Идентификация и аутентификация

Основой любых систем ОБИ являются идентификация и аутентификация, так как все механизмы защиты информации рассчитаны на работу с поименованными субъектами и объектами АС. В качестве субъектов АС могут выступать как пользователи, так и процессы, а в качестве объектов АС – информация и другие информационные ресурсы системы.

Присвоение субъектам и объектам доступа личного идентификатора и сравнение его с заданным перечнем называется идентификацией. Она обеспечивает выполнение следующих функций ОБИ: 1) установление подлинности и определение полномочий субъекта при его допуске в систему, 2) контроль полномочий в процессе сеанса работы; 3) регистрацию действий и др.

Аутентификацией(установлением подлинности)называетсяпроверка принадлежности субъекту доступа предъявленного им идентификатора и подтверждение его подлинности. Другими словами, аутентификация заключается в проверке, является ли субъект тем, за кого он себя выдает.

Обобщенная схема идентификации и аутентификации пользователя при его доступе в АС представлена на рис.8.1. Если в процессе аутентификации подлинность субъекта установлена, то система защиты информации должна определить его полномочия (совокупность прав). Это необходимо для последующего контроля и разграничения доступа к ресурсам.

 

Рис.8.1. Обобщенная схема идентификации и аутентификации

По контролируемому компоненту системы аутентификацию можно разделить на аутентификацию партнеров по общению и аутентификацию источника данных. Аутентификация партнеров по общению используется при установлении (и проверке) соединения во время сеанса. Она служит для предотвращения таких угроз, как маскарад и повтор предыдущего сеанса связи. Аутентификация источника данных – это подтверждение подлинности источника отдельной порции данных.

По направленности аутентификация может быть односторонней (пользователь доказывает свою подлинность системе, например при входе в систему) и двусторонней (взаимной).

Методы аутентификации обычно классифицируют по используемым средствам. В этом случае указанные методы делят на четыре группы: 1) основанные на знании лицом, имеющим право на доступ к ресурсам системы, некоторой секретной информации – пароля; 2) базирующиеся на применении уникального предмета (жетон, электронная карточка и др.); 3) основанные на измерении биометрических параметров человека – физиологических или поведенческих атрибутах организма; 4) использующие информацию, ассоциированную с пользователем, например с координатами его местоположения. Рассмотрим эти группы.

1. Наиболее распространенными являются методы аутентификации, основанные на паролях – секретных идентификаторах субъектов. Здесь при вводе субъектом своего пароля подсистема аутентификации сравнивает его с паролем, хранящимся в базе эталонных данных в зашифрованном виде, и в случае совпадения паролей разрешает доступ к ресурсам АС.

Парольные методы можно классифицировать по степени изменяемости паролей на методы, использующие постоянные (многократно используемые) и одноразовые (динамично изменяющиеся) пароли.

В большинстве АС используются многоразовые пароли. При этом пароль пользователя не изменяется от сеанса к сеансу в течение установленного администратором системы времени его действительности. Это упрощает процедуры администрирования, но повышает угрозу рассекречивания пароля. Известны множество способов вскрытия пароля: от подсмотра через плечо до перехвата сеанса связи. Вероятность вскрытия злоумышленником пароля повышается, если пароль несет смысловую нагрузку (год рождения, имя), небольшой длины, набран на одном регистре, не имеет ограничений на период существования и т.д. Важно, разрешено ли вводить пароль только в диалоговом режиме или есть возможность обращаться из программы. В последнем случае возможен запуск программы подбора паролей – “дробилки”.

Более надежный способ – использование одноразовых или динамически меняющихся паролей. Известны следующие методы парольной защиты, основанные на одноразовых паролях: 1) модификации схемы простых паролей; 2) “запрос-ответ”;
3) функциональные.

В первом случае пользователю выдается список паролей. При аутентификации система запрашивает у пользователя пароль, номер в списке которого определен по случайному закону. Длина и порядковый номер начального символа пароля тоже могут задаваться случайным образом.

При использовании метода “запрос-ответ” система задает пользователю
несколько вопросов общего характера, правильные ответы на которые известны только конкретному пользователю.

Функциональные методы основаны на использовании специальной функции парольного преобразования f(x). Это позволяет обеспечить возможность изменения (по некоторой формуле) паролей пользователя во времени. Указанная функция должна удовлетворять следующим требованиям: 1) для заданного пароля x легко вычислить новый пароль y = f(x); 2) зная x и y, сложно или невозможно определить функцию f(x).

Наиболее известными примерами функциональных методов являются: метод функционального преобразования и метод “рукопожатия”.

Идея метода функционального преобразования состоит в периодическом изменении самой функции f(x). Последнее достигается наличием в функциональном выражении динамически меняющихся параметров, например функции от некоторой даты и времени. Пользователю сообщается исходный пароль, собственно функция и периодичность смены пароля.

Метод “рукопожатия” состоит в следующем. Функция парольного преобразования известна только пользователю и системе защиты. При входе в АС подсистема аутентификации генерирует случайную последовательность x, которая передается пользователю, который вычисляет результат функции y=f(x)и возвращает его в систему. Последняя сравнивает собственный вычисленный результат с полученным от пользователя. При совпадении указанных результатов подлинность пользователя считается доказанной.

В ряде случаев пользователю может оказаться необходимым проверить подлинность другого удаленного пользователя или какой-либо АС, к которой он собирается осуществить доступ. Наиболее подходящим здесь является метод “рукопожатия”, так как никто из участников информационного обмена не получит никакой конфиденциальной информации.

Отметим, что методы аутентификации, основанные на одноразовых паролях, также не обеспечивают абсолютной защиты. Например, если злоумышленник имеет возможность подключаться к сети и перехватывать передаваемые пакеты, то он может посылать их как собственные.

2. В настоящее время получили распространение комбинированные методы идентификации, требующие, помимо знания пароля, наличие карточки (token) – специального устройства, подтверждающего подлинность субъекта.

Карточки разделяют на два типа: пассивные (с памятью) и активные (интеллектуальные или смарт-карты).

Самыми распространенными являются пассивные карточки с магнитной полосой, которые считываются специальным устройством, имеющим клавиатуру и процессор. При использовании указанной карточки пользователь вводит свой идентификационный номер. В случае его совпадения с электронным вариантом, закодированным в карточке, пользователь получает доступ в систему. Это позволяет достоверно установить лицо, получившее доступ к системе, и исключить несанкционированное использование карточки злоумышленником (например, при ее утере). Такой способ часто называют двукомпонентной аутентификацией.

Иногда (обычно для физического контроля доступа) карточки применяют сами по себе, без запроса личного идентификационного номера.

К достоинству использования карточек относят то, что обработка аутентификационной информации выполняется устройством чтения без передачи в память компьютера. Это исключает возможность электронного перехвата по каналам связи.

Недостатки пассивных карточек следующие: они существенно дороже паролей (рис.8.2), требуют специальных устройств чтения, при их использовании необходимы специальные процедуры безопасного учета и распределения. Их также следует оберегать от злоумышленников, в первую очередь, естественно, не оставлять в устройствах. Известны случаи подделки пассивных карточек.

Интеллектуальные карточки кроме памяти имеют собственный микропроцессор. Это позволяет реализовать различные варианты парольных методов защиты:
многоразовые пароли, динамически меняющиеся пароли, запрос-ответные методы. Все карточки обеспечивают двухкомпонентную аутентификацию. К указанным достоинствам интеллектуальных карточек следует добавить многофункциональность. Их можно применять не только для целей безопасности, но и, например, для финансовых операций. Недостатком таких карточек является их высокая стоимость.

Перспективное направление развития карточек – изготовление их в соответствии со стандартом расширения портативных систем PCMCIA (PC Card). Такие карточки являются портативными устройствами типа PC Card, которые вставляются в разъем PC Card и не требуют специальных средств чтения. Однако в настоящее время они достаточно дороги.

3. Методы аутентификации, основанные на измерении биометрических параметров человека, обеспечивают почти 100%-ную идентификацию, решая проблемы утери или утраты паролей и личных идентификаторов. Однако эти методы нельзя использовать при идентификации процессов или данных, они только начинают развиваться (имеются проблемы со стандартизацией и распространением), требуют сложного и дорогостоящего оборудования. Это обусловливает их использование пока только
в особо важных системах.

Примерами внедрения указанных методов являются системы идентификации пользователя по рисунку радужной оболочки глаза, отпечаткам ладони, формам ушей, инфракрасной картине капиллярных сосудов, почерку, запаху, тембру голоса и даже ДНК (табл.8.2).

Таблица 8.2