Розділ 8. Ідентифікація й аутентифікація, керування доступом

8.1. Ідентифікація й аутентифікація

Ідентифікацію й аутентифікацію можна вважати основою програмно-технічних засобів безпеки, оскільки інші сервіси розраховані на обслуговування іменованих суб'єктів. Ідентифікація й аутентифікація - це перша лінія оборони, "прохідна" інформаційного простору організації.

Ідентифікація дозволяє суб'єктові (користувачеві, процесу, що діє від імені певного користувача, або іншому апаратно-програмному компоненту) назвати себе (повідомити своє ім'я). За допомогою аутентифікації друга сторона переконується, що суб'єкт дійсно той, за кого він себе видає. Як синонім слова "аутентифікація" іноді використовують словосполучення "перевірка дійсності".

(Помітимо в дужках, що походження україномовного терміна "аутентифікація" не зовсім зрозуміло. Англійське "authentication" скоріше можна прочитати як "аутентикація"; важко сказати, звідки в середині узялося ще "фі" - може, з ідентифікації? Проте, термін устоявся, він закріплений у Керівних документах України, використаний у численних публікаціях, тому виправити його вже неможливо.)

Аутентифікація буває однобічної (звичайно клієнт доводить свою дійсність серверу) і двосторонньої (взаємної). Приклад однобічної аутентифікації - процедура входу користувача в систему.

У мережевому середовищі, коли сторони ідентифікації/аутентифікації територіально рознесені, у розглянутого сервісу є два основних аспекти:

• що служить аутентифікатором (тобто використовується для підтвердження дійсності суб'єкта);

• як організований (і захищений) обмін даними ідентифікації/аутентифікації.

Суб'єкт може підтвердити свою дійсність, пред'явивши принаймні одну з наступних сутностей:

* щось, що він знає (пароль, особистий ідентифікаційний номер, криптографічний ключ і т.п.);

• щось, чим він володіє (особисту картку або інший пристрій аналогічного призначення);

• щось, що є частиною його самого (голос, відбитки пальців і т.п., тобто свої біометричні характеристики).

У відкритому мережевому середовищі між сторонами ідентифікації/аутентифікації не існує довіреного маршруту; це значить, що в загальному випадку дані, передані суб'єктом, можуть не збігатися з даними, отриманими й використаними для перевірки дійсності. Необхідно забезпечити захист від пасивного й активного прослуховування мережі, тобто від перехоплення, зміни й/або відтворення даних. Передача паролів у відкритому вигляді, мабуть, незадовільна; не рятує положення й шифрування паролів, тому що воно не захищає від відтворення. Потрібні більш складні протоколи аутентифікації.

Надійна ідентифікація й аутентифікація ускладнена не тільки через мережеві загрози, але й з цілого ряду причин. По-перше, майже всі аутентификаційні сутності можна довідатися, украсти або підробити. По-друге, є протиріччя між надійністю аутентифікації, з одного боку, і зручностями користувача й системного адміністратора з іншогої. Так, з міркувань безпеки необхідно з певною частотою просити користувача повторно вводити аутентифікаційну інформацію (адже на його місце могла сісти інша людина), а це не тільки клопітно, але й підвищує ймовірність того, що хтось може підглянути за уведенням даних. По-третє, чим надійніший засіб захисту, тим він дорожчий.

Сучасні засоби ідентифікації/аутентифікації повинні підтримувати концепцію єдиного входу в мережу. Єдиний вхід у мережу - це, у першу чергу, вимога зручності дтя користувачів. Якщо в корпоративній мережі багато інформаційних сервісів, що допускають незалежний обіг, то багаторазова ідентифікація/аутентифікація стає занадто обтяжною. На жаль, поки не можна сказати, що єдиний вхід у мережу став нормою, що домінантні рішення поки не сформувалися.

Таким чином, необхідно шукати компроміс між надійністю, доступністю за ціною й зручністю використання й адміністрування засобів ідентифікації й аутентифікації.

Цікаво відзначити, що сервіс ідентифікації/аутентифікації може стати об'єктом атак на доступність. Якщо система сконфігурована так, що після певного числа невдалих спроб пристрій уведення ідентифікаційної інформації (таке, наприклад, як термінал) блокується, то зловмисник може припинити роботу легального користувача буквально декількома натисканнями клавіш.