Средствах авторизации и аутентификации в информационных системах

 

 

СОДЕРЖАНИЕ

 

 

ВВЕДЕНИЕ

 

Актуальность темы данной работы заключается в том, что информация является одним из наиболее ценных ресурсов любой компании, поэтому обеспечение защиты информации является одной из важнейших и приоритетных задач.

В современном мире невозможно представить себе офис какой-либо компании без компьютеров. С их помощью обрабатывается вся информация, создаются документы, ведется бухгалтерский учет и выполняется множество другой необходимой работы. Между тем многие данные, хранящиеся на ПК, являются конфиденциальными и составляют коммерческую тайну, которую необходимо защищать.

Для того чтобы обеспечить конфиденциальность информации необходимо ограничить к ней доступ. Другими словами необходимо знать, кто получил доступ к информации, и быть уверены, что это именно тот человек, за которого он себя выдает.

Для достижения этих целей используют процедуры авторизации и аутентификации.

Таким образом, целью данной работы является рассмотрение вопроса о средствах авторизации и аутентификации в информационных системах.

 

 

1. Общие понятия и определения

Безопасность информационной системы - это свойство, заключающее в способности системы обеспечить ее нормальное функционирование, то есть обеспечить целостность и секретность информации [15]. Для обеспечения целостности и конфиденциальности информации необходимо обеспечить защиту информации от случайного уничтожения или несанкционированного доступа к ней.

Под целостностью понимается невозможность несанкционированного или случайного уничтожения, а также модификации информации . Под конфиденциальностью информации - невозможность утечки и несанкционированного завладения хранящейся, передаваемой или принимаемой информации [12, с. 24].

Существует достаточно много возможных направлений утечки информации и путей несанкционированного доступа к ней в системах и сетях:

• перехват информации;
• модификация информации (исходное сообщение или документ изменяется или подменяется другим и отсылается адресату);
• подмена авторства информации (кто-то может послать письмо или документ от вашего имени);
• использование недостатков операционных систем и прикладных программных средств;
• копирование носителей информации и файлов с преодолением мер защиты;
• незаконное подключение к аппаратуре и линиям связи;
• маскировка под зарегистрированного пользователя и присвоение его полномочий;
• введение новых пользователей;
• внедрение компьютерных вирусов и так далее.

Для обеспечения безопасности информационных систем применяют системы защиты информации, которые представляют собой комплекс организационно-технологических мер, программно-технических средств и правовых норм, направленных на противодействие источникам угроз безопасности информации.

При комплексном подходе методы противодействия угрозам интегрируются, создавая архитектуру безопасности систем. Необходимо отметить, что любая системы защиты информации не является полностью безопасной. Всегда приходиться выбирать между уровнем защиты и эффективностью работы информационных систем.

К средствам защиты информации ИС от действий субъектов относятся:

1. средства защита информации от несанкционированного доступа;
2. защита информации в компьютерных сетях;
3. криптографическая защита информации;
4. электронная цифровая подпись;
5. защита информации от компьютерных вирусов.

В рамках темы данной работы рассмотрим первые четыре подпункта, которые осуществляются с помощью авторизации и аутентификации.

Авторизация - проверка полномочий или проверка права пользователя на доступ к конкретным ресурсам и выполнение определенных операций над ними. Авторизация проводится с целью разграничения прав доступа к сетевым и компьютерным ресурсам [7, с. 32].

Аутентификация - установление подлинности пользователя, представившего идентификатор или проверка того, что лицо или устройство, сообщившее идентификатор является действительно тем, за кого оно себя выдает [6, с. 22].

Рассмотрим средства авторизации и аутентификации более подробно.

 

 

2. Авторизация

Авторизация пользователей осуществляется с использованием следующих основных механизмов реализации разграничения доступа:

• механизмов избирательного управления доступом, основанных на использовании атрибутных схем, списков разрешений и т.п.;
• механизмов полномочного управления доступом, основанных на использовании меток конфиденциальности ресурсов и уровней допуска пользователей;
• механизмов обеспечения замкнутой среды доверенного программного обеспечения (индивидуальных для каждого пользователя списков разрешенных для использования программ), поддерживаемых механизмами идентификации и аутентификации пользователей при их входе в систему.

Технические средства разграничения доступа к ресурсам автоматизированной системы (АС) должны рассматриваться как составная часть единой системы контроля доступа субъектов:

• на контролируемую территорию;
• в отдельные здания и помещения организации;
• к элементам АС и элементам системы защиты информации (физический доступ);
• к информационным и программным ресурсам АС.

Механизмы управления доступом субъектов к объектам доступа выполняют основную роль в обеспечении внутренней безопасности компьютерных систем. Их работа строится на концепции единого диспетчера доступа. Сущность этой концепции состоит в том, что диспетчер доступа (монитор ссылок) - выступает посредником-контролером при всех обращениях субъектов к объектам.

Диспетчер доступа выполняет следующие основные функции (рисунок 1).

• проверяет права доступа каждого субъекта к конкретному объекту на основании информации, содержащейся в базе данных системы защиты (правил разграничения доступа);

Рисунок 1 - Схема работы механизма разграничения доступа

• разрешает (производит авторизацию) или запрещает (блокирует) доступ субъекта к объекту;
• при необходимости регистрирует факт доступа и его параметры в системном журнале (в том числе попытки несанкционированного доступа с превышением полномочий).

Основными требованиями к реализации диспетчера доступа являются:

• полнота контролируемых операций (проверке должны подвергаться все операции всех субъектов над всеми объектами системы, - обход диспетчера предполагается невозможным);
• изолированность диспетчера, то есть защищенность самого диспетчера от возможных изменений субъектами доступа с целью влияния на процесс его функционирования;
• возможность формальной проверки правильности функционирования;
• минимизация используемых диспетчером ресурсов (накладных расходов) [13].

В общем виде работа средств разграничения доступа субъектов к объектам основана на проверке сведений, хранимых в базе данных защиты.

Под базой данных защиты понимают базу данных, хранящую информацию о правах доступа субъектов к объектам.

Для внесения изменений в базу данных защиты система разграничения доступа должна включать средства для привилегированных пользователей (администраторов безопасности, владельцев объектов и т.п.) по ведению этой базы. Такие средства управления доступом должны обеспечивать возможность выполнения следующих операций:

• добавления и удаления объектов и субъектов;
• просмотра и изменения соответствующих прав доступа субъектов к объектам [15].

Форма представления базы данных защита может быть различной. Основу базы данных средств разграничения доступа в общем случае составляет абстрактная матрица доступа или ее реальные представления (рисунок 2). Каждая строка этой матрицы соответствует субъекту, а столбец - объекту АС. Каждый элемент этой матрицы представляет собой кортеж (упорядоченную совокупность значений), определяющий права доступа (для всех возможных видов доступа - чтение, модификация, удаление и т.п.) определенного субъекта к определенному объекту.

Рисунок 2 - Матрица избирательного управления доступом

 

 

 

 

 

 

 

3. Аутентификация

Фактор аутентификации – это определенный вид уникальной информации, предоставляемый субъектом системе при его аутентификации.

Всего различают четыре фактора аутентификации:

• Субъект имеет нечто (дискету, токен и т.д.);
• Субъект знает нечто (пароль, логин и т.д.);
• Субъект обладает некой биологической особенностью  (отпечаток пальца, структура ДНК и т.д.);
• Субъект находится в определенном месте (IP-адрес, данные от радио-метки и т.д.) [11, с. 105].

Аутентификация пользователей осуществляется обычно:

• путем проверки знания ими паролей (специальных секретных последовательностей символов);
• путем проверки владения ими какими-либо специальными устройствами (карточками, ключевыми вставками и т.п.) с уникальными признаками;
• путем проверки уникальных физических характеристик и параметров (отпечатков пальцев, особенностей радужной оболочки глаз, формы кисти рук и т.п.) самих пользователей при помощи специальных биометрических устройств.

Для защиты от несанкционированного доступа к персональным компьютерам, серверам и другому оборудованию применяются механизмы аутентификации, использующие различные характеристики пользователей (рисунок 3).

Самый распространенный способ аутентификации – парольный. Однако слабая парольная защита не удовлетворяет современному уровню требований информационной безопасности. Надежность этого способа аутентификации в значительной степени зависит от человеческого фактора, то есть от того, насколько качественные ключевые слова будут выбирать пользователи и насколько серьезно они будут относиться к их хранению. Часто сотрудники стараются упростить свою жизнь, нарушая при этом правила безопасности, и фактически, подчас сами того не сознавая, открывают злоумышленникам дорогу к «святая святых» - коммерческой информации компании.

Рисунок 3 - Информация, используемая для аутентификации пользователей

При использовании биометрии пользователь предоставляет образец — опознаваемое, необработанное изображение или запись физиологической или поведенческой характеристики - с помощью регистрирующего устройства (например, сканера или камеры) [3, с. 75]. Этот биометрический образец обрабатывается для получения информации об отличительных признаках, в результате чего получается контрольный шаблон (или шаблон для проверки). Шаблоны представляют собой достаточно большие числовые последовательности; сам образец невозможно восстановить из шаблона. Контрольный шаблон и есть «пароль» пользователя. Контрольный шаблон сравнивается с эталонным или зарегистрированным шаблоном, созданным на основе нескольких образцов определенной физиологической или поведенческой характеристики пользователя, взятых при его регистрации в биометрической системе. Поскольку эти два параметра (контрольный и эталонный шаблон) полностью никогда не совпадают, то биометрической системе приходится принимать решение о том, «достаточно» ли они совпадают. Степень совпадения должна превышать определенную настраиваемую пороговую величину. 

В силу этих ограничений, биометрию нельзя относить к методам строгой аутентификации, т.к. по своей природе она является вероятностной и подвержена различным видам атак (подделка отличительной черты; воспроизведение поведения пользователя; перехват биометрических показателей; воспроизведение биометрической подписи).

Аутентификация с помощью аппаратных средств бывает двух видов (рисунок 4):

• по схеме запрос-ответ;
• по схеме аутентификации с синхронизацией.

Рисунок 4 - Функции, реализуемые аппаратными средствами аутентификации (смарт-карты, USB-ключи, Touch-Memory)

В первом случае пользователь подключается к серверу аутентификации и передает ему PIN или User ID. Сервер передает пользователю случайное число, которое пересылается на подключенную к пользовательской машине интеллектуальную карту. Карта шифрует полученное число и передает результат серверу. Сервер также шифрует посланное им случайное число, используя ключ пользователя. Сравнение шифртекста, полученного от пользователя, и шифртекста, вычисленного на сервере, позволяет аутентифицировать пользователя. В схеме с синхронизацией по времени на аппаратном устройстве пользователя (интеллектуальной карте и т.д.) и на сервере работает секретный алгоритм, который синхронно вырабатывает новые пароли и заменяет старые пароли на новые. При аутентификации пользователь вводит свой PIN или User ID и устанавливает в ридере персональную интеллектуальную карту. Сравнение пароля, считанного с карты, с полученным на сервере, позволяет ли аутентифицировать пользователя.