Технология аутентификации. Сетевая аутентификация на основе многоразового пароля.
В соответствии с базовым принципом «единого входа», когда пользователю достаточно один раз пройти процедуру аутентификации, чтобы получить доступ ко всем сетевым ресурсам, в современных операционных системах предусматриваются централизованные службы аутентификации. Такая служба поддерживается одним из серверов сети и использует для своей работы базу данных, в которой хранятся учетные данные (иногда называемые бюджетами) о пользователях сети. Учетные данные содержат наряду с другой информацией идентификаторы и пароли пользователей. Упрощенно схема аутентификации в сети выглядит следующим образом. Когда пользователь осуществляет логический вход в сеть, он набирает на клавиатуре своего компьютера свои идентификатор и пароль. Эти данные используются службой аутентификации — в централизованной базе данных, хранящейся на сервере, по идентификатору пользователя находится соответствующая запись, из нее извлекается пароль и сравнивается с тем, который ввел пользователь. Если они совпадают, то аутентификация считается успешной, пользователь получает легальный статус и те права, которые определены для него системой авторизации.
Однако такая упрощенная схема имеет большой изъян. А именно при передаче пароля с клиентского компьютера на сервер, выполняющий процедуру аутентификации, этот пароль может быть перехвачен злоумышленником. Поэтому в разных операционных системах применяются разные приемы, чтобы избежать передачи пароля по сети в незащищенном виде. Рассмотрим, как решается эта проблема в популярной сетевой ОС Windows NT.
В основе концепции сетевой безопасности Windows NT лежит понятие домена. Домен — это совокупность пользователей, серверов и рабочих станций, учетная информация о которых централизованно хранится в общей базе данных, называемой базой SAM (Security Accounts Manager database). Над этой базой данных реализована служба Directory Services, которая, как и любая централизованная справочная служба, устраняет дублирование учетных данных в нескольких компьютерах и сокращает число рутинных операций по администрированию. Одной из функций службы Directory Services является аутентификация пользователей. Служба Directory Services построена в архитектуре клиент-сервер. Каждый пользователь при логическом входе в сеть вызывает клиентскую часть службы, которая передает запрос на аутентификацию и поддерживает диалог с серверной частью.
Аутентификация пользователей домена выполняется на основе их паролей, хранящихся в зашифрованном виде в базе SAM (рис. 11.7). Пароли зашифровываются с помощью односторонней функции при занесении их в базу данных во время процедуры создания учетной записи для нового пользователя. Введем обозначение для этой односторонней функции — ОФШ1. Таким образом, пароль Р хранится в базе данных SAM в виде дайджеста d(P). (Напомним, что знание дайджеста не позволяет восстановить исходное сообщение.)
Рис. 11.7. Схема сетевой аутентификации на основе многоразового пароля
При логическом входе пользователь локально вводит в свой компьютер имя-идентификатор (ID) и пароль Р. Клиентская часть подсистемы аутентификации, получив эти данные, передает запрос по сети на сервер, хранящий базу SAM. В этом запросе в открытом виде содержится идентификатор пользователя ID, но пароль не передается в сеть ни в каком виде.
К паролю на клиентской станции применяется та же односторонняя функция ОФШ1, которая была использована при записи пароля в базу данных SAM, то есть динамически вычисляется дайджест пароля d(P).
В ответ на поступивший запрос серверная часть службы аутентификации генерирует случайное число S случайной длины, называемое словом-вызовом (challenge). Это слово передается по сети с сервера на клиентскую станцию пользователя. К слову-вызову на клиентской стороне применяется односторонняя функция шифрования ОФШ2. В отличие от функции ОФШ1 функция ОФШ2 является параметрической и получает в качестве параметра дайджест пароля d(P). Полученный в результате ответ d(S) передается по сети на сервер SAM.
П
араллельно
этому на сервере слово-вызов S аналогично
шифруется с помощью той же односторонней
функции ОФШ2 и дайджеста пароля
пользователя d(P), извлеченного из базы
SAM, а затем сравнивается с ответом,
переданным клиентской станцией. При
совпадении результатов считается, что
аутентификация прошла успешно. Таким
образом, при логическом входе пользователя
пароли в сети Windows NT никогда не передаются
по каналам связи.
Заметим также, что при каждом запросе на аутентификацию генерируется новое слово-вызов, так что перехват ответа d(S) клиентского компьютера не может быть использован в ходе другой процедуры аутентификации.
Задача
Пусть в некоторой программе, работающей в системе со страничной организацией памяти, произошло обращение по виртуальному адресу 0123568 . Преобразуйте этот адрес в физический, учитывая, что размер страницы равен 2 14 байт и что таблица страниц данного процесса содержит следующий фрагмент:
-
Номер виртуальной страницы
Номер физической страницы
0000
0101
0001
0010
0010
0011
0011
0000
Решение
Механизм преобразования виртуальных адресов в физические:
• Загружается адрес таблицы страниц процесса (AT – адрес таблицы страниц).
• От виртуального адреса отбрасываются младшие разряды (9 для страницы в 512байт). Оставшиеся старшие разряды – номер виртуальной страницы (р)
• По данным адресам таблицы страниц и виртуальной страницы на находится нужная запись: АТ+р*(длина записи).
• В данной записи считывается адрес физической страницы и к нему прибавлятеся смещение. Физический адрес готов ?
Преобразуем виртуальный адрес в 2-ичную систему счисления, получим число 000001010011101110. Заметим, что в этом числе 18 двоичных разрядов. В это же самое время, на определение адреса на странице необходимо выделить 14 разрядов (по условию). Соответственно 18-14=4 разряда остается на номер виртуальной страницы. Т.е. Это первые 4 разряда нашего адреса: 0000. Смотрим по таблице, видим что физ. Страница по адресу 0000 это 0101. При этом остальная часть вирт. Адреса остается без изменений.
Ответ: 010101010011101110 или 2523568