Робоче завдання

Вивчити види загроз і методики захисту індивідуальних робочих станцій. Підготувати звіт з лабораторної роботи.

Порядок виконання роботи

1. Встановити пароль на BIOS, спробувати підібрати заводський пароль.

2. Завантажити систему Windows XP.

3. Встановити простий числовий пароль (до 7 символів) на вхід до системи Windows XP.

4. Перезавантажити систему, скопіювати файл SAM чи імпортувати дані з нього, за допомогою програми SAMInside отримати паролі. Заміряти час зламу паролю.

5. Отримати пароль з допомогою LC+4 та LC4. Зробити висновки щодо ефективності даного програмного забезпечення.

6. Послідовно встановлювати для зламу паролі з наростаючою складністю за довжиною (від 4 до 8 символів) та кількістю знаків алфавіту (тільки цифри, тільки букви, букви і цифри). В кожному випадку отримати час розкриття паролю не менш ніж для трьох різних комбінацій. Для зламу паролів використати один з програмних засобів SAMInside, LC+4, LC4.

7. На основі отриманих статистичних даних з допомогою Excel або MathCAD виконати наступне:

– побудувати залежності середнього часу зламу від довжини паролю для різних алфавітів;

– апроксимувати отримані експериментальні дані аналітичними залежностями;

– користуючись отриманими залежностями визначити середній час розкриття паролю довжиною 12 символів для кожного алфавіту;

– використовуючи отримані аналітичні залежності визначити довжину паролю, що забезпечує середній час його розкриття при ручному наборі не менше десяти років для кожного алфавіту .

Зміст звіту

1. Назва та мета роботи.

2. Методика проведення роботи з графічними результатами.

3. Письмові відповіді на контрольні запитання.

Контрольні питання:

1. Як встановити пароль на BIOS?

2. Де зберігається файл SAM?

3. Методика алгоритмів DES та MD4?

4. Методика формування NT Hash та LM Hash?

5. Як відключити формування LM Hash.

Література:

1. Дмитрий Чеканов, Настройка BIOS: руководство пользователя.

Интернет-ресурс http://www.thg.ru/mainboard/20050926/nastroyka_bios-09.html

2. Трасковский А.В., «Cекреты BIOS». – 2-е узд., перераб. и доп. – СПб.: БВХ-Петербург, 2006. – 480 с.: ил.

Лабораторна робота № 2

Тема. Ідентифікація, аутентифікація, авторизація.

Мета: вивчити методики захисту програмного забезпечення від несанкціонованого доступу з допомогою: використання електронних ключів USBFlash, настройки програм на задане апаратне середовище, використання паролів, використання файлів ліцензування, прив’язки програм до фіксованого положення на носієві.

Завдання для самостійної підготовки

Ознайомитися з наступними методами шифрування даних:

– алгоритм MD2;

– алгоритм MD4;

– алгоритм MD5;

– алгоритм SHA-1;

– алгоритм SHA-2.

Короткі теоретичні відомості

Авторіза́ція (англ. authorization) – процес надання певній особі прав на виконання деяких дій. Авторизацію не слід плутати з аутентифікацією: аутентифікація – це встановлення дійсності особи, а авторизація – надання цій особі деяких прав.

Ідентифікацію й аутентифікацію можна вважати основою програмно-технічних засобів безпеки, оскільки інші сервиси розраховані на обслуговування іменованих суб'єктів. Ідентифікація й аутентификация – це перша лінія оборони, "прохідна" інформаційного простору організації.

Ідентифікація дозволяє суб'єктові (користувачеві, процесу, що діє від імені певного користувача, або іншому апаратно-програмному компоненту) назвати себе (повідомити своє ім'я).

За допомогою аутентифікації друга сторона переконується, що суб'єкт дійсно той, за кого він себе видає. Як синонім слова "аутентифікація" іноді використають словосполучення "перевірка дійсності".

Аутентифікація буває однобічною (звичайно клієнт доводить свою дійсність серверу) та двосторонньою (взаємною). Приклад однобічної аутентифікації – процедура входу користувача в систему.

У мережному середовищі, коли сторони ідентифікації / аутентифікації територіально рознесені, у розглянутого сервісу є два основних аспекти:

– що служить аутентифікатором (тобто використовується для підтвердження дійсності суб'єкта);

– як організований (і захищений) обмін даними ідентифікації (аутентифікації).

Суб'єкт може підтвердити свою дійсність, пред'явивши принаймні одну з наступних сутностей:

– щось, що він знає (пароль, особистий ідентифікаційний номер, криптографічний ключ і т.п.);

– щось, чим він володіє (особисту картку або інший пристрій аналогічного призначення);

– щось, що є частиною його самого (голос, відбитки пальців і т.п., тобто свої біометричні характеристики).

У відкритому мережному середовищі між сторонами ідентифікації / аутентифікації не існує довіреного маршруту; це означає, що в загальному випадку дані, передані суб'єктом, можуть не збігатися з даними, отриманими й використаними для перевірки дійсності. Необхідно забезпечити захист від пасивного й активного прослуховування мережі, тобто від перехоплення, зміни й / або відтворення даних. Передача паролів у відкритому виді, мабуть, незадовільна; не рятує положення й шифрування паролів, тому що воно не захищає від відтворення. Потрібні більш складні протоколи аутентифікації.

Надійна ідентифікація ускладнена не тільки через мережні погрози, але й через цілий ряд причин. По-перше, майже всі аутентифікаційні ознаки можна довідатися, викрасти або підробити. По-друге, є протиріччя між надійністю аутентифікації, з одного боку, і зручностями користувача й системного адміністратора з іншої. Так, з міркувань безпеки необхідно з певною частотою просити користувача повторно вводити аутентифікаційну інформацію (адже на його місце міг сісти інший), а це не тільки проблематично, але й підвищує ймовірність того, що хтось може підглянути за введенням даних. По-третє, чим надійніше засіб захисту, тим він дорожче.

Сучасні засоби ідентифікації / аутентифікації повинні підтримувати концепцію єдиного входу в мережу. Єдиний вхід у мережу – це, у першу чергу, вимога зручності для користувачів. Якщо в корпоративній мережі багато інформаційних сервисів, що допускають незалежний обіг, то багаторазова ідентифікація / аутентифікація стає занадто обтяжною. На жаль, поки не можна сказати, що єдиний вхід у мережу став нормою.

Таким чином, необхідно шукати компроміс між надійністю, доступністю за ціною й зручністю використання й адміністрування засобів ідентифікації й аутентифікації.