21. Аутентификация пользователей

Аутентификация в сети представляет значительно более сложную задачу, чем аутентификация в изолированной вычислительной системе.

Можно выделить три типа аутентификации в порядке повышения надежности:

1. основанные на знании человеком паролей, цифровых кодов и т.п.;

2. основанные на том, что человек имеет: удостоверение, в том числе электронное;

3. основанные на том, кем человек является: т.е. на биометрических (отпечатки пальцев) и биологических (код ДНК) параметрах;

Проблема в сети: отсутствует непосредственный контакт с аутентифицируемым агентом (в Интернет никто не знает с кем он на самом деле общается). Из-за опасности подделки адресов и маршрутизации не возможно однозначно определить, где находится аутентифицируемый. Эта проблема усложняется возможностью перехвата информации в сети (кодов, паролей и т.п.)

Удовлетворительный механизм сетевой аутентификации должен отвечать двум требованиям:

- аутентификация должна быть двухсторонней, т.е. и сервер и клиент должны предъявлять какую-либо информацию;

- данные, которыми обмениваются клиент и сервер должны быть уникальными и не допускать повторного использования.

Т.о., задача построения механизма сетевой аутентификации тесно связана с криптографией.

Реально используемые системы аутентификации можно разделить на две категории:

А) надежные в криптографическом смысле (взломщик может рассчитывать только на криптоанализ полным перебором пространства ключей);

Б) «бюджетные» - взломщик может успешно применить эффективные атаки.

22. Аутентификация в протоколе smb

Прикладной блок стека Net BIOS (Базовая система ввода-вывода, Network Basic Input/ Output System) SMB используется операционными семействами (OS/2, Windows) для организации сетевых файловых систем.

При аутентификации клиент и сервер обменивается тремя пакетами (простой запрос-ответ). При этом используется менеджер безопасного доступа (SAM) – аутентификационный сервис для системы Win32. (SAM еще называют системой безопасности)

Каждый домен сети имеет собственную базу SAM (в простейшем случае домен состоит из одного сервера, клиенты могут не входить в домен.

Схемы запрос-ответ начинаются с того, что сервер вместе с выбранной версией протокола передает ключ Rх – псевдослучайную строку длиной 8 байт. Принято ее обозначать C8. Далее С8 подвергается преобразованию с использованием пароля в качестве секретного значения.

В качестве основы алгоритма преобразования используется DES (стандарт шифрования данных, Data Encruption Standart): хэшируемая строка используется в качестве ключа шифрования.

Если строка длиннее 7 байт (длина ключа 56 бит), используется более сложная процедура: сначала шифруется значение младшими семью байтами строки, затем – старшими шестью и объединяются полученные значения.

Из-за наличия разных схем аутентификации SMB оказывается уязвимым к специфической атаке, называемой снижением версии, когда злоумышленник, контролирующий маршрутизатор или имитатор сервера, предлагает клиенту старую версию протокола аутентификации и при помощи пароля, передаваемого открытым текстом.

SMB допускает многоступенчатую аутентификацию. Протокол при этом предусматривает два типа серверов:

- контроллеры сервера (которые содержат реплики SAM);

-простые серверы (имеющие локальную БД).

Установление идентичности происходит следующим образом:

Сервер устанавливает соединение с одним из контроллеров домена и пытается произвести аутентификацию от имени fat/domain. Аутентификация происходит синхронно: получив от контроллера запрос, сервер пересылает запрос клиенту. Получив от клиента ответ, сервер пересылает его контроллеру и ждет результата. Такое поведение называют «человек в середине».

При соединении между контроллерами используется более совершенная схема, основанная на использовании двух паролей (так как оба контроллера имеют реплики SAM), они знают хэш друг друга. Поэтому межконтроллерные соединения заслуживают название – безопасный канал (schannel).

Несмотря на обилие криптографических терминов, используемых при описании протокола SMB, его следует признать в лучшем случае бюджетной системой аутентификации и не следует применять в открытом Интернет.

В многодоменной сети применяется схема многоступенчатой аутентификации.