3.2. Идентификация пользователя

При санкционированном доступе в информационную систему пользователь должен идентифицировать себя, а система проверить подлинность идентификации (произвести аутентификацию).

Идентификация – это присвоение какому-либо объекту или субъекту, реализующему доступ к ИС уникального имени (логического имени), образа или числового значения [1], [2], [14]. Установление подлинности (аутентификация) заключается в проверке, является ли проверяемый объект (субъект) в самом деле тем, за кого себя выдает. Конечная цель идентификация и установления подлинности объекта в вычислительной системе – допуск его к информации ограниченного пользования в случае положительного исхода проверки или отказ в допуске в случае отрицательного исхода проверки.

Как отмечают многие специалисты, объектами идентификации и установления подлинности в информационной системе могут быть:

• человек (конечный пользователь, должностное лицо и т.п.);

• техническое средство (терминал, дисплей, автоматизированное рабочее место, рабочая станция и т.п.);

• документы (листинги программ, распечатки и пр.);

• носители информации (различные виды накопителей информации);

• информация на дисплее, табло и т.д.

Для установления подлинности объекта могут быть использованы различные способы. В некоторых случаях она может производиться человеком (должностным лицом), однако чаще всего для этого используются аппаратные устройства, программы, вычислительные системы и т.д.

В зависимости от важности и уровня секретности хранимых в ИС данных процедуры идентификации и аутентификации могут быть менее или более сложными. В случаях, когда от статуса пользователя зависит спектр операций с данными, который ему разрешен, администратор БД заносит необходимые сведения в паспорт пользователя. Заметим, что в некоторых информационных системах информацию для паспорта пользователя вводит сам пользователь при регистрации в системе.

Как правило, любая процедура идентификации предполагает ввод пользователем логического имени (login) и пароля (password). В зависимости от особенностей функционирования системы пароль может выбирать либо сам пользователь, либо назначать администратор (в некоторых случаях его генерирует сама система). Пароль должен быть таким, чтобы его нельзя было легко раскрыть. Для этого рекомендуется при выборе и использовании пароля руководствоваться следующими правилами.

1. Пароль не должен содержать личностных данных пользователя (фамилия, имя, серия или номер паспорта или другого документа, удостоверяющего личность, дата рождения, адрес и т.п.).

2. Пароль не должен быть словом из какого-либо словаря (входить в какой-либо тезаурус). Перебор слов заданного словаря – технически достаточно простая задача.

3. Пароль не должен быть слишком коротким (подобрать сочетание символов в этом случае также не представляет сложности).

4. Пароль не должен состоять из повторяющихся букв или слов.

5. Пароль не должен состоять из символов, соответствующих подряд идущим клавишам клавиатуры (например: QWERTY – верхний ряд символьных клавиш, идущих последовательно справа направо).

6. Желательно включать в пароль символы с разных регистров (прописные и строчные символы, символы кириллицы и латиницы), знаки препинания, цифры и прочее.

7. Для того чтобы пароль хорошо запоминался, его можно составить из отдельных частей слов, входящих в какую-либо фразу, например, так, как в связи со знаменательными событиями для некоторых детей выбирали имена. Женское имя Даздрапема образовано от фразы: «Да здравствует первое мая!», мужское имя Ювкосур образовано от фразы: «Юрий в космосе. Ура!». Или другой пример: пароль «Деуо,са» составлен из фразы «Доброе утро, страна!». При этом соблюдались следующие правила: 1) от каждого слова фразы взят первый и последний символ; 2) в пароль включены знаки препинания, содержащиеся внутри фразы.

Следующая группа правил – это меры предосторожности, которые необходимо соблюдать при использовании пароля.

1. Предпринимать все меры сохранности пароля в тайне (целесообразно его запоминать, а не записывать).

2. Периодически (при регулярном обращении к системе - не реже одного раза в месяц) заменять пароль на новый. Однако новый пароль не должен выдаваться пользователю в конце сеанса работы. Заметим, что существуют приемы, в соответствии с которыми пользователь в разное время может пользоваться различными паролями, при чем время их использования может пересекаться.

3. В паспорте пользователя пароль должен храниться в зашифрованном виде. Наиболее подходящими для этих целей являются методы необратимого шифрования (методы, при которых обратное преобразование невозможно). При вводе пользователем пароля он должен шифроваться, а уже затем сравниваться с хранимым.

Несоблюдение этих и ряда других правил ведет к раскрытию пароля и возможности доступа к данным ИС лиц, не имеющих на это санкционированного права.

Исследуя этот вопрос, специалисты установили процент «раскрываемости» пароля, в зависимости от тематической группы, в которую он входит (таблица 1.)

Таблица 1