Процедура идентификации и аутентификации. механизмы идентификации и аутентификации. Требования нормативных документов к механизму идентификации и аутентификации

Основы идентификации и аутентификации. Одной из важных задач обеспечения защиты от НСД является использование методов и средств, позволяющих одной (проверяющей) стороне убедиться в подлинности другой (проверяемой) стороны.

С каждым зарегистрированным в компьютерной системе субъектом (пользователем или процессом, действующим от имени пользователя) связана некоторая информация, однозначно идентифицирующая его. Это может быть число или строка символов. Эту информацию называют идентификатором субъекта. Если пользователь имеет идентификатор, зарегистрированный в сети, он считается легальным (законным) пользователем; остальные пользователи относятся к нелегальным. Прежде чем получить доступ к ресурсам компьютерной системы, пользователь должен пройти процесс первичного взаимодействия с компьютерной системой, который включает идентификацию и аутентификацию.

Идентификация - это процедура распознавания пользователя по его идентификатору (имени). Эта функция выполняется в первую очередь, когда пользователь делает попытку войти в сеть. Пользователь сообщает системе по ее запросу свой идентификатор, и система проверяет в своей базе данных его наличие.

Аутентификация - процедура проверки подлинности заявленного пользователя, процесса или устройства. Эта проверка позволяет достоверно убедиться, что пользователь (процесс или устройство) является именно тем, кем себя объявляет. При проведении аутентификации проверяющая сторона убеждается в подлинности проверяемой стороны, при этом проверяемая сторона тоже активно участвует в процессе обмена информацией. Обычно пользователь подтверждает свою идентификацию, вводя в систему уникальную, неизвестную другим пользователям информацию о себе (например, пароль).

Идентификация и аутентификация являются взаимосвязанными процессами распознавания и проверки подлинности субъектов (пользователей). Именно от них зависит последующее решение системы, можно ли разрешить доступ к ресурсам системы конкретному пользователю или процессу. После идентификации и аутентификации субъекта выполняется его авторизация. Процесс идентификации и аутентификации показан на рис. 5.24.

Рис. 5.24.

Авторизация - процедура предоставления субъекту определенных полномочий и ресурсов в данной системе. Иными словами, авторизация устанавливает сферу действия субъекта и доступные ему ресурсы. Если система не может надежно отличить авторизованное лицо от неавторизованного, конфиденциальность и целостность информации в ней могут быть нарушены.

Администрирование - это регистрация действий пользователя в сети, включая его попытки доступа к ресурсам. Хотя эта учетная информация может быть использована для выписывания счета, с позиций безопасности она особенно важна для обнаружения, анализа инцидентов безопасности в сети и соответствующего реагирования на них. Записи в системном журнале, аудиторские проверки и администрирование ПО - все это может быть использовано для обеспечения подотчетности пользователей, если что-либо случится при входе в сеть с их идентификатором.

Для подтверждения своей подлинности субъект может предъявлять системе разные сущности. В зависимости от предъявляемых субъектом сущностей процессы аутентификации могут быть разделены на следующие категории :

• 1. На основе знания чего-либо. Примерами могут служить пароль, персональный идентификационный код (PIN), а также секретные и открытые ключи, знание которых демонстрируется в протоколах типа запрос-ответ.
• 2. На основе обладания чем-либо. Обычно это магнитные карты, смарт-карты, сертификаты и устройства touch memory.
• 3. На основе каких-либо неотъемлемых характеристик. Эта категория включает методы, базирующиеся на проверке биометрических характеристик пользователя (голос, радужная оболочка и сетчатка глаза, отпечатки пальцев, геометрия ладони и др.) В данной категории не используются криптографические методы и средства. Аутентификация на основе биометрических характеристик применяется для контроля доступа в помещения или к какой-либо технике.

Пароль - это то, что знает пользователь и что также знает другой участник взаимодействия. Для взаимной аутентификации участников взаимодействия может быть организован обмен паролями между ними.

Персональный идентификационный код PIN является испытанным способом аутентификации держателя пластиковой карты и смарт-карты. Секретное значение PIN- кода должно быть известно только держателю карты.

Динамический (одноразовый) пароль - это пароль, который после одноразового применения никогда больше не используется. На практике обычно используется регулярно меняющееся значение, которое базируется на постоянном пароле или ключевой фразе.

При сравнении и выборе протоколов аутентификации необходимо учитывать следующие характеристики:

• 1. Наличие взаимной аутентификации. Это свойство отражает необходимость обоюдной аутентификации между сторонами аутентификационного обмена.
• 2. Вычислительная эффективность. Количество операций, необходимых для выполнения протокола.
• 3. Коммуникационная эффективность. Данное свойство отражает количество сообщений и их длину, необходимую для осуществления аутентификации.
• 4. Наличие третьей стороны. Примером третьей стороны может служить доверенный сервер распределения симметричных ключей или сервер, реализующий дерево сертификатов для распределения открытых ключей.
• 5. Гарантии безопасности. Примером может служить применение шифрования и цифровой подписи .

Классификация протоколов аутентификации. Протоколы (процессы, алгоритмы) аутентификации обычно классифицируют по уровню обеспечиваемой безопасности . В соответствии с данным подходом процессы аутентификации разделяются на следующие типы.

• а) аутентификация, использующая пароли и РП У-коды;
• б) строгая аутентификация на основе использования криптографических методов и средств;
• в) биометрическая аутентификация пользователей.

С точки зрения безопасности, каждый из перечисленных типов способствует решению своих специфических задач, поэтому процессы и протоколы аутентификации активно используются на практике. В то же время следует отметить, что интерес к протоколам аутентификации, обладающим свойством доказательства с нулевым знанием, носит скорее теоретический, нежели практический характер, но, возможно, в будущем их начнут активно использовать для защиты информационного обмена. Классификация протоколов аутентификации представлена на рис. 5.25.

Методы аутентификации, использующие пароли и РШ- коды. Одной из распространенных схем аутентификации является простая аутентификация , которая основана на применении традиционных многоразовых и динамических (одноразовых) паролей. Аутентификация на основе паролей и Р /№-кодов является простым и наглядным примером использования разделяемой информации. Пока в большинстве

Рис. 5.25. Классификация протоколов аутентификации

защищенных компьютерных сетей доступ клиента к серверу разрешается по паролю. Однако все чаще применяются более эффективные средства аутентификации, например, программные и аппаратные системы аутентификации на основе одноразовых паролей, смарт-карт, Р/УУ-кодов и цифровых сертификатов.

Процедуру простой аутентификации пользователей в сети можно представить следующим образом. При попытке входа в сеть пользователь набирает на клавиатуре ПЭВМ свой идентификатор и пароль. Эти данные поступают для обработки на сервер аутентификации. В базе данных сервера по идентификатору пользователя находится соответствующая запись, из нее извлекается пароль и сравнивается с тем паролем, который ввел пользователь. Если они совпали, то аутентификация прошла успешно, пользователь получает легальный статус, а также права и ресурсы сети, которые определены для его статуса системой авторизации.

Передача идентификатора и пароля от пользователя к системе может проводиться в открытом и зашифрованном виде.

Схема простой аутентификации с использованием пароля показана на рис. 5.26.

Рис. 5.26. Схема простой аутентификации с использованием пароля

Очевидно, что вариант аутентификации с передачей пароля пользователя в незашифрованном виде не гарантирует даже минимального уровня безопасности. Чтобы защитить пароль, его нужно зашифровать перед посылкой по незащищенному каналу. Для этого в схему включены средства шифрования Е к и дешифрования D K , управляемые секретным ключом К. Проверка подлинности пользователя основана на сравнении присланного пользователем пароля Р а и исходного значения Р а, хранящегося на сервере аутентификации. Если значения Р а и Р а совпадают, то пароль Р а считается подлинным, а пользователь А - законным.

Наиболее распространенным методом аутентификации держателя пластиковой карты и смарт-карты является ввод секретного числа , которое обычно называют PIN- кодом. Зашита /V/V-кода карты является критичной для безопасности всей системы. Карты могут быть потеряны, украдены или подделаны. В таких случаях единственной контрмерой против несанкционированного доступа остается секретное значение PIN- кода. Вот почему открытая форма PIN должна быть известна только законному держателю карты. Очевидно, значение PIN нужно держать в секрете в течение всего срока действия карты.

Длина PIN- кода должна быть достаточно большой, чтобы минимизировать вероятность определения правильного PIN-кот методом проб и ошибок. С другой стороны, длина PIN- кода должна быть достаточно короткой, чтобы дать возможность держателям карт запомнить его значение. Согласно рекомендациям стандарта /50 9564-1 длина Я/УУ-кода должна содержать от 4 до 12 буквенно-цифровых символов. Однако в большинстве случаев ввод нецифровых символов технически невозможен, поскольку доступна только цифровая клавиатура. Поэтому обычно Я/УУ-код представляет собой 4-6-разрядное число, каждая цифра которого может принимать значение от 0 до 9.

Различают статические и изменяемые Я/УУ-коды. Статический РШ-код не может быть изменен пользователем, поэтому пользователь должен надежно его хранить. Если он станет известен постороннему, пользователь должен уничтожить карту и получить новую карту с другим фиксированным Я/УУ-кодом.

Изменяемый Р1И-код может быть изменен согласно пожеланиям пользователя или заменен на число, которое пользователю легче запомнить. Простейшей атакой на Я/УУ-код, помимо подглядывания через плечо за вводом его с клавиатуры, является угадывание его значения. Вероятность угадывания зависит от длины п угадываемого Я/УУ-кода, от составляющих его символов т (для цифрового кода т = 10, для буквенного - т = 32, для буквенно-цифрового - т = 42 и т.д.), от количества разрешенных попыток ввода /" и выражается формулой:

Я = / / т п. (5.16)

Если Я/УУ-код состоит из 4 десятичных цифр, а число разрешенных попыток ввода равно трем, т.е. п = 4, т = 10, / = 3, то вероятность угадывания правильного значения Я/УУ-кода составит Я = 3/10 4 = = 0,00003, или 0,03%.

Строгая аутентификация на основе использования криптографических методов и средств. Идея строгой аутентификации, реализуемая в криптографических протоколах, заключается в следующем. Проверяемая (доказывающая сторона) доказывает свою подлинность проверяющей стороне, демонстрируя знание некоторого секрета . Например, этот секрет может быть предварительно распределен безопасным способом между сторонами аутентификационного обмена. Доказательство знания секрета осуществляется с помощью последовательности запросов и ответов с использованием криптографических методов и средств.

Существенным является тот факт, что доказывающая сторона демонстрирует только знание секрета, но сам секрет в ходе аутентификационного обмена не раскрывается. Это обеспечивается посредством ответов доказывающей стороны на различные запросы проверяющей стороны. При этом результирующий запрос зависит только от пользовательского секрета и начального запроса, который обычно представляет произвольно выбранное в начале протокола большое число.

В большинстве случаев строгая аутентификация заключается в том, что каждый пользователь аутентифицируется по признаку владения своим секретным ключом. Иначе говоря, пользователь имеет возможность определить, владеет ли его партнер по связи надлежащим секретным ключом и может ли он использовать этот ключ для подтверждения того, что он действительно является подлинным партнером и по информационному обмену.

• а) односторонняя аутентификация;
• б) двусторонняя аутентификация;
• в) трехсторонняя аутентификация.

Односторонняя аутентификация предусматривает обмен информацией только в одном направлении. Данный тип аутентификации позволяет:

• - подтвердить подлинность только одной стороны информационного обмена;
• - обнаружить нарушение целостности передаваемой информации;
• - обнаружить проведение атаки типа «повтор передачи»;
• - гарантировать, что передаваемыми аутентификационными данными может воспользоваться только проверяющая сторона.

Двусторонняя аутентификация по сравнению с односторонней содержит дополнительный ответ проверяющей стороны доказывающей стороне, который должен убедить ее, что связь устанавливается именно с той стороны, которой были предназначены аутентификационные данные.

Трехсторонняя аутентификация содержит дополнительную передачу данных от доказывающей стороны проверяющей. Этот подход позволяет отказаться от использования меток времени при проведении аутентификации.

В зависимости от используемых криптографических алгоритмов протоколы строгой аутентификации можно разделить на следующие группы (рис. 5.27).

1. Протоколы аутентификации с симметричными алгоритмами шифрования. Для работы данных протоколов необходимо, чтобы проверяющий и доказывающий с самого начала имели один и тот же

Рис. 5.27.

секретный ключ. Для закрытых систем с небольшим количеством пользователей каждая пара пользователей может заранее разделить его между собой. В больших распределенных системах часто используются протоколы аутентификации с участием доверенного сервера, с которым каждая сторона разделяет знание ключа. Такой сервер распределяет сеансовые ключи для каждой пары пользователей всякий раз, когда один из них запрашивает аутентификацию другого. Кажущаяся простота данного метода является обманчивой, на самом деле разработка протоколов аутентификации этого типа является сложной и с точки зрения безопасности неочевидной.

Протоколы аутентификации с симметричными алгоритмами шифрования реализуются в следующих вариантах:

• а) односторонняя аутентификация с использованием меток времени;
• б) односторонняя аутентификация с использованием случайных чисел;
• в) двусторонняя аутентификация.

Введем следующие обозначения:

гА - А;

г В - случайное число, сгенерированное участником В ;

/Д - метка времени, сгенерированная участником А;

Е к - симметричное шифрование на ключе К (ключ Одолжен быть предварительно распределен между А и В).

Математическая модель односторонней аутентификации с использованием меток времени выглядит следующим образом:

А->В:Е К ((А,В). (5.17)

После получения и расшифрования данного сообщения участник? убеждается в том, что метка времени 1А действительна, и идентификатор В , указанный в сообщении, совпадает с его собственным.

Предотвращение повторной передачи данного сообщения основывается на том, что без знания ключа невозможно изменить метку времени іЛ и идентификатор В.

Модель односторонней аутентификации с использованием слу-чаиных чисел можно представить в следующем виде:

• (5.18)
• (5.19)

А В: гВ.

А -» В: Е к (г В , В).

Участник В отправляет участнику А случайное число гВ. Участник А шифрует сообщение, состоящее из полученного числа гВ и идентификатора В, и отправляет зашифрованное сообщение участнику В. Участник В расшифровывает полученное сообщение и сравнивает случайное число, содержащееся в сообщении, с тем, которое он послал участнику А. Дополнительно он проверяет имя, указанное в сообщении.

Модель двусторонней аутентификации, использующая случайные значения, можно представить в следующем виде:

• (5.20)
• (5.21)
• (5.22)

А В гВ.

А -> В: Е к (гА , гВ . В). А

При получении второго сообщения участник В выполняет те же проверки, что и в предыдущем протоколе, и дополнительно расшифровывает случайное число г А для включения его в третье сообщение для участника А. Третье сообщение, полученное участником А, позволяет ему убедиться на основе проверки значений г А и гВ , что он имеет дело именно с участником В.

Широко известными протоколами, обеспечивающими аутентификацию пользователей с привлечением в процессе аутентификации

третьей стороны, являются протокол распределения секретных ключей Нидхэма и Шредера и протокол Kerberos.

2. Протоколы аутентификации, основанные на использовании однонаправленных ключевых хеш-функции, могут быть модифицированы путем замены симметричного шифрования на шифрование с помощью односторонней ключевой функции 151 ]. Своеобразие шифрования с помощью односторонней хеш-функции заключается в том, что оно, по существу, является односторонним, т.е. не сопровождается обратным преобразованием - расшифрованием на приемной стороне. Обе стороны (отправитель и получатель) используют одну и ту же процедуру одностороннего шифрования.

Односторонняя хеш-функция к к (-) с параметром-ключом К , примененная к шифруемым данным Л/, дает в результате хеш-код т (дайджест), состоящий из фиксированного небольшого числа байтов (рис. 5.28).

Получатель

Отправитель

Сообщение М

Рис. 5.28. Применение для аутентификации односторонней

хеш-функции с параметром-ключом

Дайджест т - И к (М) передается получателю вместе с исходным сообщением М. Получатель сообщения, зная, какая односторонняя хеш-функция была применена для получения дайджеста, заново вычисляет ее, используя расшифрованное сообщение М. Если значения полученного дайджеста т и вычисленного дайджеста т" совпадают, значит содержимое сообщения М не было подвергнуто никаким изменениям.

На рис. 5.29 показан другой вариант использования односторонней хеш-функции для проверки целостности данных. В этом случае односторонняя хеш-функция И к (-) не имеет ключа, но зато применяется не просто к сообщению Л/, а к сообщению, дополненному секретным ключом К, т.е. отправитель вычисляет дайджест т = Л(Л/, К). Получатель, извлекая исходное сообщение М, так же дополняет его тем же известным ему секретным ключом К , после чего применяет к полученным данным одностороннюю хеш-функцию И к (-). Результат вычислений - дайджест т"- сравнивается с полученным по сети дайджестом т.

При использовании для аутентификации односторонних функций шифрования в рассмотренные выше протоколы (использующие симметричное шифрование) необходимо внести следующие изменения:

• а) функция симметричного шифрования ЕК заменяется функцией /? А;
• б) проверяющий вместо установления факта совпадения полей в расшифрованных сообщениях с предполагаемыми значениями вычисляет значение однонаправленной функции и сравнивает его с полученным от другого участника обмена информацией;
• в) для обеспечения возможности независимого вычисления значения однонаправленной функции получателем сообщения в протоколе 1 метка времени /Л должна передаваться дополнительно в открытом виде, а в сообщении 2 протокола 3 случайное число гА должно передаваться дополнительно в открытом виде.

Модифицированный вариант протокола 3 с учетом сформулированных изменений имеет следующую структуру:

А (5.23)

А^В: гА, ИК (гА, г В , В). (5.24)

А В: НК (гА, гВ, А). (5.25)

3. Строгая аутентификация с использованием несимметричных сигоритмов шифрования. В качестве примера протокола, построенного на использовании несимметричного алгоритма шифрования, можно привести следующий протокол аутентификации:

А, РА(г, В). Л -> В: г.

Отправитель

Получатель

Рис. 5.29.

дополненному секретным ключом К

• (5.26)
• (5.27)

Участник В выбирает случайным образом г и вычисляет значение л: = h (г) (значение л: демонстрирует знание г без раскрытия самого значения г), далее он вычисляет значение е = РА(г, В). Под РА подразумевается алгоритм несимметричного шифрования (например, RSA, Шнорра, Эль-Гамаля, Вильямса, LUC и т.д.), а под И(-) - хеш-функция. Участник В отправляет сообщение (2.11) участнику А. Участник А расшифровывает е = РА(г, В) и получает значения г" и В", а также вычисляетх"= И(г). После этого производится ряд сравнений, доказывающих, что л: = х"и что полученный идентификатор /Гдействи-тельно указывает на участника В. В случае успешного проведения сравнения участник Л посылает г. Получив его, участник В проверяет, то ли это значение, которое он отправил в первом сообщении.

В качестве примера приведем модифицированный протокол Нидхема и Шредера, основанный на несимметричном шифровании. Протокол имеет следующую структуру (PB - алгоритм шифрования открытым ключом участника В):

• (5.28)
• (5.29)
• (5.30)

А^В.РВ (г,А). А Н). А

4. Строгая аутентификация, основанная на использовании цифровой подписи. В рекомендациях стандарта Х509 специфицирована схема аутентификации, основанная на использовании цифровой подписи,

меток времени и случайных чисел.

Для описания данной схемы аутентификации используются следующие обозначения:

tA, гА,гВ - временная метка и случайные числа соответственно;

SA А;

SB - подпись, сгенерированная участником В;

cert А - А;

cert В - сертификат открытого ключа участника В.

Если участники имеют аутентичные открытые ключи, полученные друг от друга, тогда можно не пользоваться сертификатами, в противном случае они служат для подтверждения подлинности открытых ключей.

В качестве примеров приведем следующие протоколы аутентификации:

• а) односторонняя аутентификация с применением меток времени:
  • (5.31)

А -> В: certA, tA , В , SA (tA , В).

После принятия данного сообщения участник В проверяет правильность метки времени /Л, полученный идентификатор В и, используя открытый ключ из сертификата семА, корректность цифровой подписи ЗАЦА, В).

• б) односторонняя аутентификация с использованием случайных чисел:
  • (5.32)
  • (5.33)

А -» В: сеМА, гА, В, 8А{гА , гВ, В).

Участник В , получив сообщение от участника Л, убеждается, что именно он является адресатом сообщения; используя открытый ключ участника Л, взятый из сертификата сепА, проверяет корректность подписи БА{гА, гВ , В) под числом гА, полученным в открытом виде, числом г В , которое было отослано в первом сообщении, и его идентификатором В. Подписанное случайное число гА используется для предотвращения атак с выборкой открытого текста.

• в) двусторонняя аутентификация с использованием случайных чисел:
  • (5.34)
  • (5.35)
  • (5.36)

А В: г В.

А -» В: сеМА, гА, В , А(гА, гВ. В). А

В данном протоколе обработка сообщений 1 и 2 выполняется так же, как и в предыдущем протоколе, а сообщение 3 обрабатывается аналогично сообщению 2.

Биометрическая аутентификация. Процедуры идентификации и аутентификации пользователя могут базироваться не только на секретной информации, которой обладает пользователь (пароль, персональный идентификатор, секретный ключ и т.п.). Привычные системы аутентификации не всегда удовлетворяют современным требованиям в области информационной безопасности, особенно если речь идет об ответственных приложениях (онлайновые финансовые приложения, доступ к удаленным базам данных и т.п.).

В последнее время все большее распространение получает биометрическая аутентификация пользователя, позволяющая уверенно аутентифицировать потенциального пользователя путем измерения физиологических параметров и характеристик человека, особенностей его поведения.

В качестве биометрических признаков, которые активно используются при аутентификации потенциального пользователя, можно выделить следующие:

• а) отпечатки пальцев;
• б) геометрическая форма кисти руки;
• в) форма и размеры лица;
• г) особенности голоса;
• д) узор радужной оболочки и сетчатки глаз;
• е) «клавиатурный почерк»;
• ж) расположение зубов (стоматологическая матрица ротовой полости человека).

Аутентификация по отпечаткам пальцев. Большинство систем используют отпечаток одного пальца, который пользователь предоставляет системе. Дактилоскопическая система работает следующим образом. Сначала производится регистрация пользователя. Как правило, производится несколько вариантов сканирования в разных положениях пальца на сканере. Понятно, что образцы будут немного отличаться и требуется сформировать некоторый обобщенный образец, «паспорт». Результаты сохраняются в базе данных аутентификации. При аутентификации производится сравнение отсканированного отпечатка пальца с «паспортами», хранящимися в базе данных.

Задача формирования «паспорта», также как и распознавания предъявляемого образца, является задачей распознавания образов. Для этого используются различные алгоритмы, являющиеся ноу-хау фирм-производителей подобных устройств.

Аутентификация по форме ладони. Данная аутентификация проводится сканерами формы ладони, обычно устанавливаемыми на стенах. Устройства считывания формы ладони создают объемное изображение ладони, измеряя длину пальцев, толщину и площадь поверхности ладони. Всего может выполняться до 100 измерений, которые преобразуются в двоичный код - образец для дальнейших сравнений. Этот образец может сохраняться в базе данных или в сканере ладони.

Аутентификация по лицу и голосу. Данные системы являются наиболее доступными из-за их дешевизны, поскольку большинство современных компьютеров имеют видео- и аудиосредства. Системы данного класса применяются при удаленной идентификации субъекта доступа в телекоммуникационных сетях.

В технологии сканирования черт лица используются особенности глаз, носа и губ. Далее проводятся некоторые математические алгоритмы для идентификации пользователя. Большая часть алгоритмов распознавания черт лица чувствительна к колебаниям освещения помещения. Изменения в положении в 15% между запрашиваемым изображением и изображением, которое находится в базе данных, напрямую сказываются на эффективности.

Системы аутентификации по голосу при записи образца и в процессе последующей идентификации опираются на такие уникальные для каждого человека особенности голоса, как высота, модуляция и частота звука. Эти показатели определяются характеристиками голосового тракта и уникальны для каждого человека.

Однако голос можно записать на пленку или другие носители. Поэтому для предотвращения подлога голоса в алгоритм аутентификации включается операция запроса отклика. Эта функция предлагает пользователю при входе в систему ответить на предварительно подготовленный и регулярно меняющийся запрос, например такой: «Повторите числа О, 1,5».

Системы аутентификации по узору радужной оболочки и сетчатки глаз. Эти системы можно разделить на два класса:

• а) использующие рисунок радужной оболочки глаза;
• б) использующие рисунок кровеносных сосудов сетчатки глаза.

Сетчатка человеческого глаза представляет собой уникальный

объект для аутентификации. Рисунок кровеносных сосудов глазного дна отличается даже у близнецов. Поскольку вероятность повторения параметров радужной оболочки и сетчатки глаза имеет порядок 10- 78, такие системы являются наиболее надежными среди всех биометрических систем.

Системы аутентификации по клавиатурному почерку. Современные исследования показывают, что клавиатурный почерк пользователя обладает некоторой стабильностью, что позволяет достаточно однозначно идентифицировать пользователя, работающего с клавиатурой. Для этого, как правило, применяются статистические методы обработки исходных данных и формирования выходного вектора, являющегося идентификатором данного пользователя. В качестве исходных данных используют временные интервалы между нажатием клавиш на клавиатуре и время их удержания. При этом временные интервалы между нажатием клавиш характеризуют темп работы, а время удержания клавиш характеризует стиль работы с клавиатурой - резкий удар или плавное нажатие.

Однако существует ряд ограничений по применению клавиатурного способа идентификации на практике. Применение данного способа целесообразно только по отношению к пользователям с достаточно длительным опытом работы с компьютером и сформировавшимся почерком работы на клавиатуре, т.е. к программистам, секретарям и т.д. В противном случае вероятность неправильного опознания пользователя существенно возрастает и делает непригодным данный способ идентификации на практике.

Аутентификация по расположению зубов (стоматологической матрице) ротовой полости человека. Полость рта имеет генетическую детерминированность, напрямую связана с фенотипом человека и может быть использована для решения биометрических и диагностических задач в целях идентификации и верификации личности. Суть данного метода состоит в следующем. В начале формирования стоматологической матрицы проводится электронная санация ротовой полости. Процесс электронной санации аналогичен обычной стоматологической санации, в результате чего формируется цифровой код ротовой полости, состоящий из трех составных частей.

Первым кодируется прикус, который различается: 1 - ортогнатие, 2 - прогения, 3 - прямой, 4 - открытый, 5 - смешанный, 6 - глубокий. По этим результатам формируется первая часть цифрового кода.

Вторым результатом осмотра будет состояние зубов человека: кариес, пульпит, периодонтит, протез, разрушение и т.п., которое также кодируется для каждого зуба отдельно.

Третьим результатом кодирования предлагается считать смещение зуба от нулевой оси в диапазоне А/2, -А/2, где А - максимальное значение отклонения зуба, идентифицируемого от оси при первоначальной санации.

Созданная таким образом база зубов пользователей в цифровом виде является эталонной для сравнения заявляемого пользователя при аутентификации. Данные системы в настоящее время только проходят теоретическую проработку.

Идентификация и аутентификация представляют собой основу современных программно-технических средств безопасности, так как любые другие сервисы в основном рассчитаны на обслуживание указанных субъектов. Эти понятия представляют собой своеобразную первую линию обороны, обеспечивающую пространства организации.

Что это такое?

Идентификация и аутентификация имеют разные функции. Первая предоставляет субъекту (пользователю или процессу, который действует от его имени) возможность сообщить собственное имя. При помощи аутентификации уже вторая сторона окончательно убеждается в том, что субъект действительно представляет собой того, за кого он себя выдает. Нередко в идентификация и аутентификация заменяются словосочетаниями «сообщение имени» и «проверка подлинности».

Сами они подразделяются на несколько разновидностей. Далее мы рассмотрим, что собой представляют идентификация и аутентификация и какими они бывают.

Аутентификация

Данное понятие предусматривает два вида: одностороннюю, когда клиент предварительно должен доказать серверу свою подлинность, и двустороннюю, то есть когда ведется взаимное подтверждение. Стандартный пример того, как проводится стандартная идентификация и аутентификация пользователей, - это процедура входа в определенную систему. Таким образом, разные типы могут использоваться в различных объектах.

В сетевой среде, когда идентификация и аутентификация пользователей осуществляются на территориально разнесенных сторонах, рассматриваемый сервис отличается двумя основными аспектами:

• что выступает в качестве аутентификатора;
• как именно был организован обмен данными аутентификации и идентификации и как обеспечивается его защита.

Чтобы подтвердить свою подлинность, субъектом должна быть предъявлена одна из следующих сущностей:

• определенная информация, которая ему известна (личный номер, пароль, специальный криптографический ключ и т. д.);
• определенная вещь, которой он владеет (личная карточка или какое-то другое устройство, имеющее аналогичное назначение);
• определенная вещь, являющаяся элементом его самого (отпечатки пальцев, голос и прочие биометрические средства идентификации и аутентификации пользователей).

Особенности систем

В открытой сетевой среде стороны не имеют доверенного маршрута, а это говорит о том, что в общем случае информация, передаваемая субъектом, может в конечном итоге не совпадать с информацией, полученной и используемой при проверке подлинности. Требуется обеспечение безопасности активного и пассивного прослушивания сети, то есть защита от корректировки, перехвата или воспроизведения различных данных. Вариант передачи паролей в открытом виде является неудовлетворительным, и точно так же не может спасти положение и шифрование паролей, так как им не обеспечивается защита от воспроизведения. Именно поэтому сегодня используются более сложные протоколы аутентификации.

Надежная идентификация имеет трудности не только по причине различных но еще и по целому ряду других причин. В первую очередь практически любые аутентификационные сущности могут похищаться, подделываться или выведываться. Также присутствует определенное противоречие между надежностью используемой системы, с одной стороны, и удобствами системного администратора или пользователя - с другой. Таким образом, из соображения безопасности требуется с некоторой частотой запрашивать у пользователя повторное введение его аутентификационной информации (так как вместо него может уже сидеть какой-нибудь другой человек), а это не только создает дополнительные хлопоты, но еще и значительно увеличивает шанс на то, что кто-то может подсматривать ввод информации. Помимо всего прочего, надежность средства защиты существенно сказывается на его стоимости.

Современные системы идентификации и аутентификации поддерживают концепцию единого входа в сеть, что в первую очередь позволяет удовлетворять требования в плане удобства для пользователей. Если стандартная корпоративная сеть имеет множество информационных сервисов, предусматривающих возможность независимого обращения, то в таком случае многократное введение личных данных становится чересчур обременительным. На данный момент пока еще нельзя сказать, что использование единого входа в сеть считается нормальным, так как доминирующие решения еще не сформировались.

Таким образом, многие стараются найти компромисс между доступностью по цене, удобством и надежностью средств, которыми обеспечивается идентификация/аутентификация. Авторизация пользователей в данном случае осуществляется по индивидуальным правилам.

Отдельное внимание стоит уделить тому, что используемый сервис может быть выбран в качестве объекта атаки на доступность. Если выполнена таким образом, чтобы после некоторого числа неудачных попыток возможность ввода была заблокирована, то в таком случае злоумышленниками может останавливаться работа легальных пользователей путем буквально нескольких нажатий клавиш.

Парольная аутентификация

Главным достоинством такой системы является то, что она является предельно простой и привычной для большинства. Пароли уже давным-давно используются операционными системами и другими сервисами, и при грамотном использовании ими обеспечивается уровень безопасности, который является вполне приемлемым для большинства организаций. Но с другой стороны, по общей совокупности характеристик подобные системы представляют собой самое слабое средство, которым может осуществляться идентификация/аутентификация. Авторизация в таком случае становится достаточно простой, так как пароли должны быть запоминающимися, но при этом простые комбинации нетрудно угадать, особенно если человек знает пристрастия конкретного пользователя.

Иногда бывает так, что пароли, в принципе, не держатся в секрете, так как имеют вполне стандартные значения, указанные в определенной документации, и далеко не всегда после того, как устанавливается система, их меняют.

При вводе пароль можно посмотреть, причем в некоторых случаях люди используют даже специализированные оптические приборы.

Пользователи, основные субъекты идентификации и аутентификации, нередко могут сообщать пароли коллегам для того, чтобы те на определенное время подменили владельца. В теории в таких ситуациях будет правильнее всего применять специальные средства управления доступом, но на практике это никем не используется. А если пароль знают два человека, это крайне сильно увеличивает шансы на то, что в итоге о нем узнают и другие.

Как это исправить?

Есть несколько средств, как может быть защищена идентификация и аутентификация. Компонент обработки информации может обезопаситься следующим:

• Наложением различных технических ограничений. Чаще всего устанавливаются правила на длину пароля, а также содержание в нем определенных символов.
• Управлением срока действия паролей, то есть необходимостью их периодической замены.
• Ограничением доступа к основному файлу паролей.
• Ограничением общего количества неудачных попыток, доступных при входе в систему. Благодаря этому злоумышленниками должны выполняться только действия до выполнения идентификации и аутентификации, так как метод перебора нельзя будет использовать.
• Предварительным обучением пользователей.
• Использованием специализированных программных генераторов паролей, которые позволяют создавать такие комбинации, которые являются благозвучными и достаточно запоминающимися.

Все указанные меры могут использоваться в любом случае, даже если вместе с паролями будут применяться также и другие средства аутентификации.

Одноразовые пароли

Рассмотренные выше варианты являются многоразовыми, и в случае раскрытия комбинации злоумышленник получает возможность выполнять определенные операции от имени пользователя. Именно поэтому в качестве более сильного средства, устойчивого к возможности пассивного прослушивания сети, используются одноразовые пароли, благодаря которым система идентификации и аутентификации становится гораздо более безопасной, хоть и не такой удобной.

На данный момент одним из наиболее популярных программных генераторов одноразовых паролей является система под названием S/KEY, выпущенная компанией Bellcore. Основная концепция этой системы заключается в том, что имеется определенная функция F, которая известна как пользователю, так и серверу аутентификации. Далее представлен секретный ключ К, который известен только определенному пользователю.

При начальном администрировании пользователя данная функция используется к ключу определенное количество раз, после чего происходит сохранение полученного результата на сервере. В дальнейшем процедура проверки подлинности выглядит так:

1. На пользовательскую систему от сервера приходит число, которое на 1 меньше количества раз использования функции к ключу.
2. Пользователем используется функция к имеющемуся секретному ключу то количество раз, которое было установлено в первом пункте, после чего результат отправляется через сеть непосредственно на сервер аутентификации.
3. Сервером используется данная функция к полученному значению, после чего результат сравнивается с сохраненной ранее величиной. Если результаты совпадают, то в таком случае подлинность пользователя является установленной, а сервер сохраняет новое значение, после чего снижает счетчик на единицу.

На практике реализация данной технологии имеет несколько более сложную структуру, но на данный момент это не столь важно. Так как функция является необратимой, даже в случае перехвата пароля или получения несанкционированного доступа к серверу аутентификации не предоставляет возможности получить секретный ключ и каким-либо образом предсказать, как конкретно будет выглядеть следующий одноразовый пароль.

В России в качестве объединенного сервиса используется специальный государственный портал - "Единая система идентификации/аутентификации" ("ЕСИА").

Еще один подход к надежной системе аутентификации заключается в том, чтобы новый пароль генерировался через небольшие промежутки времени, что тоже реализуется через использование специализированных программ или различных интеллектуальных карт. В данном случае сервер аутентификации должен воспринимать соответствующий алгоритм генерации паролей, а также определенные ассоциированные с ним параметры, а помимо этого, должна присутствовать также синхронизация часов сервера и клиента.

Kerberos

Впервые сервер аутентификации Kerberos появился в середине 90-х годов прошлого века, но с тех пор он уже успел получить огромнейшее количество принципиальных изменений. На данный момент отдельные компоненты данной системы присутствуют практически в каждой современной операционной системе.

Главным предназначением данного сервиса является решение следующей задачи: присутствует определенная незащищенная сеть, и в ее узлах сосредоточены различные субъекты в виде пользователей, а также серверных и клиентских программных систем. У каждого такого субъекта присутствует индивидуальный секретный ключ, и для того чтобы у субъекта С появилась возможность доказать собственную подлинность субъекту S, без которой тот попросту не станет его обслуживать, ему необходимо будет не только назвать себя, но еще и показать, что он знает определенный секретный ключ. При этом у С нет возможности просто отправить в сторону S свой секретный ключ, так как в первую очередь сеть является открытой, а помимо этого, S не знает, да и, в принципе, не должен знать его. В такой ситуации используется менее прямолинейная технология демонстрации знания этой информации.

Электронная идентификация/аутентификация через систему Kerberos предусматривает ее использование в качестве доверенной третьей стороны, которая имеет информацию о секретных ключах обслуживаемых объектов и при необходимости оказывает им помощь в проведении попарной проверки подлинности.

Таким образом, клиентом сначала отправляется в систему запрос, который содержит необходимую информацию о нем, а также о запрашиваемой услуге. После этого Kerberos предоставляет ему своеобразный билет, который шифруется секретным ключом сервера, а также копию некоторой части данных из него, которая засекречивается ключом клиента. В случае совпадения устанавливается, что клиентом была расшифрована предназначенная ему информация, то есть он смог продемонстрировать, что секретный ключ ему действительно известен. Это говорит о том, что клиент является именно тем лицом, за которое себя выдает.

Отдельное внимание здесь следует уделить тому, что передача секретных ключей не осуществлялась по сети, и они использовались исключительно для шифрования.

Проверка подлинности с использованием биометрических данных

Биометрия включает в себя комбинацию автоматизированных средств идентификации/аутентификации людей, основанную на их поведенческих или физиологических характеристиках. Физические средства аутентификации и идентификации предусматривают проверку сетчатки и роговицы глаз, отпечатков пальцев, геометрии лица и рук, а также другой индивидуальной информации. Поведенческие же характеристики включают в себя стиль работы с клавиатурой и динамику подписи. Комбинированные методы представляют собой анализ различных особенностей голоса человека, а также распознавание его речи.

Такие системы идентификации/аутентификации и шифрования используются повсеместно во многих странах по всему миру, но на протяжении длительного времени они отличались крайне высокой стоимостью и сложностью в применении. В последнее же время спрос на биометрические продукты значительно увеличился по причине развития электронной коммерции, так как, с точки зрения пользователя, намного удобнее предъявлять себя самого, чем запоминать какую-то информацию. Соответственно, спрос рождает предложение, поэтому на рынке начали появляться относительно недорогие продукты, которые в основном ориентированы на распознавание отпечатков пальцев.

В преимущественном большинстве случаев биометрия используется в комбинации с другими аутентификаторами наподобие Нередко биометрическая аутентификация представляет собой только первый рубеж защиты и выступает в качестве средства активизации интеллектуальных карт, включающих в себя различные криптографические секреты. При использовании данной технологии биометрический шаблон сохраняется на этой же карте.

Активность в сфере биометрии является достаточно высокой. Уже существует соответствующий консорциум, а также довольно активно ведутся работы, направленные на стандартизацию различных аспектов технологии. Сегодня можно увидеть множество рекламных статей, в которых биометрические технологии преподносятся в качестве идеального средства обеспечения повышенной безопасности и при этом доступного широким массам.

ЕСИА

Система идентификации и аутентификации ("ЕСИА") представляет собой специальный сервис, созданный для того, чтобы обеспечить реализацию различных задач, связанных с проверкой подлинности заявителей и участников межведомственного взаимодействия в случае предоставления каких-либо муниципальных или государственных услуг в электронной форме.

Для того чтобы получить доступ к "Единому порталу государственных структур", а также каким-либо другим информационным системам инфраструктуры действующего электронного правительства, для начала нужно будет пройти регистрацию учетной записи и, как следствие, получить ПЭП.

Уровни

Портал предусматривает три основных уровня учетных записей для физических лиц:

• Упрощенная. Для ее регистрации достаточно просто указать свою фамилию и имя, а также какой-то определенный канал коммуникации в виде адреса электронной почты или мобильного телефона. Это первичный уровень, с помощью которого у человека открывается доступ только к ограниченному перечню различных государственных услуг, а также возможностей существующих информационных систем.
• Стандартная. Для ее получения изначально нужно оформить упрощенную учетную запись, а потом уже предоставить также дополнительные данные, включая информацию из паспорта и номер страхового индивидуального лицевого счета. Указанная информация автоматически проверяется через информационные системы Пенсионного фонда, а также Федеральную миграционную службу, и, если проверка проходит успешно, учетная запись переводится на стандартный уровень, что открывает пользователю расширенный перечень государственных услуг.
• Подтвержденная. Для получения такого уровня учетной записи единая система идентификации и аутентификации требует от пользователей стандартный аккаунт, а также подтверждение личности, которое выполняется через личное посещение отделения уполномоченной службы или посредством получения кода активации через заказное письмо. В том случае, если подтверждение личности окажется успешным, учетная запись перейдет на новый уровень, а перед пользователем откроется доступ к полному перечню необходимых государственных услуг.

Несмотря на то что процедуры могут показаться достаточно сложными, на самом деле ознакомиться с полным перечнем необходимых данных можно непосредственно на официальном сайте, поэтому полноценное оформление вполне возможно на протяжении нескольких дней.

Для предотвращения доступа в сеть незарегистрированных пользователей прежде всего следует установить учетную запись (user account). Пока пользователь не введет достоверное имя и пароль, указанные в учетной записи, он не сможет войти в сеть. Например, в сетях Windows NT каждому пользователю назначают персональную учетную запись с внутренним защитным кодом (SID — Security Identifier), по которому операционная система однозначно идентифицирует пользователя. Исключения из этого правила обычно делают только для учетной записи Guest (гость), которая может использоваться кем угодно, кто знает ее пароль.
Однако в ныне действующих сетях по этой учетной записи предоставляют весьма ограниченный доступ к системе.
Защитный код (SID) определяет, что может делать в сети данный пользователь. Например, когда кто-то пытается открыть файл, подсистема защиты (security subsystem) проверяет этот файл, сверяет личность пользователя со списком тех, кому разрешен доступ к файлу, а затем устанавливает тип доступа, который ему предоставлен.

Примечание:
Тонкости работы средств организации разрешений на доступ зависят от операционной системы, установленной на сервере.

Конец маскарада

Одна из проблем доступа заключается не только в создании средств, принуждающих пользователей предъявлять "верительные грамоты" на право использовать сетевые ресурсы, но также и в гарантии того, что злоумышленник не подделает достоверную учетную запись и не присвоит себе личность пользователя — не замаскируется под пользователя. Одним словом, важно удостовериться, что учетные записи пользователя защищены, и никто не может замаскироваться под зарегистрированного пользователя.
С этой целью можно скрывать имена пользователей и защищать пароли.

Скрытие имен пользователей. Прежде всего, следует защитить имена и пароли пользователей. Идентификация пользователя выполняется сопоставлением его имени с конкретным паролем, а не просто назначением пароля. Если злоумышленник не знает имени учетной записи пользователя, он не сможет войти в систему, даже если узнает пароль.

Совет:
Измените имена учетных записей, которым предоставлены особенно большие права, например, администраторов Windows NT.

Правила защиты паролей. Пароли следует защищать еще в большей степени, чем имена пользователей. При назначении пароля необходимо следовать некоторым общим правилам.

Примечание:
Заставляя пользователей следовать этим правилам, ни в коем случае не полагайтесь на хорошие личные отношения. Любая правильно спроектированная NOS обеспечивает парольную защиту, контроль повторного использования (reuse cycles) пароля и т.п. Некоторые дополнительные типы программ позволят указывать пароли, которые невозможно применять.

Во-первых, регулярно заменяйте пароли. Это означает, что пароль действителен, скажем, в течение 30 дней, после чего отправляется в "Дом Престарелых Паролей". Кроме того, это означает, что вы обязаны установить правила повторного использования паролей, согласно которым нужно выжидать некоторый период времени, прежде чем можно будет использовать старый пароль. В противном случае половина пользователей будут снова и снова назначать один и тот же пароль, чтобы упростить себе вход в систему. Использование же устаревших паролей рискованно.
Пароли должны быть трудны для отгадывания. Поэтому короткие и благозвучные пароли неприемлемы; кроме того, установите для паролей некую минимальную длину (Microsoft рекомендует не менее 11 символов) и не позволяйте людям использовать ни одно из следующих слов.

● Имя пользователя, его супруги (супруга) либо имена детей.
● Дату рождения.
● Название любимой спортивной команды.
● Слова, так или иначе связанные с работой пользователя.
● Имена домашних животных.

Совет:
Немедленно заменяйте все используемые стандартные пароли. Списки стандартных паролей для конкретного оборудования (в том числе пароли BIOS, которые вы можете назначить для компьютера) можно без труда получить в онлайновом режиме (online).

Чтобы затруднить угадывание паролей, вы можете записать их в необычной форме.
Например, записывайте пароль задом наперед, придумывайте бессмысленные слова либо вставляйте в них произвольные символы, например, mort$ician (mortician — гробовщик). Кроме того, если ваша NOS и система идентификации способны различать регистры символов паролей, используйте в пароле произвольные регистры букв, скажем, FrOggiE. Наиболее защищенные пароли создаются генератором случайных паролей (random password generator). К сожалению, такие пароли не нравятся пользователям — например, JO%de)(Iwi832 — их трудно запомнить и точно ввести.
Наконец, последнее правило защиты пароля гласит: никогда не записывайте пароль.
Все наши уловки затрудняют людям корректный ввод их собственных паролей (они имеют обыкновение записывать пароли и приклеивать липучкой к монитору или под клавиатурой).
Отбейте у них всякую охоту делать это.
Реализовать данные рекомендации нелегко, особенно потому, что иногда они противоречат друг другу. Нелегко придумывать через каждые 30 дней новое слово из 10 букв. Однако если следовать приведенным рекомендациям, угадать пароль для вашей сети будет весьма нелегко.

Итак, теперь я в безопасности, правда? Пароль, назначенный надлежащим образом, затрудняет случайный доступ по вашей учетной записи. Однако он не может предотвратить намеренную попытку прорыва в систему и вы по-прежнему не должны допускать посторонних в сеть.
Пароли, которые трудно угадать людям, уязвимы, тем не менее, со стороны словарной атаки (dictionary attack), когда специальная программа вводит случайные комбинации символов в экран входного диалога (login screen), пока одна из них не совпадет с подлинным паролем.
Кроме того, пароли, пересылаемые по сети, могут перехватывать программы-анализаторы (sniffers). Если пароли представляют собой простой текст, оператор программы-анализатора без малейшего труда их перехватит. (Простой текст незашифрован.
Подробнее о том, что это значит, вы узнаете в разделе "Шифрование данных".) Если пароли зашифрованы, они, разумеется, тоже потенциально опасны при перехвате, поскольку средства взлома паролей общедоступны (см. ниже).

Идеалы L0pht

Организация, называемая L0pth (да, именно нуль) создала множество инструментов, для испытания средств защиты продуктов в тяжелых режимах. В частности, один из них, называемый L0phtcrack, предназначен для оценки уязвимости шифрования паролей Windows NT.
Суть дела в следующем: Windows NT поддерживает два метода выполнения вызовов/откликов (challenge/response techniques): NTML2 и LM (систему вызова/отклика LAN Manager). Средства идентификации паролей LM весьма уязвимы с точки зрения дешифрования.
Проблема заключается в способе, которым намеренно зашумленные (т.е. зашифрованные) пароли разбиваются на части и идентифицируются. Система идентификации LM позволяет при взломе разделять пароли на блоки размером в семь байт. Напротив, система идентификации NTLM намного устойчивее к взлому. Никакой пароль не устоит перед грубыми силовыми методами, однако для взлома системы вызова/отклика NTLM требуется намного больше времени, чем для LM — несколько дней вместо нескольких секунд.
Единственный путь полностью обойти проблемы LM: использовать в сети только компьютеры Windows NT, а также установить пакет SP4. (Если используется хотя бы один клиент Windows 95, следует поддерживать систему идентификации LM.) Подробное описание проблемы и возможные решения можно найти по адресам:
http://www.l0pht.com/10phtcrack/rant.html http://support.microsoft.com/support/kb/articles/ql47/7/06.asp.
И эти инструменты работают. Введите в L0phtcrack пароль, зашифрованный с помощью технологии LM —программа расшифрует его за несколько секунд (в зависимости от мощности компьютера).

Биометрические устройства и интеллектуальные карты

Для идентификации доступа пользователей в систему иногда используют средства, не требующие ввода паролей. В некоторых сетях с повышенными мерами защиты для идентификации личности используют интеллектуальные карты (smart cards), биометрические устройства (biometric devices) или и то, и другое. Кроме того, такие устройства могут обеспечить защитную аутентификацию (secure authentication) пользователей, которые не приучены обращаться с паролями. Их можно также применять, если защита паролями слишком громоздка, но, тем не менее, необходима.

Медосмотр с помощью системы защиты. Биометрические устройства однозначно идентифицируют пользователя на основе некоторых физиологических характеристик, например, отпечатков пальцев или ладони, рисунка сетчатки глаза, "отпечатка" голоса (voice print).
Встречаются и другие методы идентификации подобного рода. Главное — предельно упростить ввод пароля в систему. Человеческий мозг может воспринимать пароли длиной не более И символов. Структура же кровеносных сосудов человеческого глаза абсолютно уникальна, а подделать ее весьма трудно. Эту, а также и другие структуры, свойственные только вам, можно отсканировать и оцифровать, т.е. преобразовать в единицы и нули — точно так же, как модем "переводит" аналоговые данные в цифровые, необходимые для работы компьютера. Затем оцифрованные изображения сохраняются точно так же, как файл со списком паролей. Когда вы предоставляете сканеру отпечатки вашего пальца (глаза, руки, голоса), оригинал сканируется и оцифровывается, а затем сравнивается с образцом, хранящимся в системе. Если соответствие достаточно близкое, система позволяет войти в сеть (или сегмент сети).
До недавних пор биометрические устройства использовались исключительно в правительственных сетях с высшей степенью защиты. Идентификация по отпечатку голоса "страдает" недостатком, обусловленным тем, что голос человека звучит по-разному в зависимости от времени дня и настроения человека. Сканирование сетчатки нередко ведет к ошибкам, если, скажем, глаз человека наливается кровью из-за сенной лихорадки. Поэтому на случай отказа механизма биометрической идентификации следует предусмотреть какой-либо иной код (ID) — иначе вам просто не войти в систему. Система идентификации, которая пылится на полке, никому не нужна.
Последние усовершенствования программных средств распознавания голоса и другие технологии значительно подняли доверие к инструментам биометрической аутентификации (biometric authentication tools). По мере роста надежности эти средства стали все шире применяться для идентификации личности. Тем не менее, пока что они не слишком популярны и главным образом потому, что создают неудобства людям. Возможно, вам повезет, и вы сумеете убедить их в обратном ("Мы установим систему, в которой не надо вводить пароли!!!"). В частности, удобства таких систем в большей мере ощущают люди, далекие от техники. Кроме того, "щадящие" биометрические устройства, вроде сканеров отпечатков пальцев, воспринимаются благожелательнее, чем, например, сканеры сетчатки глаза.

Использование интеллектуальных карт. Все большее число фирм в крупных городах США требуют от служащих обзавестись идентификационными карточками (badges). Федеральное правительство добивается этого целую вечность. С недавних пор этого же требуют частные фирмы и даже общественные школы. Как правило, на идентификационные карточки помещают фотографии владельцев, а также их имена либо иной идентификатор (в особо защищенных картах имена не указывают). Нередко в идентификационных карточках предусмотрена цветовая кодировка, позволяющая охраннику с одного взгляда установить, имеет ли владелец право находиться в данной части здания или местности.
В простейшем случае карточка содержит только фотографию и код, вроде того, что содержится на водительских удостоверениях. Интеллектуальные карты (smart cards) помимо этой информации включают своего рода электронную подпись (electronic signature), хранящуюся на магнитной полосе (magnetic strip) карты. Примером интеллектуальной карты может быть кредитная карточка, в которой на магнитной полосе хранится номер вашего счета. Еще один пример, когда ввод данных пользователем необязателен — это запирающая система (gate system). Здесь владелец карточки, чтобы отпереть дверь, должен протянуть ее через цифровой сканер (digital scanner). Независимо от того, должен ли пользователь вводить код либо просто протянуть карточку через щель, при несовпадении введенного кода с записанным в памяти доступ воспрещается.

Примечание:
В качестве интеллектуальных карт тоже можно использовать биометрические устройства.
Некоторые фирмы производят карты, которые в качестве цифровой сигнатуры используют оцифрованный отпечаток пальцев (digitized fingerprint).

Все мы уже привыкли использовать интеллектуальные карты в качестве кредитных карточек, а также для входа в здание. Кроме того, их постепенно начинают использовать и для доступа в компьютеры и сети. Основные операционные системы оснащают средствами поддержки интеллектуальных карт, а в некоторых они уже реализованы.

Организация прав пользователей

Итак, наконец пользователь, так или иначе, идентифицирован и получил доступ в систему. Это отнюдь не означает, что он автоматически получает все права на доступ к файлам. В любой достаточно защищенной сетевой операционной системе доступ пользователя определяется группой, в которую он входит. Хитрость заключается в использовании преимуществ этой системы путем ограничения прав пользователя на доступ к функциональным средствам, которые ему необходимы. В гл. 10 рассматривались некоторые методы, используемые в серверах Windows NT и NetWare для организации прав пользователей и разрешений. Мы вернемся к этому вопросу.

Домены Windows NT и средство обслуживания Active Directory. Независимо от того, предусмотрена ли в серверах доменная структура или средство Active Directory (Активный каталог), в операционных системах Windows NT и Windows 2000 используются по существу одинаковые методы организации работы пользователей. Пользователем (user) называют члена одной или нескольких групп, причем каждой группе назначают код группы (Group ID — GID) и предоставляют определенные права. В зависимости от назначенных прав и разрешений, члены данной группы могут читать имеющиеся файлы, создавать новые, использовать сетевые устройства, запускать утилиты администрирования (administration utilities), а также пользоваться многими другими правами и разрешениями, предусмотренными операционной системой.
Кроме того, пользователям можно предоставлять индивидуальные права и разрешения, однако каждый пользователь должен входить, по крайней мере, в одну группу.

Примечание:
На жаргоне Windows NT действия пользователя, определяются его правами, а объекты, к которым он может получить доступ, - разрешениями.

Если пользователь входит сразу в несколько групп, имеющих разные права, применяется наиболее полный набор прав (они "суммируются"). Единственное исключение — запрет группе выполнять какое-либо действие (пользователю запрещается исполнять это действие, даже если оно разрешено другой группе, в которую он входит).

Средство обслуживания NetWare (NDS) фирмы Novell. Вместо предоставления прав пользователям и группам, в системе NDS (NetWare Directory Services — средство обслуживания каталогов NetWare) организует их в соответствии с организационными единицами (OU — Organizational Unit). Как правило, OU представляет собою группу коллег по работе или одно подразделение фирмы, однако она определена на пользовательской основе, а потому численность OU не ограничена и допускает любую структуру организации.
В отличие от доменной системы Windows NT, система NDS позволяет пользователю одновременно входить в единственную OU. Таким образом, чтобы изменить массив разрешений для конкретного пользователя, его следует перевести в другую OU. При последующем входе в систему пользователь получит для работы новый набор разрешений.

Настройка WinGate
После своего запуска программа WinGate начинает работать в фоновом режиме: о том, что она загружена, свидетельствует значок приложения, отображающийся рядом с системными часами в Области уведомлений W ...

Хранение данных
Системы для работы с файлами, являются прародителями всех сетевых файловых серверов. Вы можете не нуждаться в услугах сетевой связи или многопользовательских приложений (в некоторых сетях обходятся...

Настройка локальной сети перед установкой WinRoute
Как и в случае с WinGate, перед установкой WinRoute необходимо специальным образом изменить конфигурацию локальной сети и операционной системы на всех компьютерах, на которых планируется установить эт...

Каждый вопрос экзамена может иметь несколько ответов от разных авторов. Ответ может содержать текст, формулы, картинки. Удалить или редактировать вопрос может автор экзамена или автор ответа на экзамен.

Идентификация

Для этого пользователь должен себя идентифицировать - указать своё «имя» (идентификатор). Таким образом,проверяется, относится ли регистрирующийся пользователь к пользователям, идентифицируемым системой. И в соответствии с введённым идентификатором пользователю будут сопоставлены соответствующие права доступа.

Аутентификация

В общем случае, идентифицируются и аутентифицируются не только пользователи, но и другие субъекты доступа к ресурсам.

Совокупность выполнения процедур идентификации и аутентификации принято называть процедурой авторизации

Процедура авторизации имеет ключевое значение при защите компьютерной информации, т.к. вся разграничительная политика доступа к ресурсам реализуется относительно идентификаторов пользователей. То есть, войдя в систему с чужим идентификатором, злоумышленник получает права доступа к ресурсу того пользователя, идентификатор которого был им предъявлен при входе в систему.

Чтобы исключить работу с системой незаконных пользователей, необходима процедура распознавания системой каждого законного пользователя (или групп пользователей). Для этого в защищенном месте система обязана хранить информацию, по которой можно опознать пользователя, а пользователь при входе в систему, при выполнении определенных действий, при доступе к ресурсам обязан себя идентифицировать, т. е. указать идентификатор, присвоенный ему в данной системе. Получив идентификатор, система проводит его аутентификацию, т. е. проверяет его содержательность (подлинность) - принадлежность к множеству идентификаторов. Если бы идентификация не дополнялась аутентификацией, то сама идентификация теряла бы всякий смысл. Обычно устанавливается ограничение на число попыток предъявления некорректного идентификатора. Аутентификация пользователя может быть основана на следующих принципах:

• на предъявлении пользователем пароля;
• на предъявлении пользователем доказательств, что он обладает секретной ключевой информацией;
• на ответах на некоторые тестовые вопросы;
• на предъявлении пользователем некоторых неизменных признаков, неразрывно связанных с ним;
• на предоставлении доказательств того, что он находится в определенном месте в определенное время;
• на установлении подлинности пользователя некоторой третьей, доверенной стороной.

Процедуры аутентификации должны быть устойчивы к подлогу, подбору и подделке. После распознавания пользователя система должна выяснить, какие права предоставлены этому пользователю, какую информацию он может использовать и каким образом (читать, записывать, модифицировать или удалять), какие программы может выполнять, какие ресурсы ему доступны, а также другие вопросы

подобного рода. Этот процесс называется авторизацией . Таким образом, вход пользователя в систему состоит из идентификации, аутентификации и авторизации. В процессе дальнейшей работы иногда может появиться необходимость дополнительной авторизации в отношении каких-либо действий.

Существуют различные механизмы реализации разграничения доступа. Например, каждому ресурсу (или компоненту) системы может быть поставлен в соответствие список управления доступом, в котором указаны идентификаторы всех пользователей, которым разрешен доступ к данному ресурсу, а также определено, какой именно доступ разрешен. При обращении пользователя к конкретному ресурсу система проверяет наличие у данного ресурса списка управления доступом и, если он существует, проверяет, разрешено ли этому пользователю работать с данным ресурсом в запрошенном режиме. Другим примером реализации механизма авторизации пользователя является профиль

пользователя - список, ставящий в соответствие всем идентификаторам пользователей перечень объектов, к которым разрешен доступ данному пользователю, с указанием типа доступа. Может быть организована системная структура данных, так называемая матрица доступа, которая представляет собой таблицу, столбцы которой соответствуют идентификаторам всех системных ресурсов, а строки - идентификаторам всех зарегистрированных пользователей. На пересечении i-го столбца j-й строки таблицы администратор системы указывает разрешенный тип доступа владельца i-го идентификатора j-му ресурсу. Доступ к механизмам авторизации должны иметь только специальные системные программы, обеспечивающие безопасность системы, а также строго ограниченный круг пользователей, отвечающих за безопасность системы. Рассматриваемые механизмы должны быть тщательно защищены от случайного или преднамеренного доступа неавторизованных пользователей. Многие атаки на информационные системы нацелены именно на вывод из строя или обход средств разграничения доступа. Аналогичные действия осуществляются в системе и при аутентификации других субъектов взаимодействия (претендентов ), например прикладных процессов или программ, с системой (верификатором). В отличие от аутентификации субъекта взаимодействия, процедура аутентификации объекта, устанавливая подлинность электронной почты, банковского счета и т. п., проверяет факт принадлежности данного объекта владельцу указанного идентификатора.

Идентификация призвана каждому пользователю (группе пользователей) сопоставить соответствующую ему разграничительную политику доступа на защищаемом объекте.
Для этого пользователь должен себя идентифицировать - указать своё «имя» (идентификатор). Таким образом,проверяется, относится ли регистрирующийся пользователь к пользователям, идентифицируемым системой. И в соответствии с введённым идентификатором пользователю будут сопоставлены соответствующие права доступа.
Аутентификация предназначена для контроля процедуры идентификации. Для этого пользователь должен ввести пароль. Правильность вводимого пароля подтверждает однозначное соответствие между регистрирующимся пользователем и идентифицированным пользователем.
В общем случае, идентифицируются и аутентифицируются не только пользователи, но и другие субъекты доступа к ресурсам.
Совокупность выполнения процедур идентификации и аутентификации принято называть процедурой авторизации . Иногда не требуется идентифицировать пользователя, а достаточно только выполнения процедуры аутентификации. Например, это происходит когда требуется подтвердить текущего (уже зарегистрированного) пользователя при выполнении каких-либо действий, требующих дополнительной защиты. В свою очередь, не всегда требуется осуществлять контроль идентификации, то есть в некоторых случаях аутентификация может не производиться.
Процедура авторизации имеет ключевое значение при защите компьютерной информации, т.к. вся разграничительная политика доступа к ресурсам реализуется относительно идентификаторов пользователей. То есть, войдя в систему с чужим идентификатором, злоумышленник получает права доступа к ресурсу того пользователя, идентификатор которого был им предъявлен при входе в систему.
Требования к идентификации и аутентификации
Формализованные требования к данным механизмам защиты состоят в следующем:
. Должны осуществляться идентификация и проверка подлинности субъектов доступа при входе в систему по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов (для классов защищенности 1Г и 1В по классификации АС)
. Система защиты должна требовать от пользователей идентифицировать себя при запросах на доступ.
. Система защиты должна подвергать проверке подлинность идентификации — осуществлять аутентификацию. Для этого она должна располагать необходимыми данными для идентификации и аутентификации.
. Система защиты должна препятствовать доступу к защищаемым ресурсам неидентифицированных пользователей и пользователей, подлинность идентификации которых при аутентификации не подтвердилась (для 5 класса защищенности по классификации СВТ). Для 3 класса защищенности по классификации СВТ вводится дополнительное требование: система защиты должна обладать способностью надежно связывать полученную идентификацию со всеми действиями данного пользователя.
Кроме ограничения «...паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов... » данные требования никак не формализуют подходы к реализации механизмов парольной защиты. Кроме того, данные требования не определяют, каким образом должны быть реализованы механизмы парольной защиты, а также не накладывают дополнительных ограничений, связанных с повышением стойкости пароля к подбору. В частности, они не регламентируют использование внешних носителей парольной информации — дискет, смарт-карт и т.д.
Дополнительные требования:
Существует целая группа угроз, связанная с некорректностью реализации процедуры авторизации в современных ОС, а также с наличием ошибок в реализации соответствующих механизмов защиты. Это обусловливает целесообразность рассмотрения механизмов авторизации с целью их добавочной защиты. Кроме того, механизмы идентификации и аутентификации являются важнейшими для противодействия НСД к информации, а значит, следует рассматривать возможные варианты их резервирования.
Кроме того, в рамках декларируемого системного подхода к проектированию системы защиты, при разработке механизмов авторизации следует рассматривать как явные, так и скрытые угрозы преодоления защиты.
Авторизация в контексте количества и вида зарегистрированных пользователей
Кого следует воспринимать в качестве потенциального злоумышленника/
1. В системе зарегистрирован один пользователь
Данный пользователь является и прикладным пользователем, и администратором безопасности. Здесь источником потенциальной угрозы является только сторонний сотрудник предприятия, а вся задача защиты сводится к контролю доступа в компьютер (либо в систему), т.е. к парольной защите.
Данный случай является вырожденным и нами далее не рассматривается, т.к. в соответствии с формализованными требованиями к защите информации от НСД даже при защите конфиденциальной информации предполагается обязательное наличие администратора безопасности.
2. В системе зарегистрированы администратор безопасности и один прикладной пользователь
Общий случай функционирования системы с одним прикладным пользователем — это наличие в системе администратора безопасности и только одного прикладного пользователя. В задачи администратора безопасности здесь входит ограничение прав прикладного пользователя по доступу к системным (администратора безопасности) и иным ресурсам компьютера. В частности, может ограничиваться набор задач, разрешенных для решения на компьютере, набор устройств, которые могут быть подключены к компьютеру (например, внешний модем, принтер и т.д.), способ сохранения обрабатываемых данных (например, на дискетах только в шифрованном виде) и т.д.
В данном случае потенциальным злоумышленником в части несанкционированного использования ресурсов защищаемого объекта может являться как сторонний сотрудник предприятия, так и собственно прикладной пользователь. Заметим, что прикладной пользователь здесь может выступать в роли сознательного нарушителя, либо стать «инструментом» в роли стороннего нарушителя, например, запустив по чьей-либо просьбе какую-нибудь программу).
3. В системе зарегистрированы администратор безопасности и несколько прикладных пользователей
Кроме администратора безопасности, в системе может быть заведено несколько прикладных пользователей. При этом ресурсами защищаемого компьютера могут пользоваться несколько сотрудников, решая различные задачи. Ввиду этого информационные и иные ресурсы защищаемого объекта должны между ними разграничиваться.
В данном случае к потенциальным нарушителям добавляется санкционированный прикладной пользователь, целью которого может служить НСД к информации, хранимой на защищаемом объекте другим пользователем.
При использовании компьютера (прежде всего, рабочей станции) в составе ЛВС, помимо локальных ресурсов защищаемого объекта, защите подлежат сетевые ресурсы.
В этом случае между пользователями могут разграничиваться права по доступу к серверам, сетевым службам, разделенным сетевым ресурсам (общим папкам и устройствам, например, к сетевым принтерам) и т.д.
Здесь злоумышленник (санкционированный пользователь) может осуществлять попытку получить НСД к сетевому ресурсу, к которому ему доступ не разрешен, с целью осуществления на него атаки с рабочей станции.
Рекомендации по построению авторизации, исходя из вида и количества зарегистрированных пользователей
Наиболее простой в реализации защитой является защита от стороннего сотрудника. В этом случае все мероприятия по защите возлагаются на использование механизма парольного входа.
Простота состоит в том, что, как увидим далее, в этом случае следует оказывать противодействие только явным угрозам преодоления парольной защиты, от которых защититься не представляет большого труда.
Однако основной угрозой служат преднамеренные или неумышленные действия санкционированного пользователя, который обладает возмож-ностью осуществления скрытой атаки на защищаемый ресурс (например, запустив какую-либо программу собственной разработки).
Механизмы идентификации и аутентификации должны предусматривать противодействие всем потенциальным злоумышленникам, т.е. как сторонним по отношению к защищаемому объекту, так и санкционированным пользователям, зарегистрированным на компьютере. При этом речь идет о прикладных пользователях, т.к. осуществить какую-либо защиту от НСД к информации от администратора безопасности невозможно, даже включая применение механизмов криптографической защиты (он сумеет снять информацию до момента ее поступления в драйвер шифрования).
С учетом сказанного можем сделать следующие выводы:
1. На защищаемом объекте, как правило, зарегистрированы, по крайней мере, два пользователя — прикладной пользователь и администратор безопасности. Поэтому в качестве потенциального злоумышленника при реализации механизмов парольной защиты в общем случае следует рассматривать не только стороннее по отношению к защищаемому объекту лицо, но и санкционированного пользователя, который преднамеренно либо неумышленно может осуществить атаку на механизм парольной защиты.
2. Рассматривая атаки на парольную защиту следует учитывать, что по сравнению со сторонним лицом, которое может характеризоваться явными угрозами парольной защите, защита от атак санкционированного пользователя качественно сложнее, т.к. им могут быть реализованы скрытые угрозы.
Классификация задач, решаемых механизмами идентификации и аутентификации (схема)
Классификация задач по назначению защищаемого объекта
Основу классификации задач, решаемых механизмами парольной защиты, составляет назначение защищаемого объекта (компьютера). Именно в соответствии с назначением объекта определяется перечень защищаемых ресурсов и источников угроз (потенциальных злоумышленников).

Структурная схема терминов

Второстепенные термины

Ключевой термин

Требования к знаниям и умениям

Цели изучения темы

Введение

Студент должен знать:

· механизмы идентификации и аутентификации;

· идентификаторы, используемые при реализации механизма идентификации и аутентификации.

Студент должен уметь:

· использовать механизмы идентификации и аутентификации для защиты информационных систем.

Ключевой термин: идентификация и аутентификации.

· механизм идентификации;

· механизм аутентификации.

4.1.2. Определение понятий "идентификация" и "аутентификация"

Идентификация и аутентификации применяются для ограничения доступа случайных и незаконных субъектов (пользователи, процессы) информационных систем к ее объектам (аппаратные, программные и информационные ресурсы).

Общий алгоритм работы таких систем заключается в том, чтобы получить от субъекта (например, пользователя) информацию, удостоверяющую его личность, проверить ее подлинность и затем предоставить (или не предоставить) этому пользователю возможность работы с системой.

Наличие процедур аутентификации и/или идентификации пользователей является обязательным условием любой защищенной системы, поскольку все механизмы защиты информации рассчитаны на работу с поименованными субъектами и объектами информационных систем.

Дадим определения этих понятий.

Идентификация – присвоение субъектам и объектам доступа личного идентификатора и сравнение его с заданным.

Аутентификация (установление подлинности) – проверка принадлежности субъекту доступа предъявленного им идентификатора и подтверждение его подлинности. Другими словами, аутентификация заключается в проверке: является ли подключающийся субъект тем, за кого он себя выдает.

При построении систем идентификации и аутентификации возникает проблема выбора идентификатора, на основе которого осуществляются процедуры идентификации и аутентификации пользователя. В качестве идентификаторов обычно используют:

· набор символов (пароль, секретный ключ, персональный идентификатор и т. п.), который пользователь запоминает или для их запоминания использует специальные средства хранения (электронные ключи);

· физиологические параметры человека (отпечатки пальцев, рисунок радужной оболочки глаза и т. п.) или особенности поведения (особенности работы на клавиатуре и т. п.).

Наиболее распространенными простыми и привычными являются методы аутентификации, основанные на паролях – конфиденциальных идентификаторах субъектов. В этом случае при вводе субъектом своего пароля подсистема аутентификации сравнивает его с паролем, хранящимся в базе эталонных данных в зашифрованном виде. В случае совпадения паролей подсистема аутентификации разрешает доступ к ресурсам системы.

Парольные методы аутентификации по степени изменяемости паролей делятся на:

· методы, использующие постоянные (многократно используемые) пароли;

· методы, использующие одноразовые (динамично изменяющиеся) пароли.

Использование одноразовых или динамически меняющихся паролей является более надежным методом парольной защиты.

В последнее время получили распространение комбинированные методы идентификации и аутентификации, требующие, помимо знания пароля, наличие карточки (token) – специального устройства, подтверждающего подлинность субъекта.

Карточки разделяют на два типа:

· пассивные (карточки с памятью);

· активные (интеллектуальные карточки).

Самыми распространенными являются пассивные карточки с магнитной полосой, которые считываются специальным устройством, имеющим клавиатуру и процессор. При использовании указанной карточки пользователь вводит свой идентификационный номер. В случае его совпадения с электронным вариантом, закодированным в карточке, пользователь получает доступ в систему. Это позволяет достоверно установить лицо, получившее доступ к системе и исключить несанкционированное использование карточки злоумышленником (например, при ее утере). Такой способ часто называют двукомпонентной аутентификацией.

Интеллектуальные карточки кроме памяти имеют собственный микропроцессор. Это позволяет реализовать различные варианты парольных методов защиты, например, многоразовые пароли, динамически меняющиеся пароли.

Методы аутентификации, основанные на измерении биометрических параметров человека, обеспечивают почти 100 % идентификацию, решая проблемы утери или утраты паролей и личных идентификаторов. Однако эти методы нельзя использовать при идентификации процессов или данных (объектов данных), они только начинают развиваться, требуют пока сложного и дорогостоящего оборудования. Это обусловливает их использование пока только на особо важных объектах.

Примерами внедрения указанных методов являются системы идентификации пользователя по рисунку радужной оболочки глаза, по почерку, по тембру голоса и др.

Новейшим направлением аутентификации является доказательство подлинности удаленного пользователя по его местонахождению. Данный защитный механизм основан на использовании системы космической навигации, типа GPS (Global Positioning System). Пользователь, имеющий аппаратуру GPS, многократно посылает координаты заданных спутников, находящихся в зоне прямой видимости. Подсистема аутентификации, зная орбиты спутников, может с точностью до метра определить месторасположение пользователя. Высокая надежность аутентификации определяется тем, что орбиты спутников подвержены колебаниям, предсказать которые достаточно трудно. Кроме того, координаты постоянно меняются, что исключает их перехват. Такой метод аутентификации может быть использован в случаях, когда авторизованный удаленный пользователь должен находиться в нужном месте.

Общая процедура идентификации и аутентификации пользователя при его доступе в защищенную информационную систему заключается в следующем.

Пользователь предоставляет системе свой личный идентификатор (например, вводит пароль или предоставляет палец для сканирования отпечатка). Далее система сравнивает полученный идентификатор со всеми хранящимися в ее базе идентификаторами. Если результат сравнения успешный, то пользователь получает доступ к системе в рамках установленных полномочий. В случае отрицательного результата система сообщает об ошибке и предлагает повторно ввести идентификатор. В тех случаях, когда пользователь превышает лимит возможных повторов ввода информации (ограничение на количество повторов является обязательным условием для защищенных систем) система временно блокируется и выдается сообщение о несанкционированных действиях (причем, может быть, и незаметно для пользователя).

Если в процессе аутентификации подлинность субъекта установлена, то система защиты информации должна определить его полномочия (совокупность прав). Это необходимо для последующего контроля и разграничения доступа к ресурсам.

В целом аутентификация по уровню информационной безопасности делится на три категории:

1. Статическая аутентификация.

2. Устойчивая аутентификация.

3. Постоянная аутентификация.

Первая категория обеспечивает защиту только от несанкционированных действий в системах, где нарушитель не может во время сеанса работы прочитать аутентификационную информацию. Примером средства статической аутентификации являются традиционные постоянные пароли. Их эффективность преимущественно зависит от сложности угадывания паролей и, собственно, от того, насколько хорошо они защищены.

Устойчивая аутентификация использует динамические данные аутентификации, меняющиеся с каждым сеансом работы. Реализациями устойчивой аутентификации являются системы, использующие одноразовые пароли и электронные подписи. Устойчивая аутентификация обеспечивает защиту от атак, где злоумышленник может перехватить аутентификационную информацию и использовать ее в следующих сеансах работы.

Однако устойчивая аутентификация не обеспечивает защиту от активных атак, в ходе которых маскирующийся злоумышленник может оперативно (в течение сеанса аутентификации) перехватить, модифицировать и вставить информацию в поток передаваемых данных.

Постоянная аутентификация обеспечивает идентификацию каждого блока передаваемых данных, что предохраняет их от несанкционированной модификации или вставки. Примером реализации указанной категории аутентификации является использование алгоритмов генерации электронных подписей для каждого бита пересылаемой информации.