Группы пользователей

В системе Secret Net 9х предусмотрен механизм группирования пользователей, при использовании которого любой пользователь компьютера может быть включен в любую группу. После этого он наделяется соответствующими правами доступа ко всем ресурсам, которыми владеет данная группа пользователей.

Группа пользователей однозначно определяется в системе защиты ее названием. В системе защиты может быть создано не более 49 групп пользователей.

Ресурсы компьютера

Все ресурсы компьютера подразделяются на три типа:

•ресурсы файловой системы;

•аппаратные ресурсы;

•ресурсы операционной системы.

В Табл.1 приводится перечень ресурсов, защищаемых средствами системы Secret Net 9х, в соответствии с типом, к которому они принадлежат.

Табл.1 Состав защищаемых ресурсов компьютера

Внешняя защита компьютера

Внешняя защита предназначена для предотвращения доступа посторонних пользователей к защищенному компьютеру.

20

Глава 2 Общие принципы организации защиты компьютера

Примечание. Под посторонними пользователями понимаются все лица, не являющиеся пользователями компьютера и не зарегистрированные в системе Secret Net 9х, установленной на данном компьютере.

Внешняязащитакомпьютера

Внешняя защита компьютера реализуется следующими механизмами:

•механизмом идентификации и аутентификации пользователей, обеспечивающим (в том числе с помощью аппаратных средств) защиту от входа постороннего пользователя в систему при загрузке компьютера. Данный механизм реализован как программно, так и аппаратно, что позволяет предотвратить его преодоление;

•механизмом временной блокировки компьютера, обеспечивающим защиту работающего компьютера от постороннего пользователя;

•механизмом аппаратной и программной защиты от загрузки с гибкого диска, обеспечивающим защиту локальных жестких дисков в случае попытки загрузки компьютера с гибкого диска.

Механизм идентификации и аутентификации пользователей

Идентификация Идентификация (распознавание) и аутентификация (проверка подлинности) пользо- пользователей вателей осуществляется при каждом входе пользователя в систему.

21

Secret Net 9x Описание применения

Аутентификация не является обязательной. Предусмотрена возможность отмены запроса пароля для пользователей.

Внимание! Рекомендуется ограничить права доступа к ресурсам для пользователей, которым разрешен вход в систему без пароля.

При аутентификации пользователя осуществляется проверка правильности указанного им пароля.

Примечание. В Secret Net 9х поддерживается работа с паролями длиной до 16 символов. Длина пароля, равная 0 символов (“пустой” пароль) означает, что пользователю разрешен вход в систему без указания пароля.

Вводимый пароль не отображается на экране компьютера. Если пароль указан неверно, подается звуковой сигнал и в системном журнале регистрируется попытка несанкционированного доступа к компьютеру. Если пользователь несколько раз подряд неверно указал пароль и превысил число попыток, отводящихся ему для правильного ввода пароля, осуществляются следующие действия:

•блокируется клавиатура компьютера;

•подается звуковой сигнал;

•выдается соответствующее сообщение на экран;

•после нажатия любой клавиши осуществляется перезагрузка компьютера.

Примечание. Еслипользовательнеправильноввелимя, системаобэтомнесообщает, нофиксируетпопыткувходавсистемукакнеудачную.

Идентификаторы (имена и номера персональных идентификаторов) пользователей системы Secret Net 9х хранятся в базе данных системы защиты в открытом виде. Пароли пользователей хранятся в базе данных системы защиты в преобразованном виде, как образы (свертки) паролей, по которым нельзя восстановить их исходное значение.

Пароль может быть изменен только самим пользователем или администратором безопасности (пользователем, имеющим соответствующие привилегии) при помощи специальных программных средств. Администратор может назначать пользователям новые пароли, но не имеет возможности узнать значения старых паролей. Факт смены пароля пользователя регистрируется в системном журнале.

Механизм временной блокировки компьютера

ВсистемеSecret Net 9хсуществуетвозможностьвременнозаблокироватькомпьютер. Эта защитная функция используется тогда, когда пользователю нужно на некоторое время прервать свою работу, не выключая компьютер. В этом случае необходимо защитить работающий компьютер от возможности работы на нем посторонних лиц.

Запуск временной блокировки компьютера может осуществить сам пользователь, выполнив необходимые для этого действия. Также, компьютер может быть заблокирован автоматически по истечении интервала времени неактивности пользователя, определяемого параметрами работы системы защиты.

При временной блокировке компьютера экран монитора блокируется хранителем экрана. Чтобы разблокировать компьютер, необходимо ввести пароль или предъявить персональный идентификатор пользователя.

Механизм программной защиты от загрузки ОС со съемных носителей

Если на компьютере не установлены аппаратные средства защиты, существует возможность обхода средств защиты Secret Net 9х путем загрузки операционной системы со съемных носителей (гибких дисков или CD-ROM дисков). Данная функция системы

22

Глава 2 Общие принципы организации защиты компьютера

защиты позволяет предотвратить такую возможность, сделав “невидимым” жесткий диск компьютера.

При использовании этой защитной функции изменяются системные области локальных жестких дисков компьютера. В результате, при загрузке со съемного носителя в обход системы Secret Net 9х пользователь не сможет работать с жесткими дисками компьютера. Для работы с защищенными дисками будут необходимы специальные программные средства чтения системных областей жестких дисков, которые доступны только при загрузке системы защиты.

Однако, аппаратные средства обеспечивают большую степень внешней защиты, гарантируя (при обеспечении физической целостности компьютера) невозможность обхода средств внешней защиты путем загрузки компьютера со съемного носителя.

Аппаратные средства внешней защиты

В системе Secret Net 9х предусмотрена аппаратная поддержка описанных выше механизмов внешней защиты. Она обеспечивается специальными техническими устройствами - например, платами Secret Net TM Card или Электронный замок "Соболь". Эти устройства обычно устанавливаются в свободный слот материнской платы компьютера. Аппаратная поддержка внешней защиты также может быть обеспечена установкой микросхемы Secret Net ROM в разъем Remote Boot ROM (ПЗУ удаленной загрузки) на сетевой плате.

Аппаратные средства внешней защиты обеспечивают:

•защиту от загрузки операционной системы со съемных носителей и проникновения в систему, минуя внешнюю защиту;

•идентификацию пользователя с помощью аппаратных средств идентификации (чтение информации из персонального идентификатора пользователя).

Использование аппаратных средств идентификации возможно только тогда, когда аппаратные средства внешней защиты включают в свой состав устройство чтения персональных идентификаторов. В Табл.2 приведен перечень устройств чтения персональных идентификаторов, работа с которыми поддерживается системой Secret Net 9х, и соответствующих им типов персональных идентификаторов.

Работу системы Secret Net 9х с аппаратными средствами обеспечивают специальные программы-драйверы, управляющие обменом данными между устройством и системой защиты.

Табл.2 Устройства чтения персональных идентификаторов

Режимы работы с аппаратными средствами идентификации

В системе Secret Net 9х предусмотрены два режима работы с аппаратными средствами идентификации (Табл.3).

23

Secret Net 9x Описание применения

Внимание! Основным режимом работы системы Secret Net 9х с аппаратными средствами идентификации является жесткий режим, обеспечивающий наивысшую степень защиты компьютера.

Табл.3 Режимы работы с аппаратными средствами идентификации

24