Методы контроля доступа к информации

Введение

Проблема защиты информации от постороннего доступа и нежелательных воздействий на нее возникла давно, с той поры, когда человеку по каким-либо причинам не хотелось делиться ею ни с кем или не с каждым человеком. С развитием человеческого общества, появлением частной собственности, государственного строя, борьбой за власть и в дальнейшем расширением масштабов человеческой деятельности информация приобретает цену. Ценной становится та информация, обладание которой позволит ее существующему и потенциальному владельцу получить какой-либо выигрыш: материальный, политический, военный и т.д.

В период существования примитивных носителей информации ее защита осуществлялась организационными методами, которые включали ограничение и разграничение доступа, определенные меры наказания за разглашение тайны. По свидетельству Геродота, уже в V веке до новой эры использовалось преобразование информации методом кодирования. Коды появились в глубокой древности в виде криптограмм (по-гречески — тайнопись). Спартанцы имели специальный механический прибор, при помощи которого важные сообщения можно было писать особым способом, обеспечивающим сохранение тайны. Собственная секретная азбука была у Юлия Цезаря. В средние века и эпоху Возрождения над изобретением тайных шифров трудились многие выдающиеся люди, в их числе известный философ Френсис Бэкон, крупные математики — Франсуа Виет, Джероламо Кардано, Джон Валлис.

С переходом на использование технических средств связи информация подвергается воздействию случайных процессов: неисправностям и сбоям оборудования, ошибкам операторов и т. д., которые могут привести к ее разрушению, изменениям на ложную, а также создать предпосылки к доступу к ней посторонних лиц. С дальнейшим усложнением и широким распространением технических средств связи возросли возможности для преднамеренного доступа к информации.

С появлением сложных автоматизированных систем управления, связанных с автоматизированным вводом, хранением, обработкой и выводом информации, проблема ее защиты приобретает еще большее значение.

Цель моей курсовой подробно изучить способы контроля доступа к информации.

Для достижения поставленной цели необходимо решить следующие задачи:

      Классифицировать идентификацию и аутентификацию;

      Изучить виды и алгоритмы работы идентификации и аутентификации;

      Исследовать виды и алгоритмы работы биометрических систем защиты;

      Изучить сканер отпечатков пальцев на примере Atmel FingerChip

ГЛАВА 1 Подходы к идентификации и аутентификации

Несмотря на сложность и труднопроизносимость терминов "идентификация" и "аутентификация", каждый пользователь современных информационных систем сталкивается с процедурами, скрывающимися за этими терминами, неоднократно в течение рабочего дня.

Не углубляясь в технические подробности, можно сказать, что эти процедуры выполняются каждый раз, когда пользователь вводит пароль для доступа к компьютеру, в сеть, к базе данных или при запуске прикладной программы. В результате их выполнения он получает либо доступ к ресурсу, либо вежливый отказ в доступе.

Этот процесс состоит из двух частей – идентификации и аутентификации. Эти процедуры неразрывно связаны между собой, поскольку способ проверки определяет, каким образом и что пользователь должен предъявить системе, чтобы получить доступ.

Процесс узнавания пользователя компьютером начинается с его идентификации, т. е. ответа на вопрос «А кто это?». Например, при входе пользователя в различные операционные системы следует ввести логин – имя, по которому пользователь известен данной системе. По логину из многих пользователей, зарегистрированных в системе, компьютер выбирает одного. На этом идентификация заканчивается, и начинается аутентификация – процесс доказательства пользователем, что это именно он, а не кто-либо еще.

Идентификацию часто называют опознаванием «один из многих» – определение одного пользователя из многих вероятных, а аутентификацию – опознаванием «один к одному», т. е. правильно ли пользователь идентифицирован. Компьютер выполняет аутентификацию на основе определенной уникальной информации, которая характеризует конкретного пользователя системы. Такая информация называется аутентификационной. В зависимости от ее типа методы аутентификации классифицируют следующим образом:

1. Пользователь знает некую уникальную информацию, которую он предъявляет компьютеру при аутентификации. Например, пароль, который необходимо ввести для входа в систему.

2. Пользователь имеет уникальный предмет или предмет с уникальным содержимым.

В обычной жизни таким предметом является ключ от любого замка. Компьютеру же предъявить такой ключ достаточно сложно, поэтому используются другие предметы, более характерные для компьютера. Рассмотрим их позже.

3. Аутентификационная информация является неотъемлемой частью пользователя. На такой информации основаны методы биометрической аутентификации, т. е. аутентификации пользователей по их уникальным биометрическим признакам. Достаточно часто методы аутентификации комбинируют, например, используя одновременно пароль пользователя и отпечаток его пальца. Такая аутентификация называется двухфакторной.

1.1 Этапы аутентификации

Процесс аутентификации пользователя компьютером можно разделить на два этапа [1]:

      подготовительный – выполняется при регистрации пользователя в системе. Именно тогда у пользователя запрашивается образец аутентификационной информации, например, пароль или контрольный отпечаток пальца, который будет рассматриваться системой как эталон при аутентификации;

      штатный – образец аутентификационной информации запрашивается у пользователя снова и сравнивается с хранящимся в системе эталоном. Если образец схож с эталоном с заданной точностью – пользователь считается узнанным, в противном случае пользователь будет считаться чужим, результатом чего будет отказ в доступе на компьютер.

Для аутентификации пользователя компьютер должен хранить некую таблицу имен пользователей и соответствующих им эталонов:

В наиболее простом варианте эталоном может быть просто пароль, хранящийся в открытом виде. Однако такое хранение защищает только от непривилегированных пользователей системы – администратор системы вполне сможет получить все пароли пользователей, хранящиеся в таблице, и впоследствии входить в систему от имени любого пользователя (например, для выполнения каких-либо злоумышленных действий, которые будут записаны на другого). Кроме того, известен факт, что подавляющее большинство пользователей используют 1–3 пароля на все случаи жизни. Поэтому узнанный злоумышленником пароль может быть применен и к другим системам или программам, в которых зарегистрирован его владелец. Наиболее часто эталон представляет собой результат какой-либо обработки аутентификационной информации, то есть Ei = f(Ai), где Ai – аутентификационная информация, а f(...) – например, функция хэширования (расчет контрольной суммы данных с использованием криптографических методов – хэша). Хэширование достаточно часто применяется в протоколах межсетевого обмена данными, а также необходимо для использования электронной цифровой подписи.

Есть и другие варианты хранения эталонов, например, такой: Ei = f(IDi, Ai). Этот вариант лучше предыдущего тем, что при одинаковых паролях двух пользователей их эталоны будут выглядеть по-разному. Впрочем, в данном случае вместо имен пользователей подойдет и любая случайная последовательность, ее лишь придется хранить в той же таблице для последующего вычисления эталонов в процессе аутентификации [2].

В любом случае функция вычисления эталона из аутентификационной информации должна быть однонаправленной, т. е. легко рассчитываться, но представлять собой вычислительную проблему при попытке вычисления в обратном направлении.

1.2 Парольная аутентификация. Пользователь «знает»

Простым примером пользователь «знает», является парольная аутентификация. Метод аутентификации по паролю является наиболее традиционным и распространенным. Конечно же, нет ничего проще проверить, знает ли пользователь некое кодовое слово или последовательность. Однако парольная аутентификация имеет много недостатков. Основные недостатки парольной аутентификации таковы [3]:

      достаточно часто пользователи применяют легко предсказуемые пароли, например: пароль эквивалентен имени пользователя или имени пользователя в обратной последовательности, или какой-либо другой производной от имени пользователя;

      пароль является словом или фразой какого-либо языка – пароль может быть подобран путем словарной атаки, т. е. перебора в качестве пароля всех слов по словарю; программы, выполняющие подобные атаки, существуют в Интернете в великом множестве; правда, пользователи стали хитрее – они пытаются заменить некоторые буквы слова похожими по написанию цифрами и значками, например, password p@ssw0rd, но и программы, реализующие словарные атаки, теперь умеют то же самое: заменять ‘a’ на ‘@’, ‘i’ на ‘1’ и т. д.; – короткие пароли еще хуже – они могут быть подобраны простым перебором всех возможных вариантов;

      существуют различные программы подбора паролей для наиболее популярных приложений и операционных систем. Например, на сайте www.lostpassword.com можно найти программу Word Password Recovery Key, которая позволяет подобрать пароль к документу Microsoft Word, защищенному паролем. Это достаточно мощное средство, позволяющее перебирать пароли как полным перебором (для коротких паролей), так и словарной атакой, причем с подключением словарей различных языков, а также перебором при некоторых известных или предполагаемых символах пароля. Программа Word Password Recovery Key является абсолютно легальной и адресована тем пользователям, кто забыл пароль какого-либо важного документа. Однако она может быть использована и любым злоумышленником уже для не столь безобидных целей;

      пароль может быть перехвачен или подсмотрен при его вводе либо получен путем применения насилия к его владельцу.

1.3 Аутентификация по уникальному предмету. Пользователь «есть»

Уникальность предмета, по которому выполняется аутентификация пользователя компьютером, определяется информацией, которую он содержит. Для аутентификации часто используются следующие носители информации:

      USB-токены – представляют собой устройства с различной степенью интеллекта, подключаемые к порту USB компьютера;

      смарт-карты – по функциональности похожи на USB-токены, но работа с ними осуществляется с помощью специальных устройств, называемых ридерами смарт-карт;

      электронные таблетки iButton (или Touch Memory) – это те самые ключи к домофонам, которыми оборудовано большинство подъездов в Оренбурге; могут подключаться и к компьютеру через специальный коннектор;

      карты с магнитной полосой – аналогичные тем, которые используются в качестве билетов в автобус или метро; также требуют специального считывателя для использования компьютером.

Вышеперечисленные предметы постоянно эволюционируют: карты с магнитной полосой известны относительно давно, смарт-карты вошли в массовое использование около десяти лет позже. Да и каждый тип носителя существует в различных вариантах (исключая только карты с магнитной полосой). Например, в настоящее время используются смарт-карты трех категорий:

      карты с открытой памятью – функциональный аналог магнитных карт, способны лишь хранить какую-либо информацию в открытом виде;

      карты с защищенной памятью – для доступа к хранящейся в них информации необходимо предъявление пароля (PIN-кода);

      микропроцессорные карты – фактически сочетают функции карт с защищенной памятью и различные криптографические функции.

Простейший вариант «предметной» аутентификации состоит в том, что предмет просто хранит в открытом виде имя пользователя и его пароль. «Продвинутые» носители, например, микропроцессорные смарт-карты и подавляющее большинство USB-токенов, могут быть активными участниками процесса аутентификации (а не просто передавать по требованию пароль пользователя), что незаменимо для строгой аутентификации. В последнем случае (да и в случае смарт-карт с защищенной памятью и их аналогов) аутентификация с помощью предмета является существенно более надежной, чем парольная. Кроме того, предметы часто используются в качестве одного их факторов двухфакторной аутентификации, где в качестве второго фактора выступает пароль – например, для использования смарт-карт с защищенной памятью, микропроцессорных смарт-карт и USB-токенов необходимо предварительно предъявить PIN-код.

Предметная аутентификация также имеет ряд недостатков:

      предмет может быть похищен или отобран у его владельца;

      для всех предметов, кроме USB-токенов, требуется специальное оборудование для их подключения к компьютеру

      для всех предметов, кроме микропроцессорных смарт-карт и их функциональных аналогов, возможно изготовление копии или эмулятора предмета.

1.4 Биометрическая аутентификация. Пользователь «имеет»

Биометрическая аутентификация – это аутентификация пользователя по его уникальным биометрическим характеристикам. Уникальными являются, например, следующие характеристики: