Проста автентифікація

Однією з поширених схем автентифікації є проста автентифікація, яка заснована на застосуванні традиційних багаторазових паролів з одночасним узгодженням засобів їх використовування і обробки. Автентифікація на основі багаторазових паролів - простий і наочний приклад використовування інформації, що розділяється. Поки в більшості видів захищених мереж доступ клієнта до серверу дозволяється по паролю. Проте все частіше застосовуються більш ефективні засоби, наприклад програмні і апаратні системи автентифікації на основі одноразових паролів та цифрових сертифікатів.

Автентифікація на основі багаторазових паролів

Базовий принцип «єдиного входу» припускає достатність одноразового проходження користувачем процедури автентифікації для доступу до всіх мережних ресурсів. Тому в сучасних операційних системах передбачається централізована служба автентифікації, яка виконується одним з серверів мережі і використовує для своєї роботи базу даних, де зберігаються облікові записи користувачів мережі. В ці облікові дані разом з іншою інформацією включені ідентифікатори і паролі користувачів. Процедуру простої автентифікації користувача в мережі можна уявити таким чином. При спробі логічного входу в мережу користувач набирає на клавіатурі комп'ютера свої ідентифікатор і пароль. Ці дані поступають для обробки на сервер автентифікації. В базі даних, що зберігається на сервері автентифікації, по ідентифікатору користувача знаходиться відповідний запис; з нього витягується пароль і порівнюється з тим паролем, який ввів користувач. Якщо вони співпали, то автентифікація пройшла успішно, користувач одержує легальний статус і ті права на ресурси мережі, які визначені для його статусу системою авторизації. В схемі простої автентифікації передача пароля і ідентифікатора користувача може проводитися наступними способами:

• в незашифрованому вигляді. Наприклад, згідно протоколу парольної автентифікації PAP (Password Authentication Protocol) паролі передаються по лінії зв'язку у відкритій незахищеній формі;

• в захищеному вигляді. Всі передавані дані (ідентифікатор і пароль користувача, випадкове число і мітки часу) захищені за допомогою шифрування або однонаправленої функції.

Автентифікація на основі одноразових паролів

Схеми автентифікації, засновані на традиційних багаторазових паролях, не володіють достатньою безпекою. Такі паролі можна перехопити, розгадати, підглянути або просто вкрасти. Більш надійними є процедури автентифікації на основі одноразових паролів. Суть схеми одноразових паролів - використовування різних паролів при кожному новому запиті на надання доступу. Одноразовий динамічний пароль дійсний тільки для одного входу в систему, потім його дія закінчується. Навіть якщо хтось перехопив його, пароль виявиться даремним. Динамічний механізм вибору пароля - один з кращих способів захисту від загроз перехоплення паролів. Розрізняють наступні способи реалізації принципу одноразових паролів:

• механізм часових міток на основі системи єдиного часу;

• загальний для користувача і перевіряючого список випадкових паролів і надійний механізм їх синхронізації;

• загальний генератор випадкових чисел з одним і тим же початковим значенням для користувача і перевіряючого.

В основі автентифікації з одноразовими паролями лежить процедура типу «запит-відповідь». Генерація одноразових паролів може здійснюватися апаратним або програмним способом. Апаратні засоби автентифікації на основі одноразових паролів часто реалізуються у вигляді мініатюрних пристроїв з вбудованим мікропроцесором. Зовнішньо ці пристрої схожі на платіжні пластикові картки. Такі карти звичайно називають ключами. В них можуть бути клавіатура і невелике дисплейне вікно. Широко відома апаратна реалізація технології одноразових паролів SecurlD компанії Security Dynamics. Існують і програмні реалізації засобів автентифікації на основі одноразових паролів у вигляді програмних ключів, зокрема продукт Softoken компанії Enigma Logic. Програмні ключі розміщуються на гнучкому магнітному диску у вигляді звичайної програми з програмним генератором одноразових паролів. При спробі логічного входу в систему користувач повідомляє системі свій ідентифікатор і потім вводить послідовність цифр, яку повідомляє йому апаратний або програмний ключ з вбудованим генератором одноразових паролів. Ключ циклічно генерує новий пароль у вигляді нової послідовності цифр через невеликі постійні інтервали часу. Сервер автентифікації порівнює введену користувачем цифрову послідовність з виробленим власним значенням і залежно від результату цього порівняння дозволяє або не дозволяє користувачу здійснити логічний вхід в систему. Як сервер автентифікації можуть бути використані виділений комп'ютер або програма, виконувана на звичайному сервері. На практиці отримала також широке розповсюдження схема автентифікації на основі одноразових паролів, запропонована Лампортом. Суть даного методу полягає в багатократному використовуванні партнерами по автентифікаціоному обміну односторонньої функції для генерації послідовності одноразових паролів, що розділються. ^