CC BY
81
Список литературы:
1. Таненбаум Э. Архитектура компьютера. - СПб.: Питер, 2005. - 699 с.
2. Крук Б.И. и др. Телекоммуникационные системы и сети. - М.: Горячая линия - Телеком, 2004. - 55 с.
3. Бройдо В.Л. Вычислительные системы, сети и телекоммуникации. -СПб.: Питер, 2006. - 703 с.
4. Олифер В.Г., Олифер Н.А. Компьютерные сети. Принципы, технологии, протоколы. - СПб.: Питер, 2005. - 864 с.
5. Малюк А.А. и др. Введение в защиту информации в автоматизированных системах. - М.: Горячая линия - Телеком, 2001. - 148 с.
6. Ульянов В.В. Безопасность и актуальность электронных документов в корпоративных сетях // Защита информации. - 2008. - № 5. - С. 41-43.
7. Олифер Н.А., Олифер В.Г. Сети ЭВМ: учебное пособие. - М.: Центр информационных технологий. 2000. - 456 с.
8. Новиков Ю.В., Кондратенко С.В. Основы локальных сетей. Курс лекций. - М.: Интернет-университет информационных технологий, 2005. - 267 с.
9. Самойленко В.В. Локальные сети. Полное руководство. - К., 2002. -264 с.
РАЗРАБОТКА ПРЕДЛОЖЕНИЙ ПО ИССЛЕДОВАНИЮ ПРОТОКОЛОВ АУТЕНТИФИКАЦИИ В ЛОКАЛЬНЫХ ВЫЧИСЛИТЕЛЬНЫХ СЕТЯХ
© Зимин С.И.*, Керенцев М.М.
Филиал Российского социального государственного университета,
г. Серпухов
Филиал Военной академии РВСН им. Петра Великого, г. Серпухов
В настоящее время парольная защита распространена достаточно широко, однако эффективность ее остается низкой ввиду ряда причин, основными их которых являются: выбор пользователями тривиальных паролей, что приводит к элементарному взламыванию его при подборе; отсутствие ограничений на продолжительность использования по времени одного пароля; часто, для обеспечения более высокой надежности защиты, администратор определяет большую длину пароля, что заставляет пользователей записывать его, создавая условия для потери его или ознакомления с ним посторонних лиц, используемая в системе таблица паролей находится в специальном файле в открытом виде, создавая условия для ознакомления с ней;
* Старший преподаватель кафедры Психологии и педагогики РГСУ (г. Серпухов), кандидат педагогических наук.
существование специальных программ, осуществляющих перехват вводимого пароля с записью его в файл или пересылкой адресату.
В этих условиях существует необходимость в разработке методических рекомендаций; позволяющих администратору безопасности, исходя их характера работы и применительно к рассматриваемому объекту, на основе исходных данных, грамотно организовывать и эффективно использовать парольную защиту.
Исходя из вышеизложенного для создания паролей можно сформулировать следующие рекомендации:
1. Не использовать только слова или числа.
2. Не использовать известные слова. Например, имен собственных, слов из словаря и фраз из телевизионных передач или книг, даже если они включают в себя цифры.
3. Не использовать слов из других языков. Программы подбора пароля часто перебирают пароль по списку, включающему словари многих языков.
4. Не использовать сленг хакеров. Например, ШХОЯ, 1337
5. Не использовать личных сведений. Например, имя, фамилию, имена домашних животных, имена членов семьи, любые дни рождения, номер телефона или индекс.
6. Не переворачивать известных слов. Хорошие программы подбора пароля всегда переворачивают стандартные слова, поэтому переворачивание плохого пароля не делает его лучше. Например: ьтсонса-позеб (безопасность), яицпецнок (концепция).
7. Не записывать свой пароль.
8. Не использовать один пароль на всех компьютерах. Необходимо придумать отдельные пароли для разных компьютеров. При компрометации одного компьютера а сети ЛВС не будет скомпрометирована.
9. Использовать пароль длиной не меньше восьми символов.
10. Смешивать буквы верхнего и нижнего регистров.
11. Смешивать буквы и цифры. Добавлять в пароли цифры, вставляя их в середину (а не просто в начало или конец).
12. Включать не алфавитно-цифровые символы. Например, специальные символы (&,$ и >).
13. Пароли, хранящиеся на сервере, шифровать при помощи односторонней функции.
14. При запоминании пароля использовать сокращения или другие приемы, облегчающие запоминание.
15. Ограничивать срок действия пароля.
Используя результаты анализа протоколов аутентификации, можно предложить следующий метод парольной защиты в ЛВС:
1. В ответ на запрос компьютера (login) пользователь вводит свое имя.
2. Проверив полномочия доступа на уровне списка имен, компьютер генерирует случайную двоичную последовательность определенной длины.
3. В компьютере производится сложение по модулю два случайно сгенерированного сообщения (последовательности) и специального ключа, хранящегося в списке имен в его памяти.
4. Компьютер выдает на экран монитора запрос (password) в виде результата сложения этих последовательностей.
5. Пользователь производит сложение по модулю два последовательности (пароля), находящейся у него, и запроса компьютера. Результат сложения вводится в него, где по определенному алгоритму производятся вычисления и результат сравнивается введенной пользователями последовательностью.
6. Критерии для принятия решения о предоставлении доступа является совпадение этих последовательностей.
Алгоритм работы данного метода приведен в табл. 1, на нем приедены обозначения: k - двоичная последовательность фиксированной длины L (секретный ключ); СЧ - случайная последовательность аналогичной длины L; М - сообщение; k + СЧ - результат сложения по модулю 2k и СЧ.
Таблица 1
Аутентификация с использованием метода «запрос-ответ»
Пользователь (СЧ) ПЭВМ (СЧ + К)
включение пэвм, запрос на доступ обработка полученного запроса
запрос имени пользователя
ввод имени пользователя проверка по списку имен
генерация М
вычисление запроса М + (К + СЧ)
вычисление М + (К + СЧ) + СЧ = М + К вывод запроса М + (К + СЧ)
ввод М + К запись (М + К)польз
вычисление М + (К + СЧ) + (М + К) = СЧ М + (К + СЧ) + СЧ = М + К
сравнение (М + К)полы = (М + К)вычисл
разрешение на доступ
Предложенный подход гарантирует надежную защиту от несанкционированного воспроизведения. Поскольку запрос генерируется случайным образом, несанкционированный пользователь не может повторно использовать шиф-ртекст, сгенерированный санкционированным пользователем, чтобы выдавать его за себя. Значение, которое отправляет законный пользователь, аутентифи-цирует его идентичность только один раз. Имя данного пользователя передается открыто. Перехват информации не является угрозой, и пользователь может
выполнять аутентификацию на удаленном сервере в открытой сети. Данный подход обеспечивает защиту при компрометации проверяющего.
Документы с перечнем защищаемых ресурсов ОВТ, заявками на ДЛ, допущенных к работе с информационными ресурсами, а также таблицы разграничения доступа к ним, необходимо подшивать в отдельное дело и выдавать только офицеру по обеспечению безопасности информации (ОБИ), при этом срок хранения этих документов не должен превышать три года.
Внеплановая смена при удалении личного пароля пользователя (ДЛ) в случае прекращения (изменения) его полномочий должна производиться немедленно после окончания последнего сеанса его работы с системой. В то же время, полная смена паролей должна производиться в случае прекращения полномочий офицера по ОБИ и других ДЛ ОБИ, которым по роду работы были предоставлены полномочия по управлению ЛВС или полномочия по управлению подсистемой защиты информации (ЗИ), а также в случае компрометации личного пароля хотя бы одного пользователя (ДЛ), в зависимости от его полномочий.
Программные средства разграничения доступа к защищаемым ресурсам должны обеспечивать возможность контролировать соблюдение установленных сроков смены пароля. Файлы с паролями должны быть зашифрованы и храниться в хорошо защищенных местах, доступных только офицеру по ОБИ с помощью специального пароля и идентификатора.
На все ПК локальной сети необходимо установить специальные программы-агенты, которые обеспечивают выполнение всех заданных условий.
Система защиты не должна проявлять себя до тех пор, пока пользователь не обратиться к документу с грифом «ДСП» или «секретно». Соответственно ему будет предложен требуемый режим работы. Если пользователь откажется, то доступ будет запрещен. Таким образом, только после доступа к секретной информации в действие вступают ограничения, приписанные для данного пользователя. В качестве примера рассмотрим пользователя с уровнем доступа к информации «секретно», уровнем доступа к сети «ДСП», уровнем доступа к сменным носителям «публичный». В обычном режиме работы ему будет позволены доступ в сеть, печать на принтере, использование сменных носителей. Необходимо отметить, что доступ к портам ПК при необходимости может быть запрещен вне зависимости от уровня секретности информации по решению ответственного по ОБИ. Если пользователь откроет документ с грифом «ДСП», для него будет заблокирован доступ к сменным носителям, если с грифом «секретно», то будет заблокирован и сетевой доступ [10].
Невозможность обхода системы защиты должно быть обеспечено следующими механизмами [8]:
1. Пользователю запрещено понижать уровень работы своего ПК. То есть после установки «секретного» режима перейти в режим «публичный» или «ДСП» можно только после перезагрузки компьюте-
ра. Такой алгоритм работы защищает от различных попыток понизить гриф информации, например, путем копирования данных через буфер обмена.
2. Любому файлу, который создается или изменяется в одном из режимов, присваивается соответствующий гриф. То есть если сотрудник работает в «секретном» режиме, то любой файл, любой документ, который он создаст или хотя бы отредактирует, будет считаться секретным. Благодаря этому полностью исключается возможность обхода системы защиты путем копирования конфиденциальных данных в другие файлы. Здесь не поможет ни стеганография, ни какие-либо иные ухищрения. Самостоятельно сотруднику разрешается лишь повысить гриф документа (в пределах своего уровня доступа). Понизить же его может только ответственный по ОБИ через специальную консоль управления.
Обеспечить стопроцентную безопасность невозможно. Однако современные системы, использующие принцип динамической блокировки, позволяют предотвратить большую часть утечек конфиденциальной информации.
Следует отметить, что решение задачи защиты данных от утечек должно быть комплексным. Во-первых, необходимо взять под контроль все возможные каналы передачи информации. Во-вторых, сама ИС должна удовлетворять современным требованиям информационной безопасности. Защита от утечки бессмысленна, если, например сотрудник ИТ-службы может войти в информационную систему воинской части от имени командира части и получить все причитающиеся последнему привилегии.
Список литературы:
1. Таненбаум Э. Архитектура компьютера. - СПб.: Питер, 2005. - 699 с.
2. Малюк А.А. и др. Введение в защиту информации в автоматизированных системах. - М.: Горячая линия - Телеком, 2001. - 148 с.
3. Ульянов В.В. Безопасность и актуальность электронных документов в корпоративных сетях // Защита информации. - 2008. - № 5. - С. 41-43.
4. Шнаер Б. Прикладная криптография. Протоколы, алгоритмы, исходные тексты на языке СИ. - М.: ТРИУМФ, 2002. - 816 с.
5. Чмора А.Л. Современная прикладная криптография. - М.: Гелиос АВР, 2002. - 256 с.
6. Катарин Ю.Ф. и др. Большая энциклопедия промышленного шпионажа. - СПб.: Полигон, 2000. - 896 с.
7. Давлетханов М.Г., Столяров Н.В. Надежная защита от инсайдеров // Защита информации. - 2008. - № 5. - С. 44-49.
8. Комаров Н.А. Искусство управления доступом // Защита информации. - 2008. - № 6. - С. 52-55.
9. Сабанов А.Г. Аутентификация в распределенных информационных системах // Защита информации. Инсайд. - 2008. - № 4. - С. 13-16.
