Аутентификация на знании

Аутентификация, основанная на знании – субъект, обращающийся к АС, или активный объект АС обладают уникальными сведениями, знаниями, по которым осуществляется сначала их идентификация, а затем аутентификация.

Основные методы реализации: · использование пароля (парольные системы аутентификации); · метод “запрос-ответ”.

Парольные системы аутентификации – каждому зарегистрированному в АС пользователю присваивается регистрационный код (login), выполняющий роль идентификатора, и выдается персональный пароль (password), который он должен держать в тайне и вводить в автоматизированную систему при каждом обращении к ней. Система идентифицирует пользователя и осуществляет отождествление введённого пароля с истинным паролем, который хранится в памяти АС.

	Пароль – секретный набор различных символов. Пароль используется практически в любой компьютерной системе, а во многих системах как единственное средство защиты, и, в этой связи, именно стойкость пароля к вскрытию определяет в первую очередь безопасность всей системы.
Возможные приложения Как элемент системы защиты от НСД, пароль может иметь дополнительные приложения назначения: · определение «свой – чужой» в отношении АС; · подтверждение личности владельца ключевого элемента (кредитной или магнитной карточки); · авторизация прав работы в системе и допуска к информации; · получение специальных прав на выполнение особо важных операций; · исполнение роли ключа в системах шифрования или электронной подписи и т.д. В нашем случае рассматривается только приложение использования пароля для аутентификации.

Пояснение Современные операционные системы включают службу аутентификации, в которой хранится идентификатор и эталонный пароль пользователя. При попытке логического входа в систему пользователь набирает свой идентификатор и пароль, которые поступают в службу аутентификации. По итогам сравнения и отождествления пары login/password с эталонным значением из базы данных учётных записей пользователь может успешно пройти процедуру аутентификации и авторизоваться в системе.

Стандартная схема принятия решения

Анализ

Недостатки парольных систем аутентификации (ПСА): • подбор пароля перебором возможных комбинаций из набора символов, составляющих пароль; • перехват пароля во время его передачи от пользователя в систему или во время выполнения процедуры сравнения и отождествления; • несанкционированное проникновение в область памяти, где хранятся эталонные пароли.

Факторы влияния на безопасность ПСА – стойкость пароля к вскрытию: • способы формирования паролей и их актуализации; • организация хранения массивов эталонных паролей (защита в АС); • технологический регламент использования (технология распространения, сроки действия и своевременность смены, одноразовое использование, реализация самой процедуры аутентификации как средства и т.д.).

Стойкость пароля к вскрытию – это ожидаемое безопасное время, в пределах которого имеет место обоснованная гарантия невозможности вскрытия пароля.

Виды паролей Простые пароли – слово или произвольный набор букв, символов или чисел. Достоинства – произвольная длина, простота формирования, легкое запоминание. Недостатки – негарантированная стойкость к вскрытию. Сложные пароли – случайная выборка символов из алфавита определенной размерности (А), формирование их последовательности по скрытому алгоритму (L) в набор обоснованной для соответствующего уровня стойкости к вскрытию длины (S). Алфавит - любое фиксированное множество букв различных языков (заглавные и прописные), цифр, знаков и обозначений (как правило – алфавитно-знаковый ряд клавиатуре компьютера). Позволяют построить процедуру аутентификации с определённой гарантией стойкости к вскрытию.

Способы формирования и поддержания в актуальном состоянии массивов эталонов паролей: Централизованный способ – массив эталонов паролей подготавливается для всех субъектов и поддерживается в актуальном состоянии специальной службой. Пароли выдаются субъектам под учёт в виде записей в секретных блокнотах. При использовании специальных устройств для хранения и ввода паролей под учёт выдаются сами эти устройства (в данном случае аутентификация осуществляется с помощью паролей, но относится к способу «владения предметом»). Персональный способ (персональная для пользователя функция) – субъекту выделяется защищенная область памяти, куда он самостоятельно заносит сформированный им набор паролей для себя или группы субъектов. Автор несет персональную ответственность за стойкость к вскрытию сформированных паролей.

Технологический аспект ввода паролей В любом случае, если не используются специальные устройства, пароли вводятся с клавиатуры автоматизированного рабочего места, при этом отображение на экране вводимого пароля блокируется. Чтобы избежать случайных технологических ошибок, допускается при неправильном первичном вводе повторять его, как правило, до двух-трёх раз.

Ответственная задача – обеспечение секретности при проверке пароля на правильность и хранении массива эталонов паролей в компьютерной системе.

При проверке введённого пароля на правильность большинство систем построено так, что в памяти для реализации процедуры отождествления присутствует истинный пароль, который можно выделить (например, из выведенного дампа памяти).

Приёмы защиты

* Пароли хранятся в зашифрованном виде и расшифровываются непосредственно перед отождествлением.

* В памяти хранится зашифрованный образ пароля, который формируется путём настройки средств шифрования на основе устанавливаемого пароля. После ввода пароля запрашивающего вход в систему пользователя настраиваются теперь уже средства расшифровки. Расшифровывается истинный пароль, и сравниваются два: введённый и расшифрованный. При неправильно введённом пароле система расшифровки сформируется неправильно и истинный пароль не будет получен. Такой подход даёт гарантию того, что из дампа оперативной памяти нельзя получить истинный пароль при любом неправильно введённом пароле.

* В зависимости от степени доверительных отношений, структуры, особенностей сети построения АС и удалённости субъекта проверка может быть односторонней и взаимной. В большинстве случаев она состоит в процедуре обмена между входящим в систему субъектом и ресурсом, отвечающим за анализ и принятие решения по аутентификации. Для реализации проверки используются протоколы аутентификации. В последнее время, как правило, в этих протоколах используются криптографические преобразования, которые нужны, с одной стороны, для более достоверной аутентификации субъекта, с другой стороны, для защиты от злоумышленника трафика обмена «субъект – система».

* Хранение эталонного массива паролей является отдельной задачей и в различных ОС решается по-разному. Например, в ОС семейства UNIX пароли хранятся с помощью хеш-адресации открытых паролей, что обеспечивает практическую невозможность их восстановления. В ОС Windows NT/2000/XP2003 (для компьютеров, не входящих в домен Windows) местом хранения паролей является база данных SAM (Security Account Manager – Диспетчер защиты учётных записей). В доменах Windows Server 2000/2003 такой базой является Active Directory.

*При смене паролей в варианте персонального формирования и ведения также используются контролирующие приёмы. Например, перед сменой пароля система должна обязательно запросить «старый» пароль и, после проверки его на правильность, предложить ввести новый пароль.

Дата добавления: 2016-04-14; просмотров: 1143;