CC BY
166
УДК 004.056
Шведова Лариса Евгеньевна, кандидат технических наук, доцент кафедры информационно-полиграфических технологий Таврической академии ФГАОУ ВО «КФУ им. В.И. Вернадского», г. Симферополь e-mail: [email protected]
Ярцева Елена Яковлевна, старший преподаватель кафедры рекламы и издательского дела Таврической академии ФГАОУ ВО «КФУ им. В.И. Вернадского», г. Симферополь e-mail: [email protected]
АНАЛИЗ МЕТОДОВ ЗАЩИТЫ ДОСТУПА В ИНФОРМАЦИОННЫХ
СИСТЕМАХ
Аннотация: в данной статье рассмотрены основные аспекты защиты информационных данных от неуполномоченных пользователей. Дано определение понятиям механизмов идентификации и аутентификации пользователей. Проанализированы способы использования паролей доступа.
Ключевые слова: защита данных, идентификация, аутентификация, пароль, доступ к данных.
Larisa Shvedova, candidate of Sciences,assistant professor of information and printing technologies Tauris Academy "CFU V. I.Vernadsky ", Simferopol e-mail: [email protected]
Elena Yartseva, senior lecturer in advertising and publishingTauris Academy "CFU V. I.Vernadsky ", Simferopol e-mail: [email protected]
ANALYSIS METHODS OF PROTECTING ACCESS TO INFORMATION
SYSTEMS
Annotation: tarticle discusses the main aspects of the protection of information data from unauthorized users. The definition of the concepts of identification and authentication mechanisms. Analyzed howtouse passwords.
Keywords: data protection, identification, authentication, password, access to the data.
Защита информационных данных в основном заключается в охране данных от неуполномоченного пользователя, или неправильного использования, случайного или преднамеренногоискажения данных, модификации или уничтожения.
Одной из базовых компонент, которая предназначена для защиты данных, является система защиты и контроля доступа. Элементами такой системы являются субъекты: пользователь, процессы, объекты и др.
К объектам можно отнести: данные, программы, операции и др.
Примерами операций могут быть: чтение, запись, форматирование, удаление и др.
Основой для создания системы защиты доступа есть политика, которая определяет целый ряд факторов, отражающих способы реализации этой защиты: управление правилами доступа, формирование правил доступа и др.
С точки зрения политики безопасности можно разделить системы доступа на два класса [1, с. 94]:
- открытые системы;
- закрытые системы.
В закрытых системах защиты доступа используются правила, которые в общем можно описать следующим образом - «что не запрещено, то разрешено». В этом случае субъект не получит доступа к системе только в том случае, если соответствующее правило доступа запрещает этот доступ. Закрытые системы защиты доступа имеют более высокий уровень безопасности, поскольку все правила, разрешающие доступ, прежде чем включаются в систему, анализируются на предмет возможности опасности,
которая могла бы возникнуть в результате использования соответствующего правила доступа.
Для упрощения процессов реализации политики безопасности, субъекты, имеющие одинаковые полномочия и объекты группируются в одинаковые классы безопасности. В этом случае необходимо решать проблемы, связанные с принадлежностью одного субъекта ко многим группам одновременно и проблемы, связанные с изменениями принадлежности субъектов. Обязательный контроль доступа использует средства, ограничивающие доступ к объектам, которые основываются на использовании уровней безопасности и централизованного управления правилами доступа. Каждому субъекту и объекту системы предоставляется класс уровня безопасности, который определяется на основе уровня необходимой охраны, например, такими уровнями могут быть [2, с. 215]:
- открытый уровень;
- уровень служебного использования;
- секретный уровень;
- особо секретный уровень.
Классификация субъектов отражает уровень доверия к нему и сферу деятельности соответствующего субъекта.
Классификация объектов группируется на уязвимости, или мере отношения к информации, размещенной в соответствующем объекте, это допускает следующую интерпретацию - величина возможных потерь к которым может привести представление соответствующей информации. Субъект получает доступ к объекту, если выполняются необходимые соотношения между классом безопасности субъекта и классом безопасности объекта.
Опознавательный контроль доступа использует средства организации доступа к объектам, основанные на идентификации пользователей, привилегиях и распределении управления правилами доступа. Каждому субъекту предоставляются привилегии, например, чтение, модификация,
удаление и т.п., относительно конкретных объектов. В такой системе субъект может принимать решение об изменении привилегий других субъектов относительно определенных объектов. Субъект получает доступ к объекту в выбранном режиме (чтение, запись, изменение и т.д.), если он имеет соответствующие привилегии относительно такого объекта.
Внедрение политики безопасности реализуют специалисты, которые за нее отвечают. Такая реализация осуществляется на основе использования соответствующих процедур, которые для этих целей спроектированы при помощи различных механизмов обеспечения, реализующих определенную безопасность с помощью аппаратных и программных средств. Эти механизмы выполняют превентивные и корректирующиедействия. Среди которых можно выделить внешние и внутренние механизмы. К первой группе относятся административные и материальные средства защиты доступа в помещения, аппаратура, а также защита от аварий и катастроф. Их целью являются следующие требования:
- минимизация возможных нарушений охраны;
- минимизация негативных последствий возможных нарушений охраны;
- обеспечение возможности восстановления состояния после нарушений системы охраны.
К внутренним механизмов охраны относятся:
- механизмы идентификации и аутентификации;
- механизмы контроля доступа - система полномочий;
- механизмы аудита.
К механизмам аутентификации принадлежат следующие методы ее реализации:
- методы, основанные на контроле пользователя;
- методы, основанные на выполнении идентификации пользователя;
- биометрические методы.
Пользователь, который хочет получить доступ к охраняемой системе, должен показать, что он обладает определенными знаниями или имеет доступ к
объекту, который его идентифицирует, обладает определенными физическими характеристиками. Поскольку каждая из приведенных выше методик имеет определенные недостатки, то высокую степень защиты можно достичь используя одновременно более чем один из методов аутентификации [3, с. 184].
Пользователь, который выполнил аутентификацию в системе, не должен оставлять доступные ему средств системы без присмотра. Каждый раз, перед завершением соответствующей работы, субъект, или пользователь должен выполнить действия, которые привели бы к новой аутентификации в случае необходимости продолжение работы в системе.
К методам, основанным на использовании знаний пользователя, можно отнести наиболее распространенный метод, в котором аутентификация заключается в проверке того, знает ли он необходимый пароль. Другой версией этого метода является проверка того, известны ли пользователю определенные факты. Основным преимуществом системы аутентификации, основанной на использовании паролей, является простота реализации соответствующего способа аутентификации пользователя.
Обеспечение определенного уровня безопасности требует обязательного выполнения условий использования паролей. Уровень безопасности паролей зависит от количества знаков в алфавите, из которого формируется пароль. От количества знаков в алфавите и длины паролей зависит количество всех возможных комбинаций паролей и, как следствие, сложность атаки, основанной на поиске паролей путем перебора комбинаций. Количество паролей длиной к, которую можно построить из алфавита, имеющего п знаков, равна пк. Поскольку увеличение длины паролей связано с увеличением вероятности возникновения ошибки при вводе пароля, что приводит к трудности его запоминания, то вместо одинарных паролей используются парольные фразы, которые являются удобными последовательностями выражений, с длиной не более максимальной длины паролей. Такая фраза преобразуется с помощью функции свертывания к реальному паролю, который имеет фиксированную длину. Функция свертывания, или ^функция, используемая в системах защиты,
является односторонней функцией, преобразует сообщения m произвольной длины в г-битную свертку h(m). В случае, когда появляется подозрение о том, что пароль является разоблаченным, его необходимо изменить. В идеальной ситуации пароль используется один раз.
Пароли могут формироваться пользователями, которые планируютсоответствующий пароль использовать. Такое формирование может основываться на использовании следующих средств или методов:
- ручного генератора одноразовых паролей;
- автоматических генераторов паролей;
- на основе использования псевдослучайных или случайных, систем.
В этом случае администратор должен контролировать средства формирования паролей, чтобы не допустить использования простых дляотгадывание паролей. Пароли, генерируемые автоматически, должны иметь особенности, которые помогают их запоминать. Такие особенности облегчают попытки их распознавания.
Методы передачи паролей и способы хранения должны соответствовать требованиям высокого уровня безопасности. Это означает, что передача паролей должна реализовываться через специально защищенные каналы, а сами пароли должны быть менее зашифрованными. В последнее время все чаще используется одноразовая аутентификация пользователя. Такой подход позволяет пользователю реализовывать доступ к большому количеству распределенных средств с помощью одноразовой аутентификацией, которую реализует третья сторона, пользующаяся доверием пользователя и средств, в которых реализуется доступ. В этом случае центр аутентификации или сертификации решает следующие задачи:
- сохраняет пароли;
- осуществляет управление паролями пользователей.
Пользователь, который хочет получить доступ, пересылает центру сертификации идентификатор и пароль. Центр сертификации подтверждает полномочия пользователя, предоставляя ему билет доступа, который
зашифрован с помощью криптографических алгоритмов, использующих индивидуальные ключи защищенных средств. Такого типа решения реализуются в системах типа Kerberos и Passport [3, с. 231, 4, с.76].
Система Passport использует одноименный протокол Passport, который предоставляет пользователю доступ к большому количеству различных страниц WWW с помощью одноразовой аутентификацией на серверах аутентификации, которые специально сформированы для группы страниц WWW. Билет, который подтверждает право доступанаходится на диске пользователя в форме так называемого «пирожного». Он пересылается на сервер вместе с запросом HTTP.
Во многих случаях систем защиты используются различные формы паролей. Проблема корректного использования паролей является одной из важнейших проблем безопасности. Контроль за использованием определенных принципов правильного использование паролей можно реализовать на основе использования специальных средств контроля сложности и обмена паролями. Сложность паролей можно гарантировать с помощью программ, использующих встроенные словари выражений, названий пользователей, популярных выражений. С помощью определенных правил, например, записи выражений с конца, такие программы генерируют пароли. Указанные программы могут работать в активном или пассивном режимах. Активный контроль паролей может заключаться в периодической инициации программы поиска «слабых паролей», которые легко можно угадать. Пассивная проверка паролей реализуется в момент выбора нового пароля пользователем. Избранные пароли, которые можно легко отгадать или подделать соответствующая программа вычеркивает. Многократное использование одного и того же пароля не позволяет создать реестр истории использованных паролей.
В некоторых случаях,в системах производители устанавливают условные пароли, часто идентичные для всей партии продуктов. Поэтому пользователь должен обязательно изменить такие пароли.
Пользователь может доказать свою идентичность на основе использования физических идентификаторов, среди которых наиболее популярными являются идентификационные карточки. В этом случае процесс идентификации заключается в считывании информации, что находится на идентификаторе. В более развитых системах аутентификации в карточку встраивается микропроцессор, который осуществляет дополнительное преобразование информации. Считывания информации с карты реализуется контактным или бесконтактным считывателем. Контактные считыватели используют для контакта и передачи электрические контакты, считывание с магнитных носителей или оптические считыватели информации. В бесконтактных считывателях передача данных реализуется за счет использования индукционных связей, инфракрасного излучения, радиоизлучения и тому подобное.
Главной опасностью для систем, в которых проверка реализуется на основе использования физических идентификаторов, является возможность похищения, подделки или утери соответствующего идентификатора. Уровень защиты в этих случаях можно повысить за счет интеграции систем физическойидентификации с системой паролей. Подходыэтого типа используются в системах аутентификации с жетонами. Жетон является идентификатором, который генерирует одноразовый пароль. Использование жетонов заключается в следующем. Пользователь, для инициализации процесса аутентификации вводит персональный идентификационный номер (PIN), после чего, в ответ на введенную последовательность цифр, полученную от системы, относительно которой пользователь хочет получить полномочия, на идентификаторе жетона высвечивается пароль аутентификации пользователя. Функция жетона может реализовываться программно на компьютере пользователя.
Биометрические методы достаточно широко используются, как уникальные свойства, или параметры человека. К таким характеристикам относятся [4, с. 164]:
- капиллярные линии;
- форма лица и ладони;
- рисунок радужной сетчатки глаза;
-голос;
- ручная подпись;
- почерк использования клавиатуры.
Аутентификация с помощью биометрии реализуется в несколько этапов. Начинается она с измерения параметров пользователя. Измерительный датчик передает цифровые данные в систему, представляя результаты измерений. Эти сигналы преобразуются в соответствующий формат. На следующем этапе полученные данные сравниваются с эталонами, которые хранятся в памяти. Результат измерений может сравниваться со всеми образцами или с эталоном определенного пользователя. Во втором случае необходимо дополнительно идентифицировать пользователя, например, путем ввода названия, или идентификатора. В связи с тем, что достаточно часто результаты биометрических измерений могут быть неточными, результат измерения параметров пользователя может запоминаться для него как эталонный. В этом случае важна задача определения допустимых границ отклонений результатов измерения биометрического параметра от эталонного образца. Если этот диапазон будет слишком мал, то в системе аутентификации будет высокий показатель ложных отказов в предоставлении доступа. Если этот диапазон будет слишком большой, то появится опасность того, что система позволит неуполномоченный доступ к средствам защиты. Эталонные значения биометрических параметров должны храниться в условиях, обеспечивающих высокий уровень безопасности, так как кроме того, что они используются для аутентификации пользователей- это их персональные данные. Приведенные выше примеры описывают различные аспекты организации доступа к системам и ресурсам и имеют большое значение для реализации безопасности доступа.
Список литературы:
1. Соколов А.В. Защита информации в распределённых корпоративных сетях и системах / А. В. Соколов, В. Ф. Шаньгин. — М. : ДМК Пресс, 2002.
2. Ахо А. Построение и анализ вычислительных алгоритмов / А. Ахо, Дж. Хонкрофт, Дж. Ульман. — М. : Мир, 1979.
3. Смит Р.Э. Аутентификация: от паролей до открытых ключей. — М. : Изд. дом «Вильямс», 2002.
4. Загжда Д.П. Как построить защищённую информационную систему. Технология создания безопасных систем. — Спб. : НПО «Мир и семья — 95» ООО «Интерлайн», 1998.
