Система идентификации и аутентификации

Система идентификации и аутентификации.

 

Идентификация – присвоение пользователям идентификаторов (уникальных имен или меток) под которыми система «знает» пользователя. Кроме идентификации пользователей, может проводиться идентификация групп пользователей, ресурсов АС и

т. д. Идентификация нужна и для других системных задач, например, для ведения

журналов  событий. В большинстве случаев идентификация сопровождается аутентификацией.

Аутентификация – установление подлинности – проверка принадлежности пользователю предъявленного им идентификатора. Например, в начале сеанса работы в АС пользователь вводит имя и пароль. На основании этих данных система проводит идентификацию (по имени пользователя) и аутентификацию (сопоставляя имя пользователя и введенный пароль).

 

 

Базовая схема идентификации и аутентификации.

 

 

Система идентификации и аутентификации является одним из ключевых элементов инфраструктуры защиты от НСД любой информационной системы. 
 Различают три группы методов аутентификации, основанных на наличии у каждого пользователя: 
• индивидуального объекта заданного типа; 
• знаний некоторой известной только ему и проверяющей стороне информации; 
• индивидуальных биометрических характеристик. 
 К группе индивидуального объекта заданного типа относятся методы аутентификации, использующие удостоверения, пропуска, магнитные карты и другие носимые устройства, которые широко применяются для контроля доступа в помещения, а также входят в состав программно-аппаратных комплексов защиты от НСД к средствам вычислительной техники.

 

Аутентификация с помощью уникального  предмета

 

В большинстве  случаев аутентификация с помощью  уникального предмета обеспечивает более серьезную защиту, чем парольная  аутентификация. 
Предметы, используемые для аутентификации, можно условно разделить на следующие две группы:

 

«Пассивные» предметы, которые содержат аутентификационную информацию (например, некий случайно генерируемый пароль) и передают ее в модуль аутентификации по требованию. При этом, аутентификационная информация может храниться в предмете как в открытом (примеры: магнитные карты, смарт-карты с открытой памятью, электронные таблетки Touch Memory), так и в защищенном виде (смарт-карты с защищенной памятью, USB-токены). В последнем случае требуется ввод PIN-кода для доступа к хранящимся данным, что автоматически превращает предмет в средство двухфакторной аутентификации.

 

«Активные»  предметы, которые обладают достаточными вычислительными ресурсами и  способны активно участвовать в  процессе аутентификации (примеры: микропроцессорные  смарт-карты и USB-токены). Эта возможность особенно интересна при удаленной аутентификации пользователя, поскольку на основе таких предметов можно обеспечить строгую аутентификацию. Под этим термином скрывается такой вид аутентификации, при котором секретная информация, позволяющая проверить подлинность пользователя, не передается в открытом виде.

 

Аутентификация  с помощью уникальных предметов  обладает и рядом недостатков:

• Предмет может быть похищен или отнят у пользователя.
• В большинстве случаев требуется специальное оборудование для работы с предметами.
• Теоретически возможно изготовление копии или эмулятора предмета.

 

 

Способы аутентификации (парольные  системы)

 

Наиболее  распространенные методы аутентификации основаны на применении многоразовых или одноразовых паролей. Из-за своего широкого распространения и простоты реализации парольные схемы часто в первую очередь становятся мишенью атак злоумышленников. Эти методы включают следующие разновидности способов аутентификации: 
• по хранимой копии пароля или его свёртке (plaintext-equivalent); 
• по некоторому проверочному значению (verifier-based); 
• без непосредственной передачи информации о пароле проверяющей стороне (zero-knowledge); 
• с использованием пароля для получения криптографического ключа (cryptographic). 
    

 В  первую разновидность способов  входят системы аутентификации, предполагающие наличие у обеих  сторон копии пароля или его  свертки. Для организации таких  систем требуется создать и  поддерживать базу данных, содержащую  пароли или сверки паролей  всех пользователей. Их слабой  стороной является то, что получение  злоумышленником этой базы данных  позволяет ему проходить аутентификацию  от имени любого пользователя. 
    

Способы, составляющие вторую разновидность, обеспечивают более высокую степень безопасности парольной системы, так как проверочные  значения, хотя они и зависят от паролей, не могут быть непосредственно  использованы злоумышленником для  аутентификации. 
 Наконец, аутентификация без предоставления проверяющей стороне какой бы то ни было информации о пароле обеспечивает наибольшую степень защиты. Этот способ гарантирует безопасность даже в том случае, если нарушена работа проверяющей стороны.  
    Особым подходом в технологии проверки подлинности являются криптографические протоколы аутентификации. Такие протоколы описывают последовательность действий, которую должны совершить стороны для взаимной аутентификации, кроме того, эти действия, как правило, сочетаются с генерацией и распределением криптографических ключей для шифрования последующего информационного обмена. Корректность протоколов аутентификации вытекает из свойств задействованных в них математических и криптографических преобразований и может быть строго доказана. 
     Обычные парольные системы проще и дешевле для реализации, но менее безопасны, чем системы с криптографическими протоколами. Последние обеспечивают более надежную защиту и дополнительно решают задачу распределения ключей. Однако используемые в них технологии могут быть объектом законодательных ограничений.

 

 

Биометрическая аутентификация

 

Биометрическая  аутентификация основана на уникальности ряда характеристик человека. Наиболее часто для аутентификации используются следующие характеристики:

 

• Отпечатки пальцев.
• Узор радужной оболочки глаза и структура сетчатки глаза.
• Черты лица.
• Форма кисти руки.
• Параметры голоса.
• Схема кровеносных сосудов лица.
• Форма и способ подписи.

 

Биометрические методы аутентификации делят на статические и динамические.

Примеры аутентификации по статическим признакам – это проверка отпечатка пальца, рисунка радужной оболочки глаз, геометрии кисти руки, сравнение с фотографией и т. д. Достоинством этих методов является достаточно высокая точность. Но надо отметить, что подобные методы, как правило, требуют наличия специализированного оборудования (например, специальные сканеры) и имеют ограниченную область применения (например, при аутентификации по отпечатку пальца, из-за грязи на руке человек может не пройти аутентификацию, т. е. подобные методы неприменимы на стройках и на многих

производствах).

Примеры динамической аутентификации – аутентификация по голосу (при произнесении заранее определенной фразы или произвольного текста), аутентификация по «клавиатурному почерку» (проверяются особенности работы пользователя на клавиатуре, такие как время задержки при нажатии клавиш в различных сочетаниях) и т. д.

 

В процессе биометрической аутентификации эталонный и предъявленный  пользователем образцы сравнивают с некоторой погрешностью, которая  определяется и устанавливается  заранее. Погрешность подбирается  для установления оптимального соотношения  двух основных характеристик используемого  средства биометрической аутентификации:

FAR (False Accept Rate) – коэффициент ложного принятия (т.е. некто успешно прошел аутентификацию под именем легального пользователя).

FRR (False Reject Rate) – коэффициент ложного отказа (т.е. легальный пользователь системы не прошел аутентификацию).

 

Обе величины измеряются в процентах и должны быть минимальны. Следует отметить, что величины являются обратнозависимыми, поэтому аутентифицирующий  модуль при использовании биометрической аутентификации настраивается индивидуально  – в зависимости от используемой биометрической характеристики и требований к качеству защиты ищется некая «золотая середина» между данными коэффициентами. Серьезное средство биометрической аутентификации должно позволять настроить  коэффициент FAR до величин порядка 0,01 – 0,001 % при коэффициенте FRR до 3 – 5%. 
 В зависимости от используемой биометрической характеристики, средства биометрической аутентификации имеют различные достоинства и недостатки. Например, использование отпечатков пальцев наиболее привычно и удобно для пользователей, но, теоретически, возможно создание «искусственного пальца», успешно проходящего аутентификацию. 
 Общий же недостаток биометрической аутентификации – необходимость в оборудовании для считывания биометрических характеристик, которое может быть достаточно дорогостоящим.

 

 

Атаки на парольные системы и  защита от атак.

 

Для более детального рассмотрения принципов построения парольных систем сформулируем несколько основных определений. 
    Идентификатор пользователя - некоторое уникальное количество информации, позволяющее различать индивидуальных пользователей парольной системы (проводить их идентификацию). Часто идентификатор также называют именем пользователя или именем учетной записи пользователя. 
    Пароль пользователя - некоторое секретное количество информации, известное только пользователю и парольной системе, которое может быть запомнено пользователем и предъявлено для прохождения процедуры аутентификации. Одноразовый пароль дает возможность пользователю однократно пройти аутентификацию. Многоразовый пароль может быть использован для проверки подлинности повторно. 
    Учетная запись пользователя - совокупность его идентификатора и его пароля. 
    База данных пользователей парольной системы содержит учетные записи всех пользователей данной парольной системы. 
     Под парольной системой будем понимать программно-аппаратный комплекс, реализующий системы идентификации и аутентификации пользователей АС на основе одноразовых или многоразовых паролей. Как правило, такой комплекс функционирует совместно с подсистемами разграничения доступа и регистрации событий. В отдельных случаях парольная система может выполнять ряд дополнительных функций, в частности генерацию и распределение кратковременных (сеансовых) криптографических ключей. 
    Основными компонентами парольной системы являются: 
• интерфейс пользователя; 
• интерфейс администратора; 
• модуль сопряжения с другими подсистемами безопасности; 
• база данных учетных записей. 
    Парольная система представляет собой "передний край обороны" всей системы безопасности. Некоторые ее элементы (в частности, реализующие интерфейс пользователя) могут быть расположены в местах, открытых для доступа потенциальному злоумышленнику. Поэтому парольная система становится одним из первых объектов атаки при вторжении злоумышленника в защищенную систему. Ниже перечислены типы угроз безопасности парольных систем. 
     1. Разглашение параметров учетной записи через: 
• подбор в интерактивном режиме; 
• подсматривание; 
• преднамеренную передачу пароля его владельцем другому лицу; 
• захват базы данных парольной системы (если пароли не хранятся в базе в открытом виде, для их восстановления может потребоваться подбор или дешифрование); 
• перехват переданной по сети информации о пароле; 
• хранение пароля в доступном месте. 
     2. Вмешательство в функционирование компонентов парольной системы через: 
• внедрение программных закладок; 
• обнаружение и использование ошибок, допущенных на стадии разработки; 
• выведение из строя парольной системы. 
Некоторые из перечисленных типов угроз связаны с наличием так называемого человеческого фактора, проявляющегося в том, что пользователь может: 
• выбрать пароль, который легко запомнить и также легко подобрать; 
• записать пароль, который сложно запомнить, и положить запись в доступном месте; 
• ввести пароль так, что его смогут увидеть посторонние; 
• передать пароль другому лицу намеренно или под влиянием заблуждения. 
     В дополнение к выше сказанному необходимо отметить существование "парадокса человеческого фактора". Заключается он в том, что пользователь нередко стремится выступать скорее противником парольной системы, как, впрочем, и любой системы безопасности, функционирование которой влияет на его рабочие условия, нежели союзником системы защиты, тем самым ослабляя ее. Защита от указанных угроз основывается на ряде организационно-технических мер и мероприятий.

 

 

Рекомендации по практической реализации  парольных систем

 

 При   построении   системы   парольной  защиты  необходимо  учитывать  специфику  

АС  и  руководствоваться  результатами   проведённого   анализа  рисков .  В то   же  время   можно привести  следующие   практические рекомендации:

-  Установление  минимальной   длины   пароля.  Очевидно,  что   регламентация 

минимально  допустимой  длины   пароля   затрудняет   для  злоумышленника   реализацию подбора пароля   путём   полного  перебора .

-  Увеличение  мощности   алфавита   паролей .  За   счёт   увеличения   мощности ( которое достигается,  например,  путём   обязательного  использования  спецсимволов)  также  можно   усложнить   полный  перебор.

-  Проверка  и   отбраковка  паролей   по  словарю .  Данный  механизм  позволяет  затруднить  подбор  паролей  по словарю  за  счёт  отбраковки   заведомо  легко подбираемых   паролей.

-  Установка   максимального   срока   действия  пароля.  Срок  действия   пароля 

ограничивает   промежуток  времени ,  который   злоумышленник   может   затратить на 

подбор  пароля .  Тем   самым ,  сокращение  срока действия   пароля   уменьшает   вероятность

его  успешного  подбора.

-  Установка   минимального  срока   действия  пароля.  Данный  механизм  предотвращает 

попытки   пользователя   незамедлительно сменить   новый   пароль   на   предыдущий.

-  Отбраковка  по  журналу  истории   паролей .   Механизм  предотвращает повторное

использование  паролей - возможно,  ранее  скомпрометированных .

-  Ограничение   числа   попыток  ввода   пароля.  Соответствующий   механизм  затрудняет 

интерактивный   подбор паролей.

-  Принудительная  смена   пароля  при   первом  входе  пользователя  в  систему .  В случае , если   первичную   генерацию   паролей  для  всех   пользователь   осуществляет 

администратор ,  пользователю   может   быть  предложено  сменить   первоначальный

пароль   при   первом  же  входе  в   систему - в  этом   случае   новый   пароль   не   будет  известен  администратору .

-  Задержка  при   вводе  неправильного  пароля.   Механизм  препятствует   интерактивному  подбору   паролей.

-  Запрет  на  выбор   пароля  пользователем   и   автоматическая   генерация   пароля.

Данный  механизм  позволяет  гарантировать  стойкость  сгенерированных   паролей -

однако   не   стоит  забывать ,  что в   этом   случае   у пользователей  неминуемо   возникнут проблемы  с   запоминанием  паролей.

- Усложнение процедуры проверки паролей.

Для того чтобы усложнить  атаки, включающие опробование большого числа паролей, функция, обеспечивающая проверку паролей (например, однонаправленная функция), может быть усложнена путем  применения нескольких итераций более  простых функций.