Подтверждение подлинности пользователей и разграничение их доступа к компьютерным ресурсам

1.1.1 Этапы доступа. Системой защиты по отношению к любому пользователю с целью обеспечения безопасности обработки и хранения информации должны быть предусмотрены следующие этапы допуска в вычислительную систему:

1) Идентификация.

2) Установление подлинности (аутентификация).

3) Определение полномочий для последующего контроля и разграничения доступа к компьютерным ресурсам.

Данные этапы должны выполняться и при подключении к вычислительной системе (ВС) таких устройств, как удаленные рабочие станции и терминалы.

1.1.2 Идентификация. Идентификация необходима для указания компьютерной системе уникального идентификатора обращающегося к ней пользователя с целью последующего выполнения следующих защитных функций:

1) Установления подлинности и определения полномочий пользователя при его допуске в компьютерную систему.

2) Контроля установленных полномочий и регистрации заданных действий пользователя в процессе сеанса работы после его допуска в ВС.

3) Учета обращений к компьютерной системе. Сам идентификатор может представлять собой последовательность любых символов и должен быть заранее зарегистрирован в системе администратором службы безопасности.

1.1.3 Контроль доступа к аппаратуре

Внутренний монтаж аппаратуры, технологические органы и пульты управления должны быть закрыты физически и на них установлены соответствующие датчики. При вскрытии аппаратуры оповещающие сигналы должны поступать на центральный пульт сигнализации. С позиций НСД контроль вскрытия аппаратуры срабатывает тогда, когда возникает одна из следующих ситуаций.

1) Изменение внутренних схем.

2) Подключение постороннего устройства.

3) Использование технологических пультов и органов управления для изменения алгоритма функционирования системы.

4) Загрузка посторонних программ и внесения “вирусов” в систему.

5) Доступ посторонних лиц к терминалам.

1.1.4 В процессе регистрации администратором в базу эталонных данных системы защиты для каждого пользователя заносятся следующие элементы данных:

1) Фамилия, имя, отчество и, при необходимости, другие характеристики пользователя.

2) Уникальный идентификатор пользователя.

3) Имя процедуры установления подлинности.

4) Используемая для подтверждения подлинности эталонная информация, например пароль.

5) Ограничения на используемую эталонную информацию, на пример минимальное и максимальное время, в течение которого указанный пароль будет считаться действительным.

6) Полномочия пользователя по доступу к компьютерным ресурсам.

Процесс установления подлинности, называемый еще аутентификацией, заключается в проверке, является ли пользователь, пытающийся осуществить доступ в ВС, тем, за кого он себя выдает.

Основными и наиболее часто применяемыми методами установления подлинности пользователей являются методы, основанные на использовании паролей.

Под паролем при этом понимается некоторая последовательность символов, сохраняемая в секрете и предъявляемая при обращении к компьютерной системе. Ввод пароля, как правило, выполняют с клавиатуры.

1.1.5 Парольные методы доступа. Существующие парольные методы проверки подлинности пользователей при входе в ВС можно разделить на две группы:

1) Методы проверки подлинности на основе простого пароля.

2) Методы проверки подлинности на основе динамически изменяющегося пароля.

Пароль подтверждения подлинности пользователя при использовании простого пароля не изменяется от сеанса к сеансу в течении установленного администратором службы безопасности времени его существования (действительности).

При использовании динамически изменяющегося, пароля пароль пользователя для каждого нового сеанса работы или нового периода действия одного пароля изменяется по правилам, зависящим от используемого метода.

1.1.6 Использование простого пароля. Процедура опознавания с использованием простого пароля может быть представлена в виде следующей последовательности действий:

1) Пользователь посылает запрос на доступ к компьютерной системе и вводит свой идентификатор.

2) Система запрашивает пароль.

3) Пользователь вводит пароль.

4) Система сравнивает полученный пароль с паролем пользователя, хранящимся в базе эталонных данных системы защиты, и разрешает доступ, если пароли совпадают; в противном случае пользователь к ресурсам компьютерной системы не допускается.

Можно выделить следующие основные способы повышения стойкости системы защиты на этапе аутентификации: повышение степени нетривиальности пароля;

- увеличение длины последовательности символов пароля;

- увеличение времени задержки между разрешенными попытками повторного ввода неправильно введенного пароля;

- повышение ограничений на минимальное и максимальное время действительности пароля.

Ожидаемое время раскрытия пароля Тр (в днях) можно вычислить на основе следующей приближенной формулы:

(1)

где А - число символов в алфавите, используемом для набора символов пароля;

S - длина пароля в символах, включая пробелы и другие служебные символы;

t_n - время ввода пароля в секундах с учетом времени задержки между разрешенными попытками повторного ввода неправильно введенного пароля.

Например, если А = 26 символов (учтены только буквы английского алфавита), t_n = 2 секунды, a S= 6 символов, то ожидаемое время раскрытия Тр приблизительно равно одному году.

Минимальное время действительности пароля задает время, в течение которого пароль менять нельзя, а максимальное - время, по истечении которого пароль будет недействительным. Соответственно, пароль должен быть заменен в промежутке между минимальным и максимальным временем его существования.

Минимальное и максимальное времена действительности пароля задаются для каждого пользователя администратором службы без опасности, который должен постоянно контролировать своевременность смены паролей пользователей.

1.1.7 Использование динамически изменяющегося пароля. Методы проверки подлинности на основе динамически изменяющегося пароля обеспечивают большую безопасность, так как частота смены паролей в них максимальна - пароль для каждого пользователя меняется ежедневно или через несколько дней.

Существуют следующие методы парольной защиты, основанные на использовании динамически изменяющегося пароля:

- методы модификации схемы простых паролей;

- метод “запрос-ответ”;

- функциональные методы.

Наиболее эффективным из данных методов являются функциональные методы. Метод функционального преобразования основан на использовании некоторой функции F, которая должна удовлетворять следующим требованиям:

- для заданного числа или слова легко вычислить Y= F(X);

- зная X и Y, сложно или невозможно определить функцию Y= F(X).

Необходимым условием выполнения данных требований явля­ется наличие в функции F(X) динамически изменяющихся параметров, например текущих даты, времени, номера дня недели или воз­раста пользователя.

Пользователю сообщается:

1) исходный пароль - слово или число X, например число 31;

2) функция F(X), например Y= (X mod 100) *D+ W, где (X mod 100) - операция взятия остатка от целочисленного деления X на 100, D - текущий номер дня недели, a W - текущий номер недели в текущем месяце;

3) периодичность смены пароля, например каждый день, каждые три дня, или каждую неделю.

Паролями пользователя для последовательности установленные периодов действия одного пароля будут соответственно X, F(X). F(F(X)), F(F(F(X))) и т. д., т. е. для i-го периода действия одного па­роля паролем пользователя будет F i-1 (X). Поэтому для того чтобы вычислить очередной пароль по истечении периода действия ис­пользуемого пароля, пользователю не нужно помнить начальный (исходный) пароль, важно лишь не забыть функцию парольного преобразования и пароль, используемый до настоящего момента времени.

Не нашли, что искали? Воспользуйтесь поиском: