Управление доступом в ивс

Система защиты доступа в ИВС должна включать три пояса защиты:

1. Пояс, охватывающий территорию, на которой расположены элементы ИВС;

2. Пояс, который охватывает сооружения и помещения с аппаратурой ИВС;

3. Пояс, охватывавший ресурсы ИВС.

Защита доступа в первых двух поясах обеспечивается применением физических средств защиты, в третьем поясе – аппаратных, программных (программно-аппаратных) и криптографических средств защиты.

Управление доступом включает решение следующих задач:

• идентификацию пользователей, персонала и ресурсов ИВС;

• установление подлинности субъектов и объектов, допускаемых к использованию

ресурсов ИВС;

• проверку полномочий субъектов на доступ к защищаемым ресурсам;

• регистрацию (протоколирование) обращений к защищаемым ресурсам;

• реакцию на несанкционированные действия.

Идентификация и установление подлинности

Для того чтобы установить подлинность субъектов и объектов системы, все субъекты и объекты, зарегистрированные в системе, должны иметь уникальные имена – идентификаторы.

Когда какой-либо субъект обращается к ресурсам системы, необходимо установить его подлинность, опознать его. Процесс установления подлинности в зарубежной литературе называется «авторизация», «аутентификация», «опознавание».

Классификация характеристик применяемых для установления подлинности субъектов приведена на рисунке 6.1.

Рис. 6.1.

Наибольшее распространение для установления подлинности в настоящее время получили методы паролирования.

Метод простого пароля стоит во вводе пользователя одного пароля с клавиатуры.

Метод выборки символов стоит в запросе системой определённых 202 символов пароля, выбираемых случайным образом.

Метод групп паролей основывается на том, что система для каждого пользователя может потребовать пароли из двух групп. Группы могут включать пароли, которые являются первая группа, включает пароли, которые являются ответами на общие для всех пользователей вопросы, например, имя, адрес, номер телефона и т.п.. Вторая группа включает пароли - ответами на вопросы, которые устанавливаются администратором системы при регистрации персонально для каждого пользователя для работы с системой.

Метод функционального преобразования предполагает, что пользователю при регистрации для работы в системе сообщается некоторое преобразование, которое он может выполнить в уме. Паролем в этом случае является результат такого преобразования.

Для проверки сложности паролей обычно используют специальные контроллеры паролей, которые позволяет проверить уязвимость паролей. Контроллер осуществляет попытки взлома пароля по следующей методике.

1. Проверка использования в качестве пароля входного имени пользователя, его инициалов и их комбинаций.

2. Проверка использования в качестве пароля слов из различных словарей (60 000 слов):

   • мужские и женские имена (16 000 имен);

   • названия стран и городов;

   • имена персонажей мультфильмов, кинофильмов, научно – фантастических произведений и т.п.;

   • спортивные термины (названия команд, имена спортсменов, спортивный жаргон и т.п.);

   • числа(цифрами и прописью, например, 2000, TWELVE);

   • строки букв и цифр (например, АА, ААА, АААА и т.д.);

   • библейские имена и названия; биологические термины;

   • жаргонные слова и ругательства;

   • последовательности символов в порядке их расположения на клавиатуре (например, QWERTY, ASDF, ZXCVBN и т.д.);

   • имена компьютеров (из файла /etc/hostc в ОС UNIX);

   • персонажи и места действия из произведений Шекспира; часто употребляемые иностранные слова; названия астероидов.

3. Проверка различных перестановок слов из п. 2, включая:

   • замену первой буквы на прописную;

   • замену всех букв на прописные;

   • инверсию всего слова;

   • замену буквы О на цифру 0 и наоборот (цифру 1 на букву 1 и т.д.);

   • превращение слов во множественное число.

Всего по п. 3 контроллер осуществляет проверку на совпадение приблизительно с одним миллионом слов.

4. Проверка различных перестановок слов из п. 2, не рассмотренных в п. 3:

   • замена одной строчной буквы на прописную (около 400 000 слов);

   • замена двух строчных букв на прописные (около 1 500 000 слов);

   • замена трех строчных букв на прописные и т.д.

5. Для иностранных пользователей проверка слов на языке пользователя.

6. Проверка пар слов.

Одной из возможных стратегий нарушителя является подключение непосредственно к ЭВМ, осуществляющей установление подлинности. Этому способствует развитие портативных персональных компьютеров с высоким быстродействием. Определим необходимую длину пароля для подобного случая.

Пусть быстродействие ЭВМ нарушителя, генерирующей пароли, составляет g операций/с. Программа генерации и сравнения паролей имеет длину l операций. Тогда количество паролей G, генерируемое нарушителем в одну секунду, будет G=g/l.

Будем исходить из того, что

, (2)

где P- вероятность одбора пароля нарушителем; N1 – число возможных попыток раскрытия пароля за T месяцев; N2 – число возможных паролей в системе.

Промежуток времени (в секунду), затрачиваемый ЭВМ нарушителя на формирование одного пароля и получение доступа к системе установления подлинности, составит , , где t – время задержки, применяемое системой установления подлинности для уменьшения уязвимости парольной системы (в секундах). Тогда

Рис. 6.3.Зависимость времени жизни пароля Т от

(3)

, а общее число возможных паролей

,

где А – число символов в алфавите, S – длина пароля. При рассмотрении наихудшего случая, когда нарушителю известно S, имеем:

(4)

Подставляя (3), (4) в (2), получим:

Или иначе

На практике обычно значение длины пароля S является заданной величиной. Тогда формулу (5) можно использывать для получения значения времени жизни пароля T заданной длины S. Зависимости Т от при приведены на рисунке 6.3.

Зависимость времени жизни пароля Т от . Выбор периода жизни пароля заданной длины позволяет обеспечить задаваемую вероятность подбора пароля нарушителем.