CC BY
9УДК 004.056.53:658.5 DOI: 10.12737/20286
М.Ю. Рытов, С.А. Шпичак
МЕТОД ОБЕСПЕЧЕНИЯ ДОСТУПА К ИНФОРМАЦИОННО-ТЕХНОЛОГИЧЕСКИМ РЕСУРСАМ АВТОМАТИЗИРОВАННОЙ СИСТЕМЫ УПРАВЛЕНИЯ ПРЕДПРИЯТИЯМИ ВОДОСНАБЖЕНИЯ
Рассмотрен метод обеспечения достоверного доступа к информационным и технологическим ресурсам автоматизированных систем управления предприятиями водоснабжения на основе формальной модели и алгоритма выработки временного аутентификатора доступа.
Ключевые слова: автоматизированные системы управления, предприятия водоснабжения, управление доступом, аутентификация, информационные ресурсы, технологические ресурсы.
M.Yu. Rytov, S.A. Shpichak
METHOD ENSURING ACCESS TO INFORMATION TECHNOLOGICAL RESOURCES OF AUTOMATIC CONTROL SYSTEM BY WATER SUPPLY COMPANY
The problems of access control to information and technological resources of automatic control systems for water supply companies are considered. The formalized model of the process of reliable access to information and technological resources is shown. The model takes into account the existence of a multitude of communication channels and a possibility of the organization of the operative cross access. A method to ensure a reliable access to information and technical resources of automatic control systems by water supply companies on the basis of the access policy combination, a scheme of deposit and a preliminary distribution
of access authenticators. As a base example there was adopted Blom's scheme. The method allows ensuring an operative cross access in case of emergency. To ensure an operative access in the method mentioned there was used a scheme of a complete division of a secret in the combination with authenticator evolution. As a basic example the evolution of authenticators based on Lamport's protocol is considered.
Key words: automatic control systems, water supply company, access control, authentication, information resources, technological resources.
Введение
Современные предприятия водоснабжения (ПВС) относятся к группе критических объектов жилищно-коммунального хозяйства и характеризуются наличием большого количества технологических и информационных ресурсов. Данные ресурсы на практике объединены под управлением автоматизированной системы, включающей в себя следующие компоненты:
• ERP-системы;
• ^стемы управления базами данных;
• дистанционная САУ технологическим оборудованием;
• отстема связи с мобильными и стационарными объектами;
• мстема позиционирования мобильных объектов;
• отстема позиционирования передвижных средств, осуществляющих транспортировку опасных грузов;
• охранно-пожарные системы оповещения.
Управление объектами в системе -директивное, централизованное. Для АСУ ПВС характерно наличие большого количества различных каналов связи: ЛВС, полудуплексная радиосвязь в сочетании с радиомодемами, связь посредством каналов GSM, аналоговая телефонная связь и пр. Присутствуют периодические и систематические отказы в обслуживании в каналах связи. На предприятиях происходит сокращение кадров и возникает система-
тическая нехватка рабочих смен. В результате возникает необходимость обеспечения оперативного перекрестного доступа к технологическим и информационным ресурсам в случае сложных и чрезвычайных ситуаций.
Среда управления определена как доверенная. Циркулирующая в системе технологическая информация не является конфиденциальной, но существует необходимость обеспечения ее доступности,
1. Формализованная модель управления технологическим ресурсам АСУ ПВС
На основании сравнительного анализа моделей разграничения доступа выявлено следующее. Модели управления доступом не учитывают дискретный характер доступности ресурсов и абонентов, а также надежность коммуникационных каналов. Существующие модели не учитывают необходимость наличия набора аутентифика-торов технологических ресурсов, требующихся для обеспечения достоверности
V
С учетом особенностей этого процесса и предыдущих работ в данной области [2-4] была разработана формализованная модель управления достоверным доступом к информационным и технологическим ресурсам АСУ ПВС:
м = (и, Т, ^, Р, Я, Z, о, ^.
и = {и1,и2,...,иис} - множество субъектов доступа (пользователей/абонентов), ис - количество субъектов доступа. Каждому субъекту соответствует набор уникальных (в рамках пользовательской груп-
достоверности (аутентичности) и разграничения доступа внутри доверенной среды.
Проведен сравнительный анализ моделей разграничения доступа, изложенных в различных источниках. В работе рассмотрены положения классических моделей разграничения доступа в компьютерных системах: дискреционной, мандатной, ролевой. Также рассмотрена модель разграничения перекрестного доступа [1].
доступа через двухстороннюю аутентификацию пользователя и ресурса. Для осуществления процесса управления доступом к ресурсам АСУ ПВС (рис. 1) предложен ряд методов управления достоверным доступом к информационным и технологическим ресурсам в автоматизированной системе управления ПВС с использованием криптографических протоколов [5;6].
пы) идентификаторов I = |/1, /2,..., ¡¡к } -
множество идентификаторов, где ¡к - количество идентификаторов. Идентификаторы служат для однозначного распознавания субъектов среди всех элементов множества и. Также каждому субъекту соответствует набор аутентификаторов, с помощью которых возможно подтвердить личность и права субъекта, А = {а1, а2,..., аак } - множество аутентифи-каторов, где ак - количество аутентифика-торов. Введены следующие функции:
Рис. 1. Процесс обеспечения достоверного доступа к ресурсам автоматизированной системы
управления ПВС
достоверным доступом к информационным и
user : I ® U, id : A ® I. Они включаются в множество базовых функций системы F, т. е. {user, id}с F.
T = {tj,t2,...,ttc} - множество информационных и технологических ресурсов (объектов), где tc - количество ресурсов. Каждому ресурсу соответствует один или несколько элементов множества коммуникационных каналов C = {cj,c2,...,cck}, где
ck - количество каналов, с соответствующими им наборами протоколов безопасности K = {kj,k2,...,kkc}, где кс - количество
протоколов, которые также однозначно связаны с текущим аутентификатором aj eA. Введено следующее соотношение: resourses = {(t., kj, aj) | (i < tc) a (ck e C)}.
S = {sj, s2,..., ssc} - множество идентификаторов сеанса, где sc - количество идентификаторов сеанса. Элемент данного множества создаётся при первом обращении субъекта к объекту, когда субъект проходит идентификацию и аутентификацию. Идентификатор и аутентификатор сохраняются в сеансе и не требуют повторного ввода при обращении к ресурсам. Введены следующие функции: sid: S ® I, suser : S ® U, sauth : S ® A . Они включаются в множество базовых функций системы F, т. е. {suser, sid, sauth} с F .
P = {pi,P2,. .,Ppc} - множество прав
доступа, где pc - количество прав доступа. Это множество содержит все возможные права доступа к ресурсам. Введены следующие отношения: UP = U хP - отношение, задающее соответствие между субъектами и правами доступа, и PH = P х P -отношение частичного порядка (иерархия) на множестве прав доступа, обозначаемое «У». Введены следующие функции: permission : U ® 2P - функция, ставящая в соответствие субъекту ui множество прав доступа,
permission : (u. ) с {p | (3p0 yp) a ((u. , p0 )e UP)} Они включаются в множество базовых функций системы F, т. е. permission e F .
R = {r1, r2, r3, r4, r5} - множество ролей
в рамках системы: ri - «неавторизованный пользователь», r2 - «авторизованный поль-
зователь», r3 - «администратор ресурса», r4 - «администратор пользовательской группы» и r5 - «администратор сети». Введены следующие отношения: UR = UхR - отношение, задающее соответствие между субъектами и ролями, RP = R х P - отношение, задающее соответствие между ролями и правами доступа, RH е R х R - отношение частичного порядка (иерархия) на
множестве ролей, обозначаемое «^». Введена функция role : S ® R, ставящая в соответствие сессии si одну из ролей, допустимых в R.
Z = {zj,z2,...,zzc} - множество серверов доступа, где zc - количество серверов доступа, включённых в сеть. Одним сервером доступа могут обслуживаться несколько групп, абонентов, ресурсов, т. е.
z = (u, tj, gk е g) .
G = {gi,g2,. .,ggc} - множество пользовательских групп, где gc - количество пользовательских групп. Каждый пользователь Uj включается в пользовательскую группу gi , т. е. ui с gi для jе {i,...,uc} и iе {i,...,gc}. Введены следующие функции: serv: Z ® G,
autorization : ti х{ permission (uk) | uk е U} х
xU ®{ok, access denied}.
Они включаются в множество базовых функций системы F, т. е.
{serv, autorization} с F . Juser, id, suser, sid, sauth, permission, 1 [ serv, autorization, role J
- множество базовых функций системы.
Сформулированы следующие правила:
• Правило взаимодействия пользователей и информационных ресурсов различных рабочих групп, находящихся под управлением системы. Каждому информационному ресурсу ставится в соответствие множество пар (g, privacy). В этом случае
пользователь имеет доступ к ресурсу, только если ресурс принадлежит домену пользователя и уровень его привилегий доступа больше или равен уровню приви-
легий ресурса. Более формально: пользо-
$g, privacy) е Dr (t):
где Dr - оператор получения множества пар, характеризующих ресурс (характеристического множества); Dp - оператор получения множества доменов (иерархии доменов), в которых состоит пользователь; access - функция уровня допуска пользователя.
• Правило предоставления оперативного перекрёстного доступа к технологи-
$ a, c) е Dc (t): a е A, c е
где Dc - оператор получения множества пар, характеризующих используемый канал и протокол связи с ресурсом (характеристического множества).
Данная модель учитывает наличие различных каналов связи с информационными системами и технологическим обо-
| ватель u имеет доступ к ресурсу t, если: g е Dp (u) a privacy > access(u),
ческим ресурсам. Каждому технологическому ресурсу ставится в соответствие множество пар (a, c). Доступ осуществля-
ется в том случае, если пользователь авторизован для данного сеанса в канале связи с ресурсом определенным соотношением те$оиг$е$:
С : а е sauth(s) а resourses (г, к , а, с),
рудованием. Кроме того, с целью повышения гибкости управления модель допускает внесение дополнительных ограничений на комбинации компонентов, например ограничения прав доступа субъекта по количеству сеансов или по времени и пр.
2. Базовая структура автоматизированной подсистемы оперативного обеспечения достоверного доступа к информационно-технологическим ресурсам
На основе формализованной модели управления доступом предложена базовая структура автоматизированной подсистемы оперативного обеспечения достоверного доступа к информационно-технологическим ресурсам (рис. 2). Структура подсистемы включает в качестве компонентов, помимо серверов доступа,
пользователей и ресурсов, также коммуникационные каналы. В структурной схеме учтена возможность оперативного назначения временного аутентификатора доступа по открытому каналу связи с администратором в случае отказа в штатном канале обслуживания или перекрестного запроса из другой рабочей группы g.
Рис. 2. Структурная схема автоматизированной подсистемы оперативного обеспечения достоверного доступа к информационно-технологическим ресурсам
3. Метод обеспечения доступа к информационно-технологическим ресурсам
На базе формализованной модели и структурной схемы предложен метод обеспечения доступа к информационно-технологическим ресурсам на основе предварительного распределения депонированных аутентификаторов. Данный алгоритм предусматривает комбинированное использование схемы предварительного распределения депонированных аутенти-фикаторов и схемы полного разделения секрета в сочетании с эволюцией аутенти-фикаторов во времени.
В доверенной коммуникационной среде рекомендовано использование уникального идентификатора для связи между каждой парой абонентов, что влечет за собой для сети из п абонентов необходимость генерации и хранения п(п - 1)/2 аутентификаторов. Причем каждый из п абонентов должен хранить п - 1 аутентифика-тор. Схема предварительного распределения аутентификаторов позволяет сократить количество аутентификаторов, генерируемых и хранимых в среде автоматизи-
8 а (х ) = / (Х ГА ) =
рованной системы управления. В качестве базовой схемы предварительного распределения аутентификаторов взята схема Блома [7]. В данной схеме над конечным полем Г фиксируется п различных нетривиальных элементов г\, ..., гп е Г, которые приписываются в качестве идентификаторов абонентам сети. Далее выбирается многочлен над полем Г степени 2т, 1< т < п, вида
т т
/(х у )=ЕЕ ачх'у],
¡=0 . =0
коэффициенты а. которого образуют симметричную относительно главной диагонали обратимую квадратную матрицу ау-тентификаторов Л = (а..) над конечным
А А к V 7тХт
полем Г.
Матрица Л секретна и депонируется на сервере аутентификации. Каждый абонент А получает в качестве универсального
(А) а(А)
, а
(А)
аутентификатора набор а состоящий из коэффициентов многочлена
а
(А^Л А)Л
,(А)л
+ а[ 'х +... + ат''х"
Для связи между каждой парой абонентов А и В используется уникальный аутентифи-
катор
к
АВ
кВА = / (Га , ГВ )= 8а (ГВ ) = 8В (гА )
что в конечном итоге позволяет вместо п - 1 хранить т аутентификаторов.
В классической схеме Блома идентификаторы находятся в открытом доступе. При использовании же комбинированной (матрично-ролевой) политики доступа целесообразно установить соответствие в матрице доступа между правами абонента, запрашивающего доступ, и идентификатором гВ запрашиваемого информационного ресурса или абонента.
Технологические ресурсы зачастую имеют фиксированный аутентификатор доступа. Кроме того, при организации перекрестного доступа полномочия абонента могут быть ограничены по времени или количеству сеансов. Также возможен отказ в обслуживании по аутентичному (защищенному) каналу связи. Для экстренного предоставления доступа предлагается использовать комбинацию схемы предварительного распределения аутентификаторов
и схемы полного разделения секрета (СРС) [8]. Предположим, необходимо предоставить доступ к технологическому ресурсу и, имеющему фиксированный аутентифи-катор ки. Сервером аутентификации в данном случае генерируется случайный битовый вектор Ь длины т:
Ь = (Ьо, Ь1, ..., Ьт)2.
Временный аутентификатор г' вычисляется как
т
г' = ки + Е Ьр\А) над полем ОГ(2).
V=о
Вычисленный таким образом временный аутентификатор г' и случайный вектор Ь передаются абоненту по открытому резервному каналу. Получив их, абонент может восстановить аутентификатор ки как
кг.
Г '+£ Ъгаг
(А)
над полем 0¥(2).
Аналогичное комбинирование возможно также на основе схемы КБР [6].
Недостаток данной схемы заключается в том, что полученный абонентом А аутентификатор ки является постоянным. Для прекращения временных экстренных прав доступа абонента А к ресурсу и предлагается использовать эволюцию ау-тентификаторов технологических ресурсов.
В качестве базового примера, иллюстрирующего эволюцию аутентификато-ров, рассмотрим применение протокола одноразовой аутентификации Лампорта
[9].
Для каждого технологического ресурса и, имеющего фиксированный аутен-тификатор ки, устанавливаются продолжительность действия Ьи базового аутенти-фикатора ки и предполагаемая периодичность замены Ьг временных аутентифика-торов киг. Вычисляется необходимое количество периодов: X = Ьи / Ьг. На базовом шаге протокола используется однонаправ-
ленная функция хеширования Н. Для текущего г-го периода действия временный аутентификатор киг определяется как киг = н (#(...к )...))=н(ки).
4-V-'
X—г раз
Таким образом, для предоставления временных прав доступа абоненту А передаются сервером аутентификации по открытому каналу связи: случайный двоичный вектор Ь, период действия аутентифи-катора Ьг, номер периода г , количество периодов I и временный аутентификатор г', вычисленный как
т
г' = нх—г (к,)+ 2Ьгаг(А) над полем С¥(2).
н-7-' г=0
Получив их, абонент может восстановить действующий в течение периода Тг аутентификатор киг как
т
кт = г'+2 Ьгаг(А) над полем 0¥(2).
г=0
Алгоритм генерации временного ау-тентификатора доступа к технологическому ресурсу сервером аутентификации представлен на рис. 3.
Рис. 3. Алгоритм генерации временного аутентификатора
Ввиду инволютивности операции побитового сложения над полем 0¥(2) для восстановления временного аутентифика-тора пользователем используется тот же алгоритм.
Базовыми параметрами системы управления доступом на основе предварительного распределения аутентификаторов являются простое число р - характеристика конечного поля ¥ и т - размерность матрицы аутентификаторов Л, зависящие от следующих величин: Заключение
• битовой длины одиночного аутентификатора |агу|;
• битовой длины свертки используемой хеш-функции |Н (х)|;
• количества абонентов в сети п. При этом должны выполняться следующие соотношения:
\а.\ < р < \Н (х) ; 1< Кт < п,
где К - коэффициент запаса по числу пользователей.
г =0
Перспективными направлениями исследования являются доработка метода эволюции аутентификаторов с целью снятия ограничения эволюции по времени (количеству сеансов), а также разработка метода масштабирования матрицы депонированных аутентификаторов. Рассмотренную выше схему депонирования аутен-тификаторов предлагается масштабировать посредством включения матриц
Л = (а . ) нижестоящих серверов доступа
. тХт
организации в матрицы вышестоящих серверов путем расширения последних за счет первых вдоль главной диагонали, что увеличивает степень многочлена на 2т с включением матрицы каждого сервера аутентификации. Масштабирование системы позволит осуществлять ступенчатое внедрение системы управления доступом.
СПИСОК ЛИТЕРАТУРЫ
1. Демидов, А. В. Моделирование процессов информационного обмена с приоритетами в сетях передачи данных промышленных предприятий/ А. В. Демидов, А. И. Офицеров, С. И. Афонин // Информационные технологии в науке, образовании и производстве. - 2010. - Т. 5. - С. 94101.
2. Еременко, В.Т. Синтез локально-оптимальной структуры классификатора информационных ресурсов по критерию минимума средней длины процедуры поиска/ В. Т. Еременко, А. А. Батен-ков, И.С. Полянский, К.А. Батенков, М.А. Сазонов // Вестник компьютерных и информационных технологий. - 2013. - № 7. - С.3 - 8.
3. Еременко, В. Т. Методологические аспекты синтеза оптимальной древовидной структуры в системах сбора и обработки информации / В. Т. Еременко, И. С. Полянский, И. И. Беседин // Вестник компьютерных и информационных технологий. - 2013.- № 11. - С.15 - 21.
4. Еременко, В.Т. Направления и проблемы интеграции автоматизированных систем управления для предприятий с непрерывным технологическим циклом/ В.Т. Еременко, Д.С. Мишин, Т.М.
Парамохина, А.В. Еременко, С.В. Еременко //Информационные системы и технологии. -2014. - № 3. - С.51 -58.
5. Еременко, В. Т. Метод формирования тестовых комплектов для протоколов безопасности в системах обработки данных/ В.Т. Еременко,
B. М.Парамохин // Информационные системы и технологии. - 2015. - № 2 (88). - С. 131-137.
6. Рытов, М.Ю. Криптографическое обеспечение защиты информации: монография/ М.Ю. Рытов,
C.А. Шпичак, И.В. Павлинова, Е.И. Павлинова. - Рыбница, 2014. - 220 с.
7. Blom, R. Nonpublic key distribution/R. Blom // Advances in Cryptology: Proceeding of EURO-CRYPT'82 Plenum New York. - 1983. - P. 231236.
8. Dyer, M. On key storage in secure networks/M. Dyer, T. Fenner, A. Frieze, A. Thomason// J. Cryptology. - 1995. - №8. - P. 189 - 200.
9. Lamport, L. Time, Clocks and the Ordering of Events in a Distributed System/ L. Lamport // Communications of the ACM 21 (7). - 1979. - P. 558-565.
1. Demidov, A. V. Simulation of information exchange
processes with priorities in networks of data communications of industrial enterprises/ A. V. Demidov, A. I. Ofitserov, S.I. Afonin // Information Technologies in Science, Education and Production. - 2010. - Vol. 5. - pp. 94-101.
2. Yeryomenko, V.T. Synthesis of locally-optimum structure of information resource classifier on minimum criterion of average search duration/ V.T. Yeryomenko, A.A. Batenkov, I.S. Polyansky, K.A. Batenkov, M.A. Sazonov // Bulletin of Computer and Information Technologies. - 2013. - № 7. -pp. 3 - 8.
3. Yeryomenko, V.T. Methodological aspects of synthesis of optimum of tree structure in systems of information collection and processing / V. T. Yeryomenko, I.S. Polyansky, I.I. Besedin // Bulletin of Computer and Information technologies. - 2013.-№ 11. - pp.15 - 21.
4. Yeryomenko, V.T. Trends and problems in integration of automatic control systems for enterprises
with continuous technological cycle/ V.T. Yeryomenko, D.S. Mishin, T.M. Paramokhina, A.V. Yeryomenko, S.V. Yeryomenko //Information Systems and Technologies. - 2014. - № 3. - pp. 51 -58.
5. Yeryomenko, V.T. Method of test set formation for protocols of safety in systems for data processing/ V.T. Yeryomenko, V.M. Paramokhin // Information Systems and Technologies. - 2015. - № 2 (88). -pp. 131-137.
6. Rytov, M.Yu. Cryptographic Support of Information Protection: Monograph/ M.Yu. Rytov, S.A. Shpichak, I.V. Pavlinova, E.I. Pavlinova. - Rybnit-sa, 2014. - pp. 220.
7. Blom, R. Nonpublic key distribution/R. Blom // Advances in Cryptology: Proceeding of EURO-CRYPT'82 Plenum New York. - 1983. - P. 231236.
8. Dyer, M. On key storage in secure networks/M. Dyer, T. Fenner, A. Frieze, A. Thomason// J. Cryptology. - 1995. - №8. - P. 189 - 200.
9. Lamport, L. Time, Clocks and the Ordering of Events in a Distributed System/ Lamport
L.// Communications of the ACM 21 (7). - 1979. -P. 558-565.
Статья поступила в редколлегию 17.12.2015. Рецензент: д.т.н., профессор Брянского государственного технического университета
Еременко В. Т.
Сведения об авторах:
Рытов Михаил Юрьевич, к.т.н., доцент Брянского государственного технического университета, е-шаН: [email protected].
Шпичак Сергей Александрович, ст. преподаватель Брянского государственного технического университета, е-шаП: &Ь[email protected].
Rytov Mikhail Yurievich, Can.Eng., Assistant Prof. Bryansk State Technical University, e-mail: [email protected].
Shpichak Sergey Alexandrovich, Senior lecturer Bryansk State Technical University, e-mail: frbl [email protected].
