Система защиты информации при обработке информации средствами вычислительной техники

 

Кратко остановимся на основных правилах и методах применяемых для разграничения доступа.

Идентификация позволяет субъекту (пользователю, процессу, действующему от имени определенного пользователя, или иному аппаратно-программному компоненту) назвать себя (сообщить свое имя). Посредством аутентификации вторая сторона убеждается, что субъект действительно тот, за кого он себя выдает. В качестве синонима слова «аутентификация» иногда используют словосочетание «проверка подлинности».

Аутентификация бывает односторонней (обычно клиент доказывает свою подлинность серверу) и двусторонней (взаимной). Пример односторонней аутентификации – процедура входа пользователя в систему.

Субъект может подтвердить свою подлинность, предъявив, по крайней мере, одну из следующих сущностей:

· то, что он знает (пароль, личный идентификационный номер, криптографический ключ и т.п.);

· то, чем он владеет (личную карточку или иное устройство аналогичного назначения);

· то, что есть часть его самого (голос, отпечатки пальцев и т.п., т. е. свои биометрические характеристики).

Современные средства идентификации/аутентификации должны поддерживать концепцию единого входа в сеть. Единый вход в сеть – это, в первую очередь, требование удобства для пользователей. Если в корпоративной сети много информационных сервисов, допускающих независимое обращение, то многократная идентификация/аутентификация становится слишком обременительной.

Главное достоинство парольной аутентификации – простота и привычность. При правильном использовании пароли могут обеспечить приемлемый для многих организаций уровень безопасности. Тем не менее по совокупности характеристик их следует признать самым слабым средством проверки подлинности.

Значительно повысить надежность парольной защиты позволяют следующие меры:

· наложение технических ограничений (пароль должен быть не слишком коротким, он должен содержать буквы, цифры, знаки пунктуации и т.п.);

· управление сроком действия паролей, их периодическая смена;

· ограничение доступа к файлу паролей;

· ограничение числа неудачных попыток входа в систему (это затруднит применение «метода лобовой атаки»);

· использование программных генераторов паролей.

Указанные пароли можно назвать многоразовыми. Их раскрытие позволяет злоумышленнику действовать от имени легального пользователя. Более сильным средством, устойчивыми средствами к пассивному прослушиванию сети являются одноразовые пароли.

Другой подход к надежной парольной идентификации/аутентификации состоит в генерации нового пароля через небольшой промежуток времени (например, каждые 60 с.), для чего могут использоваться программы или специальные интеллектуальные карты (с практической точки зрения такие пароли можно считать одноразовыми). Серверу аутентификации должен быть известен алгоритм генерации паролей и ассоциированные с ним параметры; кроме того, часы клиента и сервера должны быть синхронизированы.

Вместо парольной идентификации для усиления защиты разграничения доступа часто используют биометрию, которая представляет собой совокупность автоматизированных методов идентификации и/или аутентификации людей на основе их физиологических и поведенческих характеристик.

К физиологическим характеристикам принадлежат особенности отпечатков пальцев, сетчатки и роговицы глаз, геометрия руки и лица и т.п.

К поведенческим характеристикам относятся динамика подписи (ручной), стиль работы с клавиатурой. На стыке физиологии и поведения находятся анализ особенностей голоса и распознавание речи.

При принятии решения о предоставлении доступа к конфиденциальной информации в информационных системах обычно анализируется следующая информация:

· идентификатор субъекта (идентификатор пользователя, сетевой адрес компьютера и т.п.). Подобные идентификаторы являются основой произвольного (или дискреционного) управления доступом;

· атрибуты субъекта (метка безопасности, группа пользователя и т.п.). Метки безопасности содержат данные об уровне секретности и категории, к которой относятся данные. Согласно «Оранжевой книге», метки безопасности состоят из двух частей – уровня секретности и списка категорий.

· списки доступа – исключительно гибкое средство. С их помощью легко выполнить требование о разделении прав с точностью до пользователя. Посредством списков несложно добавить права или явным образом запретить доступ. Безусловно, списки являются лучшим средством произвольного управления доступом.