Пайдаланушыны авторизациялау және администрациялау

Идентификациялау мен аутентификациялау процестерінен кейін авторизациялау процесі орындалады.

Авторизациялау (Authorization) дегеніміз пайдаланушы тұлғаға осы жүйеде белгілі бір өкілеттіктер мен ресурстар беру процесі. Басқаша айтқанда, авторизация пайдаланушының жұмыс істеу және ресурстарға деген аймағын белгілеу. Егер жүйе авторизацияланған тұлғаны авторизацияланбаған тұлғадан ажырата алмаса, онда ақпараттың құпиялығы мен тұтастығы бұзылуы мүмкін. Сондықтан компаниялар (ұйымдар) қауіпсіздікке деген талаптарын қатаң ұстауы қажет.

Аутентификациялаудың деңгейі компанияда қабылданған қауіпсіздік талаптары бойынша анықталады. Жалпы көпшіліктің қолы жететін WеЬ – серверлер ақпарат алуға анонимді немесе қонақ ретінде қол жеткізуге де рұқсат бере алады. Қаржы транзакциялары қатаң аутентификациялауды қажет етеді, оның себебі белгілі. Қатаң емес аутенитификациялаудың мысалы ретінде пайдаланушыны анықтау үшін IP – адрестерді пайдалануды жатқызуға болады. IP – адрестерді айырбастау (spoofing) арқылы аутентификациялаудың механизмін оңай бұзуға болады. Сенімді аутентификациялау бөтен тұлғалардың құпия ақпаратқа қол жеткізбеуінің басты кепілі болады. Осының арқасында тек авторизацияланған пайдаланушылар ғана бақылаудағы ақпаратқа қол жеткізе алады.

Деректерді жеткізу арналарын қорғауда байланыс жолдары арқылы байланысқан тұлғалар бір бірінің шын екендігін тексеруге тиісті. Мұндай тексеру процедурасы абоненттер арасында байланыс орнату сеансының алдында орындалады. «Байланыс орнату» деген термин екі тұлға арасында логикалық байланысты көрсетеді. Мұндай процедураның мақсаты – байланыс заңды тұлғамен орнатылғанының және барлық жіберілген ақпараттың адресатқа жететініне сенімді болуын қамтамасыз ету.

Өзінің шын екендігін дәлелдеу үшін тұлға жүйеге әртүрлі мәліметтерді көрсетуі керек. Тұлғаның жүйеге ұсынатын мәліметтеріне байланысты аутентификациялау процесінің түрлерінің бөлінуі келесі негіздер бойынша болуы мүмкін:

- бір нәрсені білу. Мысал ретінде, сұраныс-жауап типіндегі протоколдарда көрсетілетін пароль, дербес иденитификациялық PIN (Personal Identification Number) код, сонымен бірге құпия және ашық кілттерді білу;

- бір нәрсені иемдену. Олар магниттік карталар, смарт-карталар, сертификаттар мен touch memory құрылғылары;

- кейбір бөлуге болмайтын қасиеттер. Бұл категорияға пайдаланушының биометрикалық сипаттамаларын (дауыстары, көздің сыртқы мөлдір қабығы мен көз торы, саусақтардың таңбасы, алақанның геометриясы және т.б.) тексеруге негізделген әдістер кіреді. Бұл категорияда криптографиялық әдістер мен құралдар қолданылмайды.

Аутентификация мен авторизация процедураларымен әкімішілік ету (администрациялау) тығыз байланысты.

Әкімшілік ету (администрациялау) дегеніміз желіні пайдаланушыны оның ресурстарға қол жеткізуімен қатар тіркеу. Әкімшілік ету есеп жүргізу туралы ақпарат болғанымен, оның қауіпсіздік үшін маңызы зор. Осы ақпарат бойынша желіде болған әртүрлі келеңсіз жағдайларды анықтауға, оларға талдау жасауға және оларға шара қолдануға немесе басқа әрекеттер жасауға болады. Жүйелік журналдағы жазулар, аудиторлық тексерулер, программалық жабдықты accounting (есеп беру) жасау пайдаланушылардың жауапкершілігін арттыруға бағытталған. Егер белгілі бір келеңсіз оқиға пайда болса, онда осы аталынған ақпараттар шара қолдану үшін пайдаланылады.