Система разграничения доступа

Деформации при кручении

Деформации при кручении характеризуются углом закручивания.

и

Тогда

 

 

 

- условие жесткости при кручении по относительному углу закручивания

В соответствии с руководящими документами основными направлениями обеспечения защиты СВТ и АС от несанкционированного доступа являются создание системы разграничения доступа (СРД) субъектов к объектам доступа и создание обеспечивающих средств для СРД.

К основным функциям СРД относятся:

• реализация правил разграничения доступа субъектов и их про­цессов к информации и устройствам создания ее твердых копий;

• изоляция процессов, выполняемых в интересах субъекта доступа, от других субъектов;

• управление потоками информации в целях предотвращения ее записи на носители несоответствующего уровня конфиденци­альности;

• реализация правил обмена информацией между субъектами в компьютерных сетях.

К функциям обеспечивающих средств для СРД относятся:

• идентификация и аутентификация субъектов и поддержание привязки субъекта к процессу, выполняемому для него;

• регистрация действий субъекта и активизированного им про­цесса;

• исключение и включение новых субъектов и объектов досту­па, изменение полномочий субъектов;

• реакция на попытки несанкционированного доступа (сигна­лизация, блокировка, восстановление объекта после несанкцио­нированного доступа);

• учет выходных печатных форм в КС;

• контроль целостности программной и информационной час­ти СРД и обеспечивающих ее средств.

Идентификация, аутентификация и авторизация пользователей КС.

Основными способами защиты от несанкционированно­го доступа к информации в компьютерных системах являются аутентификация, авторизация (определение прав доступа субъек­та к объекту с конфиденциальной информацией) и шифрование информации.

Под идентификацией понимают присвоение пользователю некоторого уникального идентификатора, который он должен предъявить СЗИ при осуществлении доступа к объекту и сравнение этого идегтификатора с имеющимися. СЗИ может проверить наличие данного пользователя в списке зарегистрированных и авторизовать его (то есть наделить полномочиями) для выполнения определенных задач.

В качестве идентификаторов могут использоваться, например, имя пользователя (логин), аппаратные устройства типа iButton (Touch Memory), бесконтактные радиочастотные карты proximity, отдельные виды пластиковых карт и т.д.

Идентификаторы субъектов не являются секретной информацией и могут храниться в компьютерной системе в открытом виде.

Для нейтрализации угроз, связанных с хищением идентификаторов и подменой злоумышленником легального пользователя необходимы дополнительные проверки субъекта, заключающиеся в подтверждении им владения предъявленным идентификатором. Данные проверки проводятся на этапе аутентификации пользователя.

Под аутентификацией понимают подтверждение пользователем предъявленного идентификатора, проверка его подлинности и принадлежности именно данному пользователю. Аутентификация выполняется для устранения фальсификации на этапе идентификации.

В качестве аутентифицирующей информации может использоваться, например, пароль, секретный код, пин-код и т.д. Информация, используемая субъектом для аутентификации, должна сохраняться им в секрете. Хищение данной информации ведет к тому, что злоумышленник сможет пройти этап идентификации и аутентификации без обнаружения фальсификации.

Авторизация — предоставление пользователю полномочий в соответствии с политикой безопасности, установленной в компьютерной системе.

Этапы идентификации и аутентификации пользователя объединяются в единой подсистеме. Эти процедуры в защищенной системе осуществляются специальными программными (программно-аппаратными) средствами, встроенных в ОС или СЗИ.

Аутентификация бывает односторонней (обычно клиент доказывает свою подлинность серверу) и двусторонней (взаимной). Пример односторонней аутентификации – процедура входа пользователя в систему.

Процедура идентификации производится при включении компьютера и заключается в том, что сотрудник «представляется» компьютерной системе. При этом АС может предложить сотруднику выбрать свое имя из списка зарегистрированных пользователей или правильно ввести свой идентификатор. Далее пользователь должен убедить АС в том, что он действительно тот, кем представился.

Как выглядит последовательность действий при ходе пользователя в КС (под «С» понимается систе­ма, под «|П» — пользователь):

1. С: запрос имени, под которым пользователь зарегистрирован в базе данных учетных записей КС (логического имени пользо­вателя или так называемого логина).

2. П: ввод логического имени (ID).

3. С: проверка наличия ID в регистрационной базе данных. Если пользователь с таким именем зарегистрирован, то запрос его иден­тифицирующей информации, в противном случае — возврат к п. 1.

4. П: ввод идентифицирующей информации (Р).

5. С: проверка совпадения Р с идентифицирующей информа­цией для пользователя ID в регистрационной базе данных. Если совпадение есть, то допуск пользователя к работе в КС, в против­ ном случае — возврат к п. 3.

Что нам дает присвоение каждому пользователю уникального логического имени, под которым зарегистрирован в базе данных учетных записей? Это позволяет предоставить разным пользовате­лям КС различный уровень прав, и дает возможность полного учета всех входов пользователя в систему в журнале аудита.

Приведем типичную структуру учетной записи / в регистраци­онной базе данных КС: • относительный номер учетной записи RID; • логическое имя пользователя ID; • полное имя пользователя и его должность в организации D; • случайное значение S(, генерируемое при регистрации пользо­вателя в КС (используется для предотвращения возможности по­лучения одним пользователем полномочий другого пользовате­ля при случайном совпадении идентифицирующей информации); • идентифицирующая пользователя информация Р; • информация о правах пользователя в КС R,. Доступ к базе данных учетных записей КС как по чтению, так и по записи должен быть разрешен только привилегированному пользователю (администратору). Рассмотрим возможные угрозы бе­зопасности информации в КС, если доступ к регистрационной базе данных будет разрешен всем зарегистрированным в КС пользо­вателям. Если разрешен доступ по записи (без права добавления данных в регистрационную базу), то тогда возможна следующая ситуация. Пользователь / после входа в КС изменяет идентифицирующую информацию в учетной записи пользователя j на идентифициру­ющую информацию из своей учетной записи, сохраняя при этом старую информацию из учетной записи j, после чего завершает сеанс работы с КС и возобновляет его уже как пользователь/ При­менив полномочия другого пользователя, нарушитель восстанав­ливает идентифицирующую информацию в учетной записи у, после чего завершает сеанс работы с КС. Если к регистрационной базе данных КС разрешен доступ по чтению, то пользователь-нарушитель сможет скопировать ее на собственный носитель или просто в другой файл и осуществить попытку подбора идентифицирующей информации (например, пароля) привилегированного пользователя для осуществления несанкционированного доступа с помощью «маскарада». Для удобства назначения полномочий пользователям КС оци могут объединяться в группы в соответствии с должностным по­ложением пользователей в организации и (или) их принадлежно­стью одному из ее структурных подразделений. Информация о группах пользователей также может размещаться в регистрацион­ной базе данных КС.

Атаки на подсистему идентификации и аутентификации пользователя являются одними из наиболее распространенных и привлекательных для злоумышленника, так как пройдя этап И/АУ злоумышленник получает все права легального пользователя, идентификатор которого был использован. В связи с этим, обеспечение стойкости ко взлому подсистемы И/АУ пользователя является очень важной задачей для безопасного функционирования компьютерной системы.

Наиболее распространенными методами идентификации и аутентификации пользователя являются:

· парольные системы – пользователь предъявляет нечто, что он знает (пароль, личный идентификационный номер, криптографический ключ и т.п.);

· идентификация/аутентификация с использованием технических устройств – пользователь предъявляет нечто, чем он владеет (личную карточку или иное устройство аналогичного назначения);

· идентификация/аутентификация с использованием индивидуальных биометрических характеристик пользователя – пользователь предъявляет нечто, что есть часть его самого (голос, отпечатки пальцев и т.п., то есть свои биометрические характеристики).

В сетевой среде, когда стороны идентификации/аутентификации территориально разнесены, у рассматриваемого сервиса есть два основных аспекта:

· что служит аутентификатором (то есть используется для подтверждения подлинности субъекта);

· как организован (и защищен) обмен данными идентификации/аутентификации.