Политика безопасности информационного объекта. Управление доступом к ресурсам

Основные понятия и концепции

Идентификация позволяет субъекту (пользователю, процессу, действующему от имени определенного пользователя, или иному аппаратно-программному компоненту) назвать себя (сообщить свое имя). Посредством аутентификации вторая сторона убеждается, что субъект действительно тот, за кого себя выдает. В качестве синонима слова аутентификация иногда используется словосочетание «проверка подлинности».

Совокупность процедур идентификации и аутентификации называют авторизацией.

В компьютерный системах (КС) выделяют следующие виды аутентификации:

– аутентификация пользователей. Имеется в виду опознание пользователей, которым необходим доступ к защищаемой информации или требуется подключение к информационной системе;

–аутентификацию процессов. Состоит в опознавании процессов и определении правомерности их операций;

– аутентификация хранящихся файлов данных. Направлена на установление того факта, что данные не подвергались модификации;

– аутентификация сообщений. Сводится к установлению подлинности полученного по каналам связи сообщения, в том числе решения вопроса об авторстве этого сообщения и установления факта приема сообщения.

Аутентификация бывает односторонней (клиент доказывает свою подлинность серверу, право на вход в систему) и двусторонней (взаимной).

Различают следующие формы аутентификации пользователей:

– нечто, что он знает (пароль, личный идентификационный номер, криптографический ключ и т.п.);

– нечто, чем он владеет (личные магнитные пластиковые карточки, карточки со встроенным микропроцессором, жетоны, радиопередатчики небольшого радиуса действия и т.п.);

– нечто, что есть часть его самого (голос, отпечатки пальцев, ладони, т.е. биометрические характеристики).

На практике используют несколько форм аутентификации сразу, и такая аутентификация называется многофакторной.

Наиболее распространенный вариант аутентификации – использование пароля [18]. Простейший метод подтверждения подлинности с использованием пароля основан на сравнении предоставляемого пользователем пароля Р_А с исходным значением Р′_А, хранящимся в компьютерном центре.

Поскольку пароль должен храниться в тайне, он должен шифроваться перед пересылкой по незащищенному каналу или вместо пароля по линиям связи должно пересылаться отображение пароля, получаемое с использованием односторонней функции, которое должно гарантировать невозможность раскрытия пароля по его отображению. Очевидно, что значение a(Р) вычисляется заранее и хранится в идентификационной таблице у получателя. Подтверждение подлинности происходит путем сравнения двух отображений пароля a(Р) и a′(Р) и признании пароля Р_А, если эти отображения равны.

В последнее время все большее распространение получают биометрические идентификации и аутентификации пользователя, позволяющие идентифицировать потенциального пользователя путем измерения его физиологических характеристик, особенностей его поведения.

Основные достоинства биометрических методов идентификации и аутентификации по сравнению с традиционными:

– высокая степень достоверности идентификации по биометрическим признакам из-за их уникальности;

– неотделимость биометрических признаков от дееспособной личности;

– трудность фальсификации биометрических признаков.

Используются следующие биометрические признаки для идентификации потенциального пользователя:

– узор радужной оболочки и сетчатки глаз;

– отпечатки пальцев;

– геометрическая форма руки;

– форма и размеры лица;

– особенности голоса;

– биомеханические характеристики рукописной подписи;

– биомеханические характеристики «клавиатурного почерка».

Применение биометрических параметров для идентификации и аутентификации субъектов доступа автоматизированных систем пока не получило надлежащего нормативно-правового обеспечения, в частности в виде стандартов. Сдерживающим фактором является и стоимость оборудования биометрической идентификации.

Взаимная проверка подлинности пользователей

Обычно стороны, вступающие в информационный обмен, нуждаются во взаимной проверке подлинности (аутентификации) друг друга. Этот процесс выполняют в начале сеанса связи. Для проверки применяют следующие способы:

– механизм запроса-ответа;

– механизм отметки времени («временной штемпель»).

Механизм запроса-ответасостоит в том, что если пользователь А хочет быть уверенным, что сообщения, получаемые от пользователя В, не являются ложными, он включает в посылаемое для В сообщение непредсказуемый элемент – запрос Х (например, некоторое случайное число). При ответе пользователь В должен выполнить над этим элементом некоторую операцию (вычислить функцию f(X)). Это невозможно осуществить заранее, так как пользователю В неизвестно, какое случайное число Х придет в запросе. Получив ответ с результатом действий В, пользователь может быть уверен, что В – подлинный. Недостаток этого метода – возможность установления закономерности между запросом и ответом.

Механизм отметки времени подразумевает регистрацию времени для каждого сообщения. В этом случае каждый пользователь сети может определить, насколько «устарело» пришедшее сообщение и решить не принимать его, поскольку оно может быть ложным.

В обоих случаях для защит механизма контроля следует применять шифрование, чтобы быть уверенным, что ответ послан не злоумышленником.