3. Основные компоненты системы безопасности Windows. Аутентификация пользователей при входе в Windows.

Основные компоненты системы безопасности Windows: процесс входа winlogon, локальный администратор безопасности LSA, база данных пользователей SAM, идентификатор безопасности SID, диспетчер базы учёта записей.

Идентификация и аутентификация пользователя при входе в систему.

При входе в систему пользователь указывает свое имя и пароль, который сравнивается с базовой учетной записью:

• Компьютера входа при локальном входе

• Контроллером домена при входе в поддоменную учетную запись

После успешной однократной идентификации пользователю становятся доступны все ресурсы, связанные с данной учетной записью. Рассмотрим как происходит интерфейсный вход пользователя в систему:

1. Пользователь набирает комбинацию клавиш ctrl+alt+delete, что необходимо даже если окно входа на экране. Это защищает от ПО, которое может нелегально зафиксировать имя-пароль;

2. После ввода пользователем имени-пароля процесс входа (winlogon) вызывает локальный администратор безопасности;

3. LSA – local security authority – локальный администратор безопасности обращается в пакет проверки подлинности NSV1_0;

4. Пакет аутентификации разбит на 2 части. Одна выполняется на ПК входа, вторая на ПК с базовой учетной записью. По имени домена определяется, где находится база учетной записи. И если она расположена на удаленном ПК, то первая часть пакета с помощью winlogon предъявляет запрос на удаленный ПК, где 2я часть пакета проверяет подлинность пользователя. Это называется сквозной аутентификацией или сквозной проверкой подлинности.

5. Производится поиск по SAM удаленным ПК. Он на основе базовой учетной записи возвращает идентификатор безопасности (SID) пользователя всех групп, членом которых он является.

6. Пакет аутентификации создает сессию или сеанс входа, а также передает все SIDы локальному администратору безопасности.

7. LSA проверяет разрешенный пользователю вход данного типа. Если вход разрешен, создается доступ, содержащий идентификатор пользователя и его групп, а так же привилегии пользователя. Маркерный доступ передается подсистеме входа.

8. Процесс входа вызывает подсистему Win 32 и присоединяет пользовательские маркеры доступа созданному процессу, создавая субъект доступа.

9. Подсистема Win 32 создает консоль доступа, обеспечивая его работу с ОС.

Картинка!

Начиная с Win 2000 для хранения сетевой информации базовой учетной записи используется служба каталогов Active Directory. А для аутентификации – протокол Kerberos. При этом используется центр распределения ключей Key Distributed Center (KDC).

Картинка!

Билет №4

1. Причины повышения актуальности проблемы зашиты информации, возможные способы похищения компьютерной информации.

Способы получения паролей злоумышленниками.

1. Получение копии файла базы уч записи *.sam. Злоумышленник может попытаться скопировать либо резервную копию, либо копию данной БД при инсталяции системы.

2. Загрузка другой ОС. (с СD) Криптозащита не действует.

3. Злоумышленник может покопаться в ряде служебных файлов ОС: pagefile.sys; memory.dmp, создающихся при автоматическом завершении системы. User.dmp создается при автоматическом завершении прикладной программы.

4. Перехват аутентификационных пакетов. Место хранения пароля в БД известно и злоумышленник может получить зашифрованный хэшированный пароль. А т.к. шифрование хэш-пароля производится на относительном идентификаторе пользователя, то злоумышленник может получить хэш-пароль. Хранятся пароли Win NT и LanManager. Последний сломать проще. Нужно фактически передать 7-ми символьную последовательность, причем злоумышленник может подбирать младшую и старшую часть пароля. Может использоваться поиск по словарю или последовательный перебор. Процесс перебора зависит от длины пароля и полноты используемого алфавита. Получить пароль LanManager’а можно в тот момент, когда пользователь войдет в компьютер по сети. Злоумышленник может поизменять регистр отдельных символов и получить пароль NT. Это хорошо!

2. Суррогатная, селектирующая, конструирующая стеганография. Достоинства и недостатки. Понятие контейнера в стеганографии. Типы контейнеров. Их достоинства и недостатки. Рекомендации по выбору контейнера картинки и звукового файла.

Стеганография идет дальше криптографии. Ее цель – скрыть сам факт существования сообщения. В стеганографии используется то, что значительная часть информации шумит, т.е. имеются помехи. Шум имеется и в любом массиве результатов измерений. В графических файлах и звуковых. Эта шумящая информация может использоваться для скрытия сообщений.

В графическом формате bmp на каждый пиксель отводится 24 бита. По 8 бит на 3 цвета. Эти 8 бит определяют интенсивность соответствующего цвета. Человеческий глаз неспособен воспринимать изменение младших бит соответствующего цвета, что позволяет скрывать информацию в младших битах каждого цвета. Плотность упаковки составляет 12,5%. Можно прятать информацию в 2х младших битах. Данный контейнер должен быть достаточно шумным. Метод называется суррогатной стеганографией. Шум может иметь определенные статические характеристики.

Стремятся сохранить припрятанную информацию, используя статический шум. Один из возможных подходов: генерирование нескольких альтернативных контейнеров и выбор подходящего для управляемой скрытой информации. Это называется селективной стеганографией. Можно попытаться смоделировать характеристики шума и сконструировать само припрятанное сообщение, чтобы модель шума изменилась минимальным образом. Это называется конструирующей стеганографией.

Выделяют 2 класса контейнеров:

• Поток непрерывных данных, подобно цифровой телефонной связи. О нем предварительно нельзя сказать, когда начинается и когда заканчивается и насколько продолжительным будет. В этом случае нет возможности заранее узнать, какими будут последующие шумовые биты, что приводит к необходимости включать управляющие биты в поток в реальном масштабе времени. Скрывающие биты могут выбираться с помощью специальных генераторов, которые задают расстояние между последовательностью бит. Трудно представляется момент, когда определяется скрываемое сообщение. Не должно быть явной синхронизирующей последовательности. Обычно сообщение начинается либо на границе с пакетом, либо приводится к определенным синхроимпульсам.

• Файлы растрового изображения, которые имеют фиксированную длину и называются контейнером случайного доступа. Они лишены недостатков предыдущих контейнеров. Отправитель заранее знает размер, его содержание и может определенным образом упрятать информацию. Недостатком является ограниченный объем контейнера. Для достижения наилучшего результата целесообразно использовать звуковые файлы не лучшего качества, но громкие. Изображение лучше использовать пестрое, без четких геометрических фигур и без обширных монотонных участков. Не стоит использовать широко-известные изображения.

Стеганография может использоваться для сокрытия секретной информации, для преодоления системы контроля контента. Может использоваться для защиты авторских прав, водяные знаки.

Водяные знаки создаются невидимыми и распознаются ПК. Для надежной защиты водяные метки должны обладать следующими качествами:

• Невидимость

• Помехоустойчивость

• Защищенность (стойкость к повышенным искажениям)

• Водяная метка должна сохраняться при уменьшении / увеличении изображения и других манипуляциях с ним.

Еще одной разновидностью водяных знаков является fingerprinting. При этом в изображение помещается информация не только об авторе, но и информация о покупателе (например серийный номер).

Поддержка водяных знаков стоит определенных денег. Имеется ряд фирм, которые на этом специализируются. Они ведут соответствующие базы знаков, с помощью которых можно проверить принадлежность производителя. Существует ПО, которое осуществляет сканирование web-серверов, с целью поиска мультимедиа файлов с водяными знаками.

3. MandatoryIntegrityControl

мандатный контроль доступа

Для реализации мандатного принципа контроля доступа каждому субъекту и каждому объекту присваивают классификационные метки, отражающие их места соответствующей иерархии. С помощью этих меток субъектам и объектам должны быть назначены классификационные уровни, являющиеся комбинациями уровня иерархической классификации и иерархических категорий.

Данные метки должны служить основой мандатного принципа разграничения доступа.

КСЗ (комплекс средств защиты) при вводе новых данных в систему должен запрашивать и получать от санкционированного пользователя классификационные метки этих данных. При санкционированном внесении в список пользователей нового субъекта ему должны быть

назначены классификационные метки. Внешние классификационные метки (субъектов, объектов) должны точно соответствовать внутренним меткам (внутри КСЗ).

КСЗ должен реализовать мандатный принцип контроля доступа применительно ко всем объектам при явном и скрытом доступе со стороны любого из субъектов:

а) субъект может читать объект, если уровень иерархической классификации в классификационном уровне субъекта не меньше, см уровень иерархической классификации в классификационном ровне субъекта, и неиерархические категории в классификационном уровне субъекта включают в себя все неиерархические категории в классификационном уровне объекта:

б) субъект осуществляет запись в объект, если классификационный уровень субъекта в иерархической классификации не больше, чем классификационный уровень объекта в иерархической классификации, и все неиерархические категории в классификационном уровне субъекта включены в неиерархические категории классификационном уровне объекта.

Реализация мандатных ПРД должна предусматривать возможности сопровождения - изменения классификационных уровней субъектов и объектов специально выделенными субъектами.

Билет №5