2.3. Системи захисту від несанкціонованого доступу

Системи захисту від НСД здійснюють попередню або періодичну аутентифікацію користувача ПО або його комп'ютерної системи шляхом запиту додаткової інформації. До цього типу СЗ можна віднести системи парольного захисту ПО, системи «прив'язки» ПО до комп'ютера користувача, апаратно-програмні системи з електронними ключами і системи з «ключовими дисками». У першому випадку «ключову» інформацію вводить користувач, у другому – вона утримується в унікальних параметрах комп'ютерної системи користувача, у третьому – «ключова» інформація зчитується з мікросхем електронного ключа й у четвертому випадку вона зберігається на диску.

Парольні захисти

На сьогоднішній день цей клас СЗПО є найпоширенішим. Основний принцип роботи даних систем полягає в ідентифікації й аутентифікація користувача ПО шляхом запиту додаткових даних, якими можуть бути назва фірми і/або ім'я і прізвище користувача і його пароль або тільки пароль/реєстраційний код. Така інформація може запитуватися в різних ситуаціях, наприклад, при старті програми, після закінчення терміну безкоштовного використання ПО, при виклику процедури реєстрації або в процесі установки на ПК користувача.

Процедури парольного захисту прості в реалізації. Більшість парольних СЗПО використовує логічні механізми, що зводяться до перевірки правильності пароля/коду і запуску або не запуску ПО, у залежності від результатів перевірки. Існують також системи, що шифрують ПО і використовують пароль або похідну від нього величину як ключ дешифрації. Звичайно вони реалізовані у виді захисного модуля і допоміжних бібліотек і встановлюються на вже скомпільовані модулі ПО.

Слабкою ланкою парольних захистів є блок перевірки правильності введеного пароля/коду. Для такої перевірки можна порівнювати введений пароль із записаним у коді ПО правильним або з правильно згенерованих із уведених додаткових даних паролем. Можливо також порівняння похідних величин від введеного і правильного паролів, наприклад їхній хэш-функций, у такому випадку в коді можна зберігати тільки похідну величину, що підвищує стійкість захисту. Шляхом аналізу процедурок перевірки можна знайти реальний пароль, записаний у коді ПО, знайти правильно згенерований пароль із уведених даних або створити програму для перебору паролів для визначення пароля з потрібною хэш-суммой. Крім того, якщо СЗПО не використовує шифрування, досить лише примусово змінити логікові перевірки для одержання безперешкодного доступу до ПО.

Системи, що шифрують, більш стійкі до атак, але при використанні найпростіших або некоректно реалізованих криптоалгоритмів є небезпека дешифрування ПО. Для всіх парольних систем існує погроза перехоплення пароля при його введенні авторизованним користувачем. Крім того, у більшості СЗПО даних типів процедура перевірки використовується лише один раз, звичайно при реєстрації або установці ПО, за тим система захисту просто відключається, що створює реальну погрозу для НСД при незаконному копіюванні ПО.

Позитивні сторони:

1. Надійний захист від зловмисника-непрофесіонала.

2. Мінімальні незручності для користувача.

3. Можливість передачі пароля/коду по мережі.

4. Відсутність конфліктів із системним і прикладним ПО й АТ.

5. Простота реалізації і застосування.

6. Низька вартість.

Негативні сторони:

1. Низька стійкість більшості систем захисту даного типу.

2. Користувачеві необхідно запам'ятовувати пароль/код.