пользователей.

Аппаратный контроллер представляет собой плату (ISA/PCI), устанавливаемую в один из слотов расширения материн­ской платы ПЭВМ. Аппаратный контроллер содержит ПЗУ с программным обеспечением, разъем для подключения считывателя информации и дополнительные устройства.

В качестве дополнительных устройств на аппаратном контрол­лере могут быть установлены реле блокировки загрузки внешних устройств (FDD, CD-ROM, SCSI, ZIP и т.п.); аппаратный датчик случайных чисел; энергонезависимая память.

Считыватель информации представляет собой устройство, предназначенное для считывания информации с предъявляемого пользователем персонального идентификатора. Наиболее часто в комплексах защиты от НСД применяются считыватели информации с персональных идентификаторов типа Touch Memory (Ibutton) DS199X, представляющие собой контактные устройства.

В качестве считывателей информации могут использоваться считыватели смарт-карт (Smart Card Reader) контактные и бескон­тактные, а также биометрические считыватели информации, позволяющие идентифицировать пользователя по его биометрическим характеристикам (отпечаток пальца, личная подпись и т.п.).

Персональный идентификатор пользователя представляет собой аппаратное устройство, обладающее уникальными некопируемыми характеристиками. Наиболее часто в системах защиты от НСД используются идентификаторы типа Touch-Memory (Ibutton), представляющие собой электронную схему, снабженную элементом питания и обладающую уникальным идентификационным но­мером длиной 64 бита, который формируется технологически. Срок эксплуатации электронного идентификатора, декларируемый фирмой-производителем, составляет около 10 лет.

Помимо ТМ-идентификаторов, в системах защиты от НСД используются идентификаторы типа Smart Card («Смарт-карта»).

Смарт-карта представляет собой пластиковую карточку (рис. 2), со встроенной в нее микросхемой, содержащей энергонезависимую перезаписываемую память.

Некоторые системы защиты от НСД допускают использование в качестве идентификатора биометрические признаки пользователя (личная подпись, отпечаток пальца и т.п.).