5. Сервисное программное обеспечение, утииты.

Сервисное программное обеспечение — это совокупность программных продуктов, предоставляющих пользователю дополнительные услуги в работе с компьютером и расширяющих возможности операционных систем. По функциональным возможностям сервисные средства можно подразделить на средства: • улучшающие пользовательский интерфейс; • защищающие данные от разрушения и несанкционированного доступа;

• восстанавливающие данные;• ускоряющие обмен данными между диском и ОЗУ:• архивации-разархивации;• антивирусные средства.

По способу организации и реализации сервисные средства могут быть представлены: оболочками, утилитами и автономными программами. Разница между оболочками и утилитами зачастую выражается лишь в универсальности первых и специализации вторых. Оболочки являются как бы настройками над операционной системой. Все оболочки обеспечивают ту или иную степень защиты от ошибок пользователя, что уменьшает вероятность случайного уничтожения слайдов. Утилиты и автономные программы имеют узкоспециализированное назначение и выполняют каждая свою функцию. Но утилиты, в отличии от автономных программ, выполняются в среде соответствующих оболочек. При этом они конкурируют в своих функциях с программами ОС и другими утилитами. Поэтому классификация сервисных средств но их функциям и способам реализации является достаточно размытой и весьма условной. Утилиты предоставляют пользователю дополнительные услуги (не требующие разработки специальных программ) в основном но обслуживанию дисков и файловой системы. Эти утилиты чаще всего позволяют выполнять следующие функции:• обслуживание дисков (форматирование, обеспечение сохранности информации, возможности ее восстановления в случае сбоя и т. д.);• обслуживание файлов и каталогов (аналогично оболочкам);• создание и обновление архивов;• предоставление информации о ресурсах компьютера, о дисковом пространстве, о распределении ОЗУ между программами;• печать текстовых и других файлов в различных режимах и форматах;• защита от компьютерных вирусов. Программные средства антивирусной защиты обеспечивают диагностику (обнаружение) и лечение (нейтрализацию) вирусов. Термином «вирус» обозначается программа, способная размножаться, внедряясь в другие программы, совершая при этом различные нежелательные действия. Из утилит, получивших наибольшую известность, можно назвать многофункциональный комплекс Norton Utilities.

6. Безопасная аутентификация

Аутентификация — это проверка пользователя: действительно ли он тот, за кого пытается себя выдавать. Для аутентификации используется информация, предоставить которую может только сам пользователь. В Web–системах для проведения аутентификации в большинстве случаев участвует пара значений — имя пользователя и пароль, удостоверяющий, что пользователь действительно тот, за кого себя выдает. Считается, что никто, кроме самого пользователя, не знает пароль. Естественно, известны более сложные и более надежные методы аутентификации, в частности биометрические, но в Web–системах они практически не применяются. Методы аутентификации:

В самом начале при доступе к системе пользователь проходит аутентификацию. В Web-программировании применяются несклько методов аутентификации, каждый из которых имеет свои плюсы и минусы. Рассмотрим самые популярные из этих методов.

Длинный URL. Наиболее просто реализуемый метод аутентификации (и одновременно авторизации) — сделать путь URL того или иного ресурса длинным и бессмысленным. Например, для получения доступа к администранивной панели некоторой системы необходимо зайти по данному адресу:http://site/jash47gdnc023nvs0sdvgh34234khsdg0wjsdnbv.php При этом более никакой аутентификации не проводится.

Очевидно, что если на самом сайте не будет сылок на этот адрес и это адрес будет держаться в секрете, то подбор такого URL для злоумышленника будет довольно сложной задачей, сопоставимой с подбором самого пароля. Можно считать, что пароль содержиться в самом URL–адресе.

Однако этот метод имеет огромное количество недостатков, которые сводят надежность метода к нулю. URL никакими системами не рассматривается как информация, которая может содержать секретные сведения. URL могут попадать в log-файлы HTTP–сервера, прокси-сервера. А следовательно, нет никакой гарантии, что эти сведения не будут доступны третьим лицам. Также нельзя гарантировать, что адрес не попадет в базы данных поисковых систем, а попасть он туда может если ссылка на указанный адрес была в отк-м доступе, и поисковый робот успел ее проиндексировать. Система аутентификации со стороны клиента. В некоторых случаях сама аутентификация целиком проводится на стороне клиента, а серверу лишь посылается ее результат. Как подтип такой аутентификации может быть, что клиент переадресовывается на некоторый длинный URL в случае удачного прохождения аутентификации. В любом случае независимо от реализации такую систему аутентификации нельзя назвать достаточно хорошей. Практически, она даже хуже системы с длинным URL. Одиночный пароль. В некоторых случаях для аутентификации пользователя используется одиночный пароль. При этом у каждого пользователя он свой. Имя пользователя или логин в аутентификации не используются. Эта система тоже ненадежна. При такой политике у пользователей не должно быть одинаковых паролей, иначе их нельзя будет отличить. Теперь представим ситуацию, когда в системе регистрируется новый пользователь и вводит, уже имеющийся, пароль. Очевидно, что система должна отказать в регистрации, тем самым пароль будет раскрыт. Причем для прохождения аутентификации в качестве пользователя даже не нужно знать имя пользователя, так как аутентификация проходит только с использованием пароля. Подобную систему можно использовать только тогда, когда заранее известно, что у системы будет минимальное количество пользователей, или если пользователь будет один. Имя и пароль. Наиболее распространенный способ аутентификации. Нередко в качестве имени может служить кодовый номер или адрес электронного ящика. При правильной реализации подобная система первичной аутентификации будет достаточно надежна для большинства Web–систем. Наиболее часто встречающейся ошибкой при реализаии тагого метода является то, что пароль передается HTTP–методом GET, параметры которого могут полностью логироваться как на промежуточных прокси–серверах, так и на HTTP–сервер системы. В случае передачи имени пользователя методом HTTP POST система будет избавлена от подобных недостатков.Стоит отметить, что пароль на сервер все равно будет передаваться в открытом виде и может быть перехвачен на любом промежуточном узле. Для защиты от подобного преехвата использутся протокол HTTPS. В этом случае перехват трафика ничего не даст.