Идентификация и аутентификация субъектов. Классификация подсистем идентификации и аутентификации

Реализация никакой из политик безопасности не будет возможна в случае, если компьютерная система не сможет распознать (идентифицировать) субъекта, пытающегося получить доступ к объекту системы. Поэтому защищенная компьютерная система обязательно должна включать в себя подсистему идентификации, позволяющую идентифицировать инициирующего доступ субъекта.

Под идентификацией понимают присвоение пользователю некоторого уникального идентификатора, который он должен предъявить СЗИ при осуществлении доступа к объекту, то есть назвать себя. Используя предъявленный пользователем идентификатор, СЗИ может проверить наличие данного пользователя в списке зарегистрированных и авторизовать его (то есть наделить полномочиями) для выполнения определенных задач.

В качестве идентификаторов могут использоваться имя пользователя (логин), устройства типа iButton (Touch Memory), бесконтактные радиочастотные карты proximity, отдельные виды пластиковых карт и т.д. Идентификаторы субъектов не являются секретной информацией и могут храниться в системе в открытом виде. Для нейтрализации угроз, связанных с хищением идентификаторов и подменой злоумышленником легального пользователя, необходимы дополнительные проверки субъекта, заключающиеся в подтверждении им владения предъявленным идентификатором. Данные проверки проводятся на этапе аутентификации пользователя.

Под аутентификацией понимают подтверждение пользователем предъявленного идентификатора, проверка его подлинности и принадлежности именно данному пользователю. Аутентификация выполняется для устранения фальсификации на этапе идентификации.

В качестве аутентифицирующей информации может использоваться, например (пауза… затем вопрос студентам: как вы думаете, что может использоваться в качестве аутентификатора?), пароль, секретный код, пин-код и т.д. Информация, используемая субъектом для аутентификации, должна сохраняться им в секрете. Хищение данной информации ведет к тому, что злоумышленник сможет пройти этап идентификации и аутентификации без обнаружения фальсификации.

Этапы идентификации и аутентификации пользователя объединяются в единой подсистеме, называемой подсистемой идентификации и аутентификации (И/АУ).

Атаки на подсистему идентификации и аутентификации пользователя являются одними из наиболее распространенных и привлекательных для злоумышленника, так как, пройдя этап И/АУ, он получает все права легального пользователя, идентификатор которого был использован. В связи с этим, обеспечение стойкости ко взлому подсистемы И/АУ пользователя является очень важной задачей для безопасного функционирования компьютерной системы.

Стойкость ко взлому подсистемы идентификации и аутентификации определяется гарантией того, что злоумышленник не сможет пройти аутентификацию, присвоив чужой идентификатор или украв его.

Наиболее распространенными системами И/АУ пользователя являются:

- парольные системы И/АУ;

- технические системы И/АУ;

- биометрические системы И/АУ.

Парольные системы идентификации и аутентификации пользователей

Парольные системы идентификации/аутентификации являются одними из основных и наиболее распространенных в СЗИ методов пользовательской аутентификации. В данном случае информацией, аутентифицирующей пользователя, является некоторый секретный пароль, известный только легальному пользователю.

Совокупность идентификатора и пароля пользователя – основные составляющие его учетной записи. База данных пользователей парольной системы содержит учетные записи всех пользователей КС.

Парольные системы являются зачастую «передним краем обороны» всей системы безопасности. Отдельные ее элементы могут быть расположены в местах, открытых для доступа потенциальному злоумышленнику (в том числе и база данных учетных записей пользователей). В связи с этим, парольные системы становятся одним из наиболее привлекательных для злоумышленника объектов атаки.

Основными типами угроз безопасности парольных систем являются:

1. Перебор паролей в интерактивном режиме (ввел один пароль – неверный, другой – неверный и т.д.).

2. Подсмотр пароля (например, при вводе пароля).

3. Преднамеренная передача пароля его владельцем другому лицу (например, можно передать пароль жене или другу).

4. Кража базы данных учетных записей пользователей с дальнейшим ее анализом, подбором пароля (на компьютерах, работающих под Windows, учетные записи всех пользователей хранятся в sam-файле: c:/windows/system32/config/sam).

5. Перехват вводимого пароля путем внедрения в КС программных закладок (клавиатурных шпионов); перехват пароля, передаваемого по сети.

Многие недостатки парольных систем связаны с наличием человеческого фактора, который проявляется в том, что пользователь часто стремится выбрать пароль, который легко запомнить (а значит и подобрать), записать сложный пароль. Легальный пользователь способен ввести пароль так, что его могут увидеть посторонние, передать пароль другому лицу намеренно или под влиянием заблуждения.

Для уменьшения деструктивного влияния человеческого фактора необходимо реализовать ряд требований к выбору и использованию паролей.

1. Задание минимальной длины пароля для затруднения подбора пароля злоумышленником «в лоб» (полный перебор, brute-forcing) и подсмотра.

2. Использование в пароле различных групп символов для усложнения подбора злоумышленником пароля «в лоб».

3. Проверка и отбраковка пароля по словарю для затруднения подбора пароля злоумышленником с использованием словарей.

4. Установление максимального срока действия пароля для затруднения подбора пароля злоумышленником «в лоб», в том числе и в режиме «off-line» при взломе предварительно похищенной базы данных учетных записей пользователей.

5. Применение эвристического алгоритма, бракующего «плохие» пароли для усложнения подбора пароля «по словарю» или на основе эвристического алгоритма.

6. Ограничение числа попыток ввода пароля для предотвращения интерактивного подбора пароля злоумышленником.

7. Использование задержки при вводе неправильного пароля для предотвращения интерактивного подбора пароля злоумышленником.

8. Поддержка режима принудительной смены пароля для эффективности реализации требования, ограничивающего максимальный срок действия пароля.

9. Запрет на выбор пароля самим пользователем и автоматическая генерация паролей для затруднения использования злоумышленником эвристического алгоритма подбора паролей.

ЛЕКЦИЯ №5

«Тест №1» по лекциям 1-4

ЛЕКЦИЯ №6

Идентификация и аутентификация пользователей с использованием технических устройств

При идентификации/аутентификации пользователей с использованием технических устройств, в качестве пользовательского идентификатора используется некоторое устройство, содержащее уникальный идентификационный номер, используемый для решения задач идентификации владельца, а в отдельных случаях и секретную аутентифицирующую информацию, ограничивающую доступ к устройству. Широко распространенными техническими устройствами, используемыми для решения задач идентификации/аутентификации пользователей, являются:

- идентификаторы iButton (Touch Memory);

- бесконтактные радиочастотные карты proximity;

- пластиковые карты;

- ключи e-Token.

Устройства идентификации iButton

Устройства iButton являются разработкой американской компании Dallas Semiconductor (www.ibutton.com). Внешний вид данных устройств представлен на рис. 7.

Рис. 7. Внешний вид идентификаторов iButton

iButton представляет собой энергонезависимую память, размещенную в металлическом корпусе, с одним сигнальным контактом и одним контактом земли. Корпус, по виду напоминающий миниатюрную батарею, имеет диаметр 16,25 мм и толщину 3,1 или 5,89 мм – в зависимости от модификации прибора. В структуре iButton можно выделить следующие основные блоки.

1. Постоянное запоминающее устройство (ПЗУ), которое хранит 64-разрядный код, состоящий из 1 байтового кода типа прибора, 48-битового уникального серийного номера (используемого для идентификации владельца) и 8-битовой контрольной суммы. Содержимое ПЗУ уникально и не может быть изменено в течение всего срока службы прибора.

2. Оперативное запоминающее устройство. В одной из модификации iButton оперативная память аппаратно защищена от несанкционированного доступа.

3. Встроенная миниатюрная литиевая батарейка со сроком службы не менее 10 лет, обеспечивающая питанием все блоки устройства.

Достоинствами устройств iButton является их невысокая стоимость и простота использования.

Недостатками устройств iButton являются:

1. Сравнительно низкая скорость передачи информации (в целом не критично).

2. Высокая вероятность сбоя в процессе чтения (контакт iButton с устройством чтения чаще всего производится вручную без дополнительной фиксации).

Устройства iButton главным образом используются для идентификации пользователей в системах управления физическим доступом в помещения, доступом к ПК. Аутентификация пользователей в этом случае происходит другими средствами, не связанными с iButton (ввод пароля с клавиатуры, набор кодовой комбинации на кодовом замке и т.п.).

Бесконтактные радиочастотные карты prоximity

Бесконтактные радиочастотные карты proximity (см. рис. 8) срабатывают на расстоянии и не требуют четкого позиционирования, что обеспечивает их устойчивую работу, удобство использования и высокую пропускную способность. Для срабатывания карты ее достаточно поднести на некоторое расстояние к считывателю.

Рис. 8. Карты proximity

Считыватель генерирует электромагнитное излучение определенной частоты и, при внесении карты в зону действия считывателя, это излучение через встроенную в карте антенну записывает чип карты. Получив необходимую для работы энергию, карта пересылает на считыватель свой идентификационный номер с помощью электромагнитного импульса. При этом карта может находиться в кармане.

Иногда этот тип карт обозначают термином «Hands Free» – «Свободные руки». Нередко идентификаторы proximity изготавливают в виде брелков.

Время считывания информации с карты – не более 0,1 сек. Считыватель может быть вмонтирован в стену или закреплен с обратной стороны двери, что повышает степень его защиты от вандализма.

По типу питания карты подразделяются на пассивные, в которых используется энергия излучения считывателя, и активные, питание которых осуществляется от миниатюрной батарейки. Каждая карта имеет свой индивидуальный идентификационный код. Технология производства делает чрезвычайно сложной их подделку.

Расстояние считывания пассивных карт – от 10 до 70 см в зависимости от типа считывателя. Активные карты обеспечивают дальность считывания 1-2 м, однако наличие незаменяемой батарейки приводит к их удорожанию и уменьшению срока службы. Поэтому чаще всего используются пассивные бесконтактные карты. Срок их службы практически неограничен.

Для повышения уровня секретности вместе со считывателем может быть установлена pin-кодовая панель (клавиатура) для набора персонального идентификационного кода (PIN-кода), известного только законному владельцу карты доступа (набор PIN-кода соответствует прохождению этапа аутентификации).

Карты доступа часто оформляются в виде пропусков с нанесением на них фотографии, названия организации и информации о владельце.

Пластиковые карты

Пластиковая карта представляет собой пластину размерами 85,6х53,9х0,76мм, изготовленную из специальной, устойчивой к механическим и термическим воздействиям пластмассы (см. рис. 9).

Рис. 9. Пластиковые карты Ase фирмы Athena

Одна из основных функций пластиковой карты – обеспечение идентификации, а для некоторых типов карт и аутентификации ее владельца. Выделяют пассивные и активные пластиковые карты. Пассивные карты выполняют только функцию хранения информации без возможности ее обработки. Активные карты могут кроме хранения выполнять функцию обработки информации в активном режиме.

Среди пассивных карт различают карты со штрих кодом, карты с магнитной полосой. Среди активных карт выделяют карты-счетчики, карты с памятью, карты с микропроцессором (интеллектуальные карты).

Пассивные карты используются только для задач идентификации их владельца.

В картах со штрих кодом в качестве идентифицирующего элемента используется штрих-код. Широкое распространения данные карты получили при идентификации продаваемых товаров в магазинах.

Карты с магнитной полосой используют магнитную полосу для хранения информации. Магнитная полоса располагается на обратной стороне карты и состоит из трех дорожек. Первые две из них предназначены для хранения идентифицирующей информации, на третьей дорожке можно записывать информацию. Из-за невысокой надежности многократной записи, такие карты для записи не используются и практикуются только для считывания информации.

Активные карты могут кроме задачи идентификации выполнять аутентификацию владельца путем введения секретного PIN-кода.

Карты-счетчики применяются в платежных операциях в тех случаях, когда та или иная из них требует уменьшения остатка на счете держателя карты на некоторую фиксированную сумму. Подобные карты используются в специализированных приложениях с предоплатой (использование телефона-автомата, оплата автостоянки, метро и т.д.).

Карты с памятью представляют собой переходный вариант от карт-счетчиков к картам с микропроцессором. Это перезаписываемая карта, допускающая многократную запись и многократное считывание. Карты с памятью делятся на два типа – с незащищенной памятью и защищенной. В картах первого типа нет никаких ограничений на чтение и запись данных. Карты второго типа содержат область идентификационных данных и одну или несколько прикладных областей. Область идентификационных данных допускает однократную запись и многократное считывание. Доступ к прикладным областям регламентируется и осуществляется только при выполнении определенных операций, в частности при вводе секретного PIN-кода. Уровень защиты у карт с защищенной памятью выше, чем у карт с магнитной полосой. Они могут быть использованы в системах, в которых финансовые риски, связанные с мошенничеством, относительно невелики (таксофоны, проезд в транспорте, здравоохранение, и т.д.). Данные карты могут применяться также в системах разграничения доступа в помещения и к компьютерным ресурсам.

Карты с микропроцессором (называемые также интеллектуальными картами или смарт-картами) представляют собой, по сути, компьютеры в миниатюре, содержащие в себе такие компоненты, как:

1. Микропроцессор, предназначенный для обработки и защиты информации, хранящейся на карте.

2. Постоянная память, в которой записано программное обеспечение карты, ее операционная система.

3. Оперативная память, служащая для хранения временных данных при расчетах (например, при выполнении криптографических операций).

4. Энергонезависимая память, в которой размещаются данные по используемым ключам, электронным кошелькам и другие сведения, изменяемые довольно редко.

5. Система ввода-вывода.

USB ключи e-Token являются полнофункциональными аналогами смарт-карт, однако не требуют специального дорогого устройства чтения и подсоединяются к разъему USB, что достаточно удобно. Использование данных ключей предпочтительно в компьютерных системах.