Методы оценки безопасности средств аутентификации в сетях передачи данных

Размещено на http://www.allbest.ru//

Размещено на http://www.allbest.ru//

УЗБЕКСКОЕ АГЕНТСТВО СВЯЗИ И ИНФОРМАТИЗАЦИИ

ТАШКЕНТСКИЙ УНИВЕРСИТЕТ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

ВЫПУСКНАЯ КВАЛИФИКАЦИОННАЯ РАБОТА

на тему: «Методы оценки безопасности средств аутентификации в сетях передачи данных»

Ташкент 2012

Размещено на http://www.allbest.ru//

ВВЕДЕНИЕ

В последнее время большую известность приобрела проблема информационной безопасности.

За последние 20 лет изменился характер документооборота, который стал преимущественно электронным. Все больше возрастает пользователей Интернета в Узбекистане. По состоянию на апрель 2012 года количество пользователей интернета в Узбекистане составило 9 млн 100 тысяч (по итогам 2011 года количество составляло 8,8 млн). Число пользователей мобильного интернета составило 5 млн 200 тысяч[1]. Владеть информацией, использовать её стало, а самое главное, передавать кому-то другому стало намного проще.

Компьютеризация, развитие телекоммуникаций предоставляют сегодня широкие возможности для автоматизированного доступа к различным конфиденциальным, персональным и другим важным, критическим данным в обществе (его граждан, организаций и т. д.). Кроме увеличивающихся возможностей использование интернет - технологий значительно увеличивает и риск потери данных, потери репутации и просто финансовые потери. Во многом это обусловлено тем, что изначально технологии Интернета не были предназначены для обеспечения безопасного функционирования, кроме того, первые пользователи Интернета главной задачей считали обеспечение возможности надежной связи друг с другом. Естественно, люди осознают появление такого ряда новых рисков и начинают беспокоиться об обеспечении необходимой безопасности подобной информации.

Для безопасности функционирования информационных технологий необходимо использовать механизмы и средства сетевой защиты, которые обеспечивают конфиденциальность, целостность и доступность компьютерных систем, программного обеспечения и данных.

Проблема создания и поддержания защищенной среды информационного обмена, реализующая определенные правила и политику безопасности современной организации, является весьма актуальной.

Из этого очевидно, что в настоящее время в Узбекистане проводится интенсивное внедрение средств вычислительной техники, создание распределенных вычислительных систем на основе локальных и территориально распределенных вычислительных сетей, систем электронной почты, объединение корпоративных сетей и их выход по телекоммуникационным каналам на зарубежные сети передачи данных и насколько актуален в наши дни вопрос с защитой информационных систем предприятий.

В данной квалификационной работе произведена оценка эффективности защиты на основе парольных средств защиты с использованием общих критериев и аналитических методов стойкости.

Размещено на http://www.allbest.ru//

1.ОБЕСПЕЧЕНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ В СЕТЯХ ПЕРЕДАЧИ ДАННЫХ

1.1 Современные сети передачи данных и основные понятия информационной безопасности

Современные тенденции развития сети передачи данных (СПД) являются ярко выраженным переходом в сторону создания интегрированных систем. Основное назначение любой СПД состоит в обязанности доставить необходимую информацию пользователю, где бы он ни находился, и желательно - в минимально короткий срок.

С целью создания стандартизованных возможностей взаимодействия пользователей с системами, а также элементов систем между собой, на IX Пленарной ассамблеей Международного союза телекоммуникаций (МСТ) была принята Рекомендация Х.200. Она содержит Эталонную модель взаимосвязи открытых систем (ЭМ ВОС), которая определяет стандартизованные процедуры и методы обмена данными между открытыми системами (рис.1.1).

Размещено на http://www.allbest.ru//

Рис.1.1. Открытые системы, соединенные физической средой

Понятие ВОС относится к обмену информацией между открытыми системами, а не к внутреннему функционированию каждой открытой системы. Оно включает широкий круг вопросов, в том числе:

связь между процессами, касающаяся обмена информацией и

синхронизации действий между прикладными процессами ВОС;

представление данных, а также преобразование данных с целью

их переформатирования при обмене между открытыми системами;

вопросы хранения данных;

вопросы административного управления процессами и ресурсами;

вопросы обеспечения целостности и конфиденциальности, которые должны предусматриваться и обеспечиваться при функционировании открытых систем;

программная поддержка, охватывающая описание, компиляцию, редактирование, тестирование и хранение программ, выполняемых прикладными процессами ВОС.

В ЭМ ВОС средства взаимодействия делятся на семь уровней:

Физический уровень;

Канальный уровень;

Сетевой уровень;

Транспортный уровень;

Сеансовый уровень;

Уровень представления;

Прикладной уровень.

Основная роль каждого уровня - обеспечить множество услуг для уровня над ним и скрыть от вышестоящего уровня подробности того, как эти услуги выполняются.

Протоколы нижних уровней делают прозрачной (одинаковой для ППП всех пользователей) передачу сообщений, поступающих с высших уровней, то есть, как бы защищают верхние уровни от различных используемых физических сред и сетей.

Протоколы прикладного (седьмого) уровня обеспечивают взаимодействие ППП пользователей со средой ВОС, а также идентификацию партнёров по обмену, определение готовности партнёров к приёму определённого объема данных, согласование механизма обеспечения секретности, аутентификацию партнёров, согласование качества обслуживания (время ответа, достоверность), выбор дисциплины обслуживания (дуплекс, полу дуплекс, симплекс) и ряд других функций.

Протоколы представительного (шестого) уровня обеспечивают согласование синтаксиса (множества символов, структуры данных) отправителя и получателя с синтаксисом передачи по сети а, кроме того, запрос на установление и завершение сеанса, и передачу данных. Причём преобразование синтаксиса может вестись не только для согласования синтаксисов партнёров с синтаксисами передачи по сети телекоммуникации, но и с другими целями, например, с целью сжатия информации.

Протоколы сеансового уровня (пятого) отвечают за соблюдение начала и конца сеанса, установление повторного соединения в случае отказов на транспортном уровне. Кроме того, они обеспечивают дисциплину обслуживания, затребованную представительным уровнем, поддерживают взаимодействие при обмене обычными и срочными данными, контролируют ошибки.

Протоколы транспортного (четвёртого) уровня реализуют три фазы соединения: установление, удержание, разъединение.

Протоколы сетевого уровня (третьего) отвечают за предоставление средств установления, поддержания и разъединение сетевых соединений, обеспечивающих для транспортного уровня прозрачную передачу данных, не зависящую от маршрутизации и коммутации, используемых сетей и физических средств. Кроме того, они обеспечивают управление потоками данных, упорядочение порядка следования пакетов, передачу срочных данных, обнаружение и исправление ошибок.

Протоколы канального (второго) уровня, помимо установления и разъединения канальных соединений, реализуют синхронизацию по кадрам, обнаружение и исправление ошибок, управление потоком, упорядочение порядком следования кадров, управление соединениями физических каналов.

Протоколы физического (первого) уровня управляют механическими, электрическими, функциональными и процедурными средствами установления, поддержания физических соединений и решают задачи синхронизации по битам, дуплексной или полудуплексной передачи битов, двух или многоточечного соединения, уведомления канального уровня об отказах на физическом уровне.

Таблица 1.1

Основные функции уровней эталонной модели ВОС

№ уровня	Функции
1	2
7	Идентификация партнёров по обмену Определение доступности партнёров в данный момент Выбор метода защиты от несанкционированных действий Аутентификация партнёров по обмену Определение достаточности объема необходимых ресурсов Определение приемлемого качества услуг Синхронизация взаимодействия ППП
6	Запрос на установление соединения Передача данных Соглашение по выбору синтаксиса Преобразование синтаксиса на передаче и приёме Выполнение специальных функций, например сжатие информации Запрос на завершение сеанса связи

Основными элементами модели СПД являются:

пакетные адаптеры (ПАД), принадлежащие СПД и обеспечивающие реализацию функций объединения потоков данных нескольких каналов и представления данных в необходимом для ЦКП виде;

центры коммутации пакетов, принадлежащие СПД и реализующие функции трех первых уровней протокола передачи данных выбора маршрута передачи, поддержания сетевого узла в рабочем состоянии, контроля функционирования и др.; ЦКП может содержать в качестве аппаратно-программных средств; серверы маршрутизаторы, концентраторы нагрузки;

цифровые автоматические телефонные станции (ЦАТС), не принадлежащие СПД, но являющиеся средствами обеспечения доступа пользователей к ЦКП; главным назначением ЦАТС является обслуживание исходящих и входящих телефонных вызовов пользователей сети (абонентов ЦАТС), обеспечивающее установление, в соответствии с принятыми (по абонентским или соединительным линиям ЦАТС) сигнальными сообщениями абонентов, затребованных ими соединений с абонентами данной ЦАТС, с ЦКП, с ПАД, либо с соседними ЦАТС и ретрансляцией туда соответствующих вызовов; в состав ЦАТС, кроме коммутатора, входит операционная система и прикладное программное обеспечение, доступ к которому имеют операторы и администраторы ЦАТС, и система управления ЦАТС.

центр управления сетью (ЦУС), который в общем случае может быть совмещен с одним из ЦКП;

шлюз, обеспечивающий взаимодействие двух сетей передачи данных общего пользования с коммутацией пакетов.

Рис. 1.2. Модель сети передачи данных

Рассмотрим основные понятия информационной безопасности.

Информационная безопасность - совокупность свойств информации и поддерживающей инфраструктуры быть защищённой от случайных или преднамеренных воздействий естественного или искусственного характера.

Обеспечение информационной безопасности - выполнение норм и требований по защите информации пользователя от определённых воздействий нарушителя на объекты сетей телекоммуникаций и циркулирующих в них информацию.

Защита информации (данных) - комплекс правовых, организационных и технических (программно-аппаратных) мероприятий, направлённых на предотвращение или затруднения нанесения ущерба интересам собственника информации (данных).

Система обеспечения информационной безопасности - совокупность правовых, организационных и технических мероприятий, средств и норм, направлённых на предотвращение или существенное затруднение нанесения ущерба интересам собственника информации.

Несанкционированный доступ к информации (НСД) - деятельность по получению защищаемой информации заинтересованным субъектом с нарушением установленных правовыми документами или собственником (владельцем) информации прав или правил доступа к защищаемой информации.

Криптографический метод защиты информации - методы защиты информации, основанный на принципе её шифрования и кодирования. Криптографический метод может быть реализован как программными, так и аппаратными средствами.

Служба обеспечения информационной безопасности - структурное подразделение, занимающееся разработкой, реализацией и контролем выполнения организационно-технических, аппаратно- программных и режимных мер обеспечения информационной безопасности.

Информационные ресурсы сетей телекоммуникаций - программное обеспечение, хранимые или получаемые сведения, показатели и параметры, информация управления, передаваемые сообщения пользователей и др.

В области безопасности информации основными характеристиками являются:

конфиденциальность информации;

целостность информации;

доступность информации.

Конфиденциальность информации - субъективно определяемую (приписываемую) характеристику (свойство) информации, указывающую на необходимость введения ограничений на круг субъектов, имеющих доступ к данной информации, и обеспечиваемую способностью системы (среды) сохранять указанную информацию в тайне от субъектов, не имеющих полномочий на доступ к ней. Объективные предпосылки подобного ограничения доступности информации для одних субъектов заключены в необходимости защиты законных интересов других субъектов информационных отношений.

Целостность информации, то есть свойство информации, заключающееся в ее существовании в неискаженном виде (неизменном по отношению к некоторому фиксированному ее состоянию). Точнее говоря, субъектов интересует обеспечение более широкого свойства - достоверности информации, которое складывается из адекватности (полноты и точности) отображения состояния предметной области и непосредственно целостности информации, то есть ее неискаженности. Однако мы ограничимся только рассмотрением вопросов обеспечения целостности информации, так как вопросы обеспечения адекватности отображения выходят далеко за рамки проблемы обеспечения информационной безопасности.

Доступность информации, то есть свойство системы (среды, средств и технологии ее обработки), в которой циркулирует информация, характеризующееся способностью обеспечивать своевременный беспрепятственный доступ субъектов к интересующей их информации и готовность соответствующих автоматизированных служб к обслуживанию поступающих от субъектов запросов всегда, когда в обращении к ним возникает необходимость.

Рис.1.3. Взаимосвязь трёх характеристик информационной безопасности

1.2 Проблемы и задачи обеспечения информационной безопасности в сетях передачи данных

По мере развития и усложнения средств, методов и форм автоматизации процессов обработки информации повышается зависимость общества от степени безопасности используемых им информационных технологий.

При рассмотрении безопасности СПД можно выделить две группы проблем: безопасность компьютера и сетевая безопасность. К безопасности компьютера относят все проблемы защиты данных, хранящихся и обрабатывающихся компьютером, который рассматривается как автономная система. Под сетевой безопасностью понимают все вопросы, связанные с взаимодействием устройств в сети, это прежде всего защита данных в момент их передачи по линиям связи и защита от несанкционированного удаленного доступа в сеть. Обеспечение безопасности сводится к тому, чтобы сделать проникновение контролируемым -- каждому пользователю сети должны быть четко определены его права по доступу к информации, внешним устройствам и выполнению системных действий на каждом из компьютеров сети.

Помимо проблем, порождаемых возможностью удаленного входа в сетевые компьютеры, сети по своей природе подвержены еще одному виду опасности -- перехвату и анализу сообщений, передаваемых по сети, а также созданию «ложного» трафика. Большая часть средств обеспечения сетевой безопасности направлена на предотвращение именно этого типа нарушений.

Безопасность информации в СПД обеспечивается способностью в этой сети сохранять конфиденциальность информации при ее вводе, выводе, передаче, обработке и хранении, а также противостоять ее разрушению, хищению или искажению.

Наиболее характерной и существенной особенностью проблемы обеспечения информационной безопасности является необходимость противодействия не только случайным воздействиям, таким, например, как отказы, сбои или ошибки технических систем и людей, но и прежде всего преднамеренным, злоумышленным действиям умного и технически оснащенного человека.

Рис. 1.4. Структура информационной безопасности

Услуги обеспечения информационной безопасности:

Аутентификация объединяет 1 и 2 уровень услуг, включая в себя аутентификацию одноуровневых объектов и аутентификации источников данных.

Аутентификация одноуровневых объектов обеспечивает подтверждение подлинности одного или нескольких взаимодействующих объектов, при установлении соединения периодически в течение фазы передачи данных;

Аутентификации источников данных обеспечивает подтверждение того, то отправителем данных является объявленный объект (n+1)-уровня;

3.Контроль доступа обеспечивает защиту от несанкционированного использования ресурсов;

Конфиденциальность данных объединяет 4, 5, 6 и 7 уровни услуг и обеспечивает защиту от несанкционированного раскрытия и может состоять из следующих форм:

4.Конфиденциальность соединения;

5.Конфиденциальность без соединения;

6.Конфиденциальность выборочных полей;

7.Конфиденциальность потока данных;

Целостность объединяет 8, 9, 10, 11 и 12 уровни услуг и состоит из следующих форм:

8.Целостность соединения с восстановлением;

9.Целостность соединения без восстановления;

10.Целостность выборочных полей соединения;

11.Целостность без соединения;

12.Целостность выборочных полей без соединения;

Защита от отказов объединяет 13 и 14 уровни услуг и делится на защиту от отказов с подтверждением источника и на защиту от отказа с подтверждением доставки.

Таблица 1.2

Взаимосвязь услуг и механизмов обеспечения безопасности

№	Механизм Услуга	Шифрование	Цифровая подпись	Контроль доступа	Целостность данных	Обменная аутентификация	Подстановка трафика	Управление маршрутизацией	Арбитраж
1	2	3	4	5	6	7	8	9	10
1	Аутентификация одноуровневых объектов	*	*			*
2	Аутентификация источника данных	*	*
3	Контроль доступа			*
4	Конфиденциальность соединения	*						*
5	Конфиденциальность без соединения	*						*
6	Конфиденциальность выделенного поля	*
7	Конфиденциальность потока данных	*					*	*
8	Целостность соединения с восстановлением	*			*
9	Целостность соединения без восстановлением	*			*
10	Целостность выделенного поля соединения	*			*
11	Целостность без соединения	*	*		*
12	Целостность выделенного поля без соединения	*	*		*
13	Защита от отказов с подтверждением источника		*		*				*
14	Защита от отказов с подтверждением доставки		*		*				*

Уже на первых ступенях услуг становится ясно, что аутентификация является основным фактором обеспечения информационной безопасности.

Механизмы обеспечения информационной безопасности:

1.Механизмы шифрования. Шифрование обеспечивает конфиденциальность передаваемых данных и/или информацию о потоках данных;

2.Механизмы электронной цифровой подписи, включающей процедуры закрытия блоков данных и проверки закрытого блока данных.

3.Механизмы контроля доступа осуществляют проверку полномочий объекта на доступ к ресурсам.

4.Механизмы обеспечения целостности данных. Существует два спектра целостности данных: целостность одного блока данных или поля и целостность потоков блоков данных и полей.

5.Механизмы обеспечения аутентификации. Для обеспечения аутентификации используется: пароли, формируемые передающим объектом и проверяемые принимающим объектом; криптографические методы; проверка характеристик объекта.

6.Механизмы защиты трафика могут использоваться для обеспечения различного уровня защиты от анализа потоков;

7. Механизм управления маршрутом. Маршруты могут выбираться или могут быть заранее заданными с тем, чтобы использовать только физически безопасные подсети, коммутаторы или каналы;

8. Механизмы арбитража (нотаризация или освидетельствование);

К задачам, которые необходимо решить для обеспечения информационной безопасности сетей относятся:

-защита сетей от незаконного доступа пользователей к предоставляемым услугам;

-обеспечение гарантируемого качества обслуживания в условиях возможных преднамеренных воздействий нарушителей на сеть;

-обеспечение обнаружения попыток блокирования нарушителем работы сети, локализация мест воздействия нарушителя и ликвидация последствий его действий;

-защита сетей от возможности активизации вредоносных программ (вирусов и т.п.).

Этапы обеспечения информационной безопасности сети передачи данных включает:

-общую характеристику объектов (описание, состав функций и существующих технологий);

формулировку основных задач и функций обеспечения информационной безопасности в пути решения этих задач;

перечень типичных угроз безопасности и возможные пути их реализации;

основные принципы, подходы, меры, методы и средства обеспечения информационной безопасности.

Задачами обеспечения информационной безопасности СПД являются: обеспечение своевременности, подлинности, целостности и упорядоченности передаваемых данных пользователя в условиях заданных воздействий нарушителя с целью защиты от блокирования процесса передачи данных.

Функции обеспечение информационной безопасности СПД заключаются:

в использовании организационно - технических мероприятий, затрудняющих доступ к средствам, данным управления, циркулирующих в сети;

в создании подсистем обеспечения информационной безопасности в целях обнаружения актов воздействия, их локализации и ликвидации последствий воздействия.

Требования к информационной безопасности конкретной СПД должен устанавливать заказчик объекта, который должен иметь достаточный опыт, точно знать, какими методами можно проверить то или иное требование. Требования к информационной безопасности должны обладать двумя основными свойствами: они должны быть чётко определены и однозначно проверяемы. В сети ПД необходимо выделение ресурсов сети и информации, анализируемых с точки зрения их защиты от угроз безопасности. В сети ПД циркулируют различные виды информации:

информация (данные) пользователей;

информация (данные) управления;

информация (данные), связанная с бизнес процессами.

Информационная безопасность СПД должна обеспечиваться комплексом правовых, организационно - технических, режимных мероприятий и программно-аппаратных средств, разрабатываемых с учётом стратегии и планов развития сети, а также с учётом мирового опыта.

1.3 Аутентификация, как один из важных способов обеспечения информационной безопасности

Важное место среди комплекса мер обеспечения информационной безопасности СПД занимает аутентификация. Чтобы обеспечить безопасность информационных ресурсов, устранить возможность несанкционированного доступа, усилить контроль санкционированного доступа к конфиденциальной либо к подлежащей засекречиванию информации, внедряются различные системы опознавания, установления подлинности объекта (субъекта) и разграничения доступа. В основе построения таких систем находится принцип допуска и выполнения только таких обращений к информации, в которых присутствуют соответствующие признаки разрешенных полномочий.

Идентификация (Identification) -- это процедура распознавания субъекта по его идентификатору. В процессе регистрации субъект предъявляет системе свой идентификатор и она проверяет его наличие в своей базе данных. Субъекты с известными системе идентификаторами считаются легальными (законными), остальные субъекты относятся к нелегальным.

Аутентификация (Authentication) -- процедура проверки подлинности субъекта, позволяющая достоверно убедиться в том, что субъект, предъявивший свой идентификатор, на самом деле является именно тем субъектом, идентификатор которого он использует. Для этого он должен подтвердить факт обладания некоторой информацией, которая может быть доступна только ему одному (пароль, ключ и т.п.).

Рис. 1.5. Аутентификация по паролю

Идентификация и аутентификация являются взаимосвязанными процессами распознавания и проверки подлинности субъектов (пользователей). Именно от них зависит последующее решение системы: можно ли разрешать доступ к ресурсам системы конкретному пользователю или процессу. После идентификации и аутентификации субъекта выполняется его авторизация.

Авторизация (Authorization) -- процедура предоставления субъекту определенных прав доступа к ресурсам системы после прохождения им процедуры аутентификации. Главной задачей системы авторизации является обеспечение защиты от несанкционированного использования легальных ресурсов.

С процедурами аутентификации и авторизации тесно связана процедура администрирования действий пользователя.

Администрирование (Аccounting) - регистрация действий пользователя в сети, включая его попытки доступа к ресурсам. Хотя эта учетная информация может быть использована для выписывания счета, с позиций безопасности она особенно важна для обнаружения, анализа инцидентов безопасности в сети и соответствующего реагирования на них. Записи в системном журнале, аудиторские проверки и программное обеспечение accounting - все это может быть использовано для обеспечения подотчетности пользователей, если что-либо случится при входе в сеть с их идентификатором.

Санкционирование - представление субъекту возможности выполнять с объектом операции, на которые он имеет право. Каждый пользователь проходит процедуру идентификации и аутентификации перед тем, как получить доступ к системе сети. В процессе регистрации пользователь видит свое имя, имя сервера и т.д., к которым ему необходимо получить доступ и пароль. Если имя и пароль введены с ошибкой, то система сообщит о невозможности авторизации доступа. В случае правильности ввода пароля система сравнивает вводимые данные с хранящимися в базе данными пользователя. Доступ становится возможным лишь при положительном результате проверки.

Различают два основных типа аутентификации: аутентификация субъекта и аутентификация объекта.

Аутентификация субъекта решает задачу установления подлинности идентификатора, предъявляемого субъектом взаимодействия (например, пользователя, прикладных процессов и т.п.) и обычно используется при доступе к ресурсам. Аутентификация субъекта может быть как односторонней, так и взаимной. При односторонней аутентификации аутентифицируется только один субъект. При взаимной аутентификации два взаимодействующих субъекта аутентифицируют друг друга

Объектами идентификации и аутентификации могут быть:

- люди (пользователи, операторы и др.);

-технические средства (мониторы, рабочие станции, абонентские пункты);

- документы (ручные, распечатки и др.);

- магнитные носители информации;

- информация на экране монитора и др.

Каждый пользователь проходит процедуру идентификации и аутентификации перед тем, как получить доступ к системе сети (рис.1.6). В процессе регистрации пользователь вводит свое имя, имя сервера и т.д., к которым ему необходимо получить доступ и пароль. Если имя и пароль введены с ошибкой, то система сообщит о невозможности авторизации доступа. В случае правильности ввода пароля система сравнивает вводимые данные с хранящимися в базе данными пользователя. Доступ становится возможным лишь при положительном результате проверки.

Аутентификация объекта устанавливает подлинность идентификаторов некоторого объекта. В качестве доказательства подлинности обычно используется подтверждение того, что источником данного объекта является владелец указанного идентификатора (например, отправитель электронной почты и т.д.). Отличие от аутентификации субъекта состоит в том, что в этом случае претенденту не нужно быть активным участником процесса аутентификации. Этот тип аутентификации тесно связан с контролем целостности данных, поскольку верификатор, получивший сообщение, должен быть уверен в том, что информация, посланная претендентом, не была изменена.

Метод аутентификации (метод регистрации) -- специфика использования определенного типа аутентификационных факторов в процедуре аутентификации.

Методы аутентификации пользователей различаются прежде всего аутентификационными факторами.

Аутентификационный фактор - определенный вид информации, представляемый субъектом системе при его аутентификации.

Всё множество использующих в настоящее время методов аутентификации можно разделить на 3 большие группы:

1. Методы, основанные на знании некоторой секретной информации.

Классическим примером таких методов является парольная защита, когда в качестве средства аутентификации пользователю предлагается ввести пароль - некоторую последовательность символов. Данные методы аутентификации являются наиболее распространёнными.

Рис.1.6. Простая схема аутентификация.

2.Методы, основанные на использовании уникального предмета. В качестве такого предмета могут быть использованы смарт-карта, токен, электронный ключ и т.д.

3.Методы, основанные на использовании биометрических характеристик человека. Наибольшее распространение получили сканеры отпечатков пальцев и рисунков сетчатки и радужной оболочки глаза.

Широко распространена практика совместного использования нескольких из перечисленных выше механизмов - в таких случаях говорят о многофакторной аутентификации.

Таблица 1.3.

Сравнение методов идентификации и аутентификации

Характеристики	Аутентификация и идентификация на основе
	пароля	уникального предмета	биометрических характеристик
Наличие дополнительных аппаратных средств	отсутствует	присутствует	присутствует
Многофакторность	нет	да	да
Возможность защиты от злоумышленника	низкая	средняя	средняя
Возможность защиты данных	нет	нет	нет
Стоимость решения	низкая	высокая	высокая

Многофакторная аутентификация -- аутентификация, в процессе которой используются аутентификационные факторы нескольких типов.

Например, пользователь должен предоставить смарт-карту и дополнительно ввести пароль. Также используются понятия двухфакторной и трехфакторной аутентификации при использовании в процессе аутентификации комбинации двух и трех типов аутентификационных факторов соответственно.

Рис.1.7. Построение системы идентификации и аутентификации.

Выводы

Основное назначение любой сети передачи данных состоит в обязанности доставить необходимую информацию пользователю, где бы он ни находился, и желательно - в минимально короткий срок.

Информационная безопасность - совокупность свойств информации и поддерживающей инфраструктуры быть защищённой от случайных или преднамеренных воздействий естественного или искусственного характера.

Задачами обеспечения информационной безопасности СПД являются обеспечение своевременности, подлинности, целостности и упорядоченности, передаваемых данных пользователя в условиях заданных воздействий нарушителя с целью защиты от блокирования процесса передачи данных

В области безопасности информации основными характеристиками являются: конфиденциальность информации; целостность информации; доступность информации.

5) Именно от идентификации и аутентификации зависит последующее решение системы: можно ли разрешать доступ к ресурсам системы конкретному пользователю или процессу.

6) Аутентификация делится на 3 метода:

- аутентификация на основе парольной защиты;

- аутентификация на основе уникального предмета;

- аутентификация на основе биометрических характеристик.

Размещено на http://www.allbest.ru//

2.АНАЛИЗ СОВРЕМЕННЫХ МЕТОДОВ АУТЕНТИФИКАЦИИ

2.1 Анализ методов аутентификации на основе парольной защиты, одноразовые и многоразовые пароли

Самым распространенным методом аутентификации является метод на основе парольной защиты, так как парольная защита становится одним из первых объектов атаки при вторжении злоумышленника в защищенную систему.

Пароль - это то, что знает пользователь и другой участник взаимодействия. Для взаимной аутентификации участников взаимодействия может быть оганизован обмен паролями.

Главное достоинство парольной аутентификации - простота и привычность. Пароли давно встроены в операционные системы и иные сервисы. При правильном использовании пароли могут обеспечить приемлемый для многих организаций уровень безопасности. Тем не менее, по совокупности характеристик их следует признать самым слабым средством проверки подлинности.

Чтобы пароль был запоминающимся, его зачастую делают простым (имя подруги, название спортивной команды и т.п.). Однако простой пароль нетрудно угадать, особенно если знать пристрастия данного пользователя.

Слабая парольная защита является одной из основных причин уязвимости компьютерных систем к попыткам несанкционированного доступа. В 2008 году 84 % компьютерных взломов были осуществлены вследствие несовершенства парольной защиты.

При первой регистрации пользователя администратор определяет круг полномочий для получения и изменения информации или выполнения определенных управляющих действий в системе, руководствуясь его профессиональными обязанностями и должностными инструкциями. Затем пользователю предлагается ввести свой пароль согласно правилам, принятым в данной системе. Метод паролей требует, чтобы вводимый пользователем пароль (строка символов) сравнивался с тем, который хранится в вычислительной системе для данного пользователя. Если пароль верен, система должна вывести на экран терминала дату и время последнего входа в систему этого пользователя. Затем пользователю предоставляется возможность пользоваться всей информацией, доступ к которой ему разрешен (пароли можно также использовать независимо от пользователя для защиты файлов, записей, полей данных внутри записей и т.д.). Процедура установления подлинности пользователей с помощью пароля приведена на рис.2.1.

Парольная защита является достаточно эффективной, если:

-сохранять пароль в тайне;

-просматривать систему для поиска резидентных программ или троянских коней, предназначенных для перехвата паролей; установить защиты в системе от таких программ;

-установить требования к минимальной длине и множеству символов в паролях;

-при наличии средств использовать интеллектуальные карты, опознавательные знаки, биометрические устройства управления доступом;

-осуществлять периодическое изменение паролей и контроль их сроков действия.

Система не должна отображать вводимые пользователем пароли, либо на месте ввода выводить последовательность случайных символов. Не следует хранить пароли в открытом в виде или на носителе. Немедленно после ввода пароля производить шифрование пароля и очистку памяти, содержащую открытый текст пароля. Для предотвращения угадывания пароля рекомендуется использовать пароли, генерируемые компьютером, а также производить блокировку после определенного количества попыток ввода неправильного пароля.

Рис.2.1. Схема установления подлинности пользователя.

Рис.2.2. Виды паролей

Простой пароль. Простой пароль - вводимая пользователем с клавиатуры строка символов. В схеме с простым паролем пользователю разрешается самому выбирать пароль таким образом, чтобы его было легко запомнить. Иногда в ряду символов пароля и в конце его оставляют пробелы. Отличие действительного пароля от кажущегося (без пробелов) повышает защищенность системы.

Подбор пароля путем простого перебора комбинаций предполагает перебор всех возможных сочетаний символов в пароле. Время, необходимое для разгадывания пароля методом простого перебора, является геометрической прогрессией от длины пароля, но есть различные кривые, зависящие от размера алфавита, на основе которого был создан пароль и от размера набора символов, по отношению к которым рассматриваются различные пароли.

Выборка символов. Использование в качестве пароля отдельных символов условного слова (например, 1 и 5 буква) предотвращает ситуацию, когда целое слово может быть случайно услышано. Запрашиваемые символы пароля изменяются при каждой новой попытке доступа. Позиции запрашиваемых символов можно получить с помощью некоторой процедуры преобразования, привязанной к показаниям часов ЭВМ или выработать генератором псевдослучайных чисел. Однако пароль следует изменять достаточно часто, поскольку он может быть составлен из отдельных символов.

Пароль однократного использования. В схеме однократного использования пароля пользователю выдается список из N паролей. Такие же N паролей хранятся в ЭВМ (в зашифрованном виде). Данная схема обеспечивает большую степень безопасности, но она является и более сложной. После использования пароля пользователь вычеркивает его из списка. При дальнейшей работе система на этот пароль реагировать не будет, поскольку ожидает следующий по списку пароль.

Пароли однократного использования могут применяться также для установления подлинности подтверждения об отключении ЭВМ от обслуживания пользователя и подтверждения подлинности требования пользователя об отключении от ЭВМ. Всякий раз, когда получено требование пользователя об окончании работы, ЭВМ немедленно передает ему свой пароль однократного использования и прерывает связь. Если пользователь отключается и не получает истинного пароля от ЭВМ, ему следует принять меры предосторожности.

Недостатки паролей однократного использования:

- пользователь должен помнить весь список паролей и следить за текущим паролем;

- в случае ошибки в процессе передачи пользователь не знает, следует ли ему передать тот же пароль или послать следующий;

- если пароли определены путем использования линейной последовательности псевдослучайных чисел, то первоначальная последовательность может быть восстановлена на основании нескольких перехваченных паролей.

Метод «запрос-ответ». В методе “запрос-ответ” набор ответов на m стандартных и n ориентированных на пользователя вопросов хранится в ЭВМ и управляется операционной системой. Когда пользователь делает попытку включиться в работу, операционная система случайным образом выбирает и задает ему некоторые (или все) из этих вопросов. Пользователь должен дать правильный ответ на все вопросы, чтобы получить разрешение на доступ к системе. Иногда пользователям задается большое количество стандартных вопросов и от них требуются ответы на те, которые они выберут.

Шифрование паролей. Шифрование пароля повышает безопасность системы. Этот метод предполагает, что пароль, вводимый при входе в систему, шифруется и сравнивается с зашифрованным паролем, хранящимся в базе данных. Для шифрования пароля можно использовать простой метод обратимого шифрования или более сложный метод “необратимой беспорядочной сборки”, когда несколько паролей в явной форме преобразуются в одинаковый зашифрованный пароль. В этом случае не существует никакой схемы для возвращения к оригиналу пароля. Система просто шифрует каждый пароль пользователя во время процесса регистрации и сверяет его с зашифрованным паролем, хранящимся в собственном файле пользователя.

Пример этого метода - полиномиальное необратимое представление:

f(x)=(xn+a1xn-1+...+an-1x+an)modP, (2.1)

где P- большое, ai и n - целые числа; x -пароль в явной форме; f(x) - зашифрованный пароль.

Режим «рукопожатия». Операционная система может потребовать, чтобы пользователь установил свою подлинность с помощью корректной обработки алгоритмов, которую называют режимом “рукопожатия” и она может быть выполнена как между двумя компьютерами, так и между пользователем и компьютером.

ЭВМ для установления подлинности могла дать пользователю число, выбранное случайным образом, а затем запросить от него ответ. Для подготовки ответа пользователь “u” применяет собственное заранее подготовленное преобразование tu. Информацией, на основе которого принимается решение, здесь является не пароль, а преобразование tu. ЭВМ посылает значение x, а пользователь отвечает значением tu(x). Даже в случае знания значений x и tu(x) угадать функцию преобразования невозможно. Функция преобразования может быть различна для каждого пользователя.

Запрос пары пароль-ключ. Пароли можно использовать не только для установления подлинности пользователя по отношения к системам, но и для обратного установления подлинности. Это важно, например, в сетях ЭВМ, когда пользователь хочет взаимодействовать только с данной ЭВМ и поэтому желает убедиться в подлинности вычислительной установки.

Пользователь вводит с клавиатуры свое имя, которое в незашифрованном виде посылается по линиям связи в ЭВМ. Вместо секретного пароля в ЭВМ хранится ключ преобразования секретности, связанный с каждым именем. Затем пользователь посылает свою копию ключа преобразования. Если ключи идентичны, значит установление подлинности как пользователя, так и ЭВМ прошло успешно. Ключ преобразования не должен передаваться по линиям связи. Если связь прекращается, то каждая сторона, участвующая в передаче сообщений, будет немедленно предупреждена о создавшейся ситуации.

В аутентификации различают схемы одноразовых и многоразовых паролей.

В общем случае многоразовый пароль может быть получен злоумышленником одним из трёх основных способов.

1. За счёт использования слабостей человеческого фактора. Методы получения паролей здесь могут быть самыми разными: подглядывание, подслушивание, шантаж, угрозы, наконец, использование чужих учётных записей с разрешения их законных владельцев.

2. Путём подбора. При этом используются следующие методы:

-полный перебор. Данный метод позволяет подобрать любой пароль вне зависимости от его сложности, однако для стойкого пароля время, необходимое для данной атаки, должно значительно превышать допустимые временные ресурсы злоумышленника;

-подбор по словарю. Значительная часть используемых на практике паролей представляет собой осмысленные слова или выражения. Существуют словари наиболее распространённых паролей, которые во многих случаях позволяют обойтись без полного перебора;

-подбор с использованием сведений о пользователе. Данный интеллектуальный метод подбора паролей основывается на том факте, что если политика безопасности системы предусматривает самостоятельное назначение паролей пользователями, то в подавляющем большинстве случаев в качестве паролей будет выбрана некая персональная информация, связанная с пользователями информационной системы.

3. За счёт использования недостатков реализации парольных систем. К таким недостаткам реализации относятся эксплуатируемые уязвимости сетевых сервисов, реализующих те или иные компоненты парольной системы защиты, или же недекларированные возможности соответствующего программного или аппаратного обеспечения.

Для мобильных приложений, а также для организации доступа к нужной информации из тех мест, где невозможно установить специальное программное обеспечение, была разработана концепция одноразовых паролей OTP - One Time Password.

Одноразовый пароль - это ключевое слово, действительное только для одного процесса аутентификации в течение ограниченного промежутка времени. Такой пароль полностью решает проблему возможного перехвата информации или банального подглядывания. Даже если злоумышленник сможет заполучить пароль пользователя, шансы воспользоваться им, для получения доступа равны нулю.

Первые реализации концепции одноразовых паролей были основаны на статичном наборе ключевых слов, т.е. сначала генерировался список паролей (ключей, кодовых слов и т.п.), которые потом могли применять пользователи. Подобный механизм использовался в первых банковских системах с возможностью удаленного управления счетом. При активации этой услуги клиент получал конверт со списком своих паролей. Затем при каждом доступе к системе он использовал очередное ключевое слово. Дойдя до конца списка, клиент снова ехал в банк за новым. Такое решение имело целый ряд недостатков, главный из которых - низкая надежность. Все-таки постоянно носить с собой список паролей опасно, его легко можно потерять или его могут украсть злоумышленники.

Сегодня ситуация изменилась. В современных технологиях аутентификации с помощью OTP применяется динамическая генерация ключевых слов с помощью сильных криптографических алгоритмов. То есть аутентификационные данные - это результат шифрования какого-либо начального значения с помощью секретного ключа пользователя. Данная информация есть и у клиента, и у сервера. Она не передается по сети и не доступна для перехвата

Различают следующие способы реализации принципа одноразовых паролей:

- механизм временных меток на основе системы единого времени;

- общий для пользователя и проверяющего список случайных паролей и падежный механизм их синхронизации;

- общий генератор случайных чисел с одним и тем же начальным значением для пользователя и проверяющего.

Рис.2.3. Пример генерации одноразовых паролей на стороне пользователя.

В качестве начального значения используется общеизвестная для обеих сторон процесса аутентификации информация, а ключ шифрования создается для каждого пользователя при его инициализации в системе (рис. 2.3).

Генерация одноразовых паролей может осуществляться аппаратным или программным способом. Аппаратные средства аутентификации на основе одноразовых паролей часто реализуются в виде миниатюрных устройств со встроенным микропроцессором. Внешне эти устройства похожи на платежные пластиковые карточки. Такие карты обычно называют ключами. У них могут быть клавиатура и небольшое дисплейное окно. Существуют и программные реализации средств аутентификации на основе одноразовых паролей в виде программных ключей. Программные ключи размещаются на гибком магнитном диске в виде обычной программы с программным генератором одноразовых паролей.

При попытке логического входа в систему пользователь сообщает системе свой идентификатор и затем вводит последовательность цифр, которую сообщает ему аппаратный или программный ключ со встроенным генератором одноразовых паролей. Ключ циклически генерирует новый пароль в виде новой последовательности цифр через небольшие постоянные интервалы времени. Сервер аутентификации сравнивает введенную пользователем цифровую последовательность с выработанным собственным значением и в зависимости от результата этого сравнения разрешает или не разрешает пользователю осуществить логический вход в систему. В качестве сервера, аутентификации могут быть использованы выделенный компьютер или программа, выполняемая на обычном сервере.

На практике получила также широкое распространение схема аутентификации на основе одноразовых паролей, предложенная Лампортом. Суть данного метода заключается в многократном использовании партнерами по аутентификационному обмену односторонней функции для генерации разделяемой последовательности одноразовых паролей.

В схеме, предложенной Лампортом, партнеры по аутентификационному обмену (пользователь и проверяющий) начинают взаимодействие с разделения секрета w. Количество сессий аутентификации, для которых назначается начальный секрет w, обозначают через N.

Односторонняя функция h (w) применяется для того, чтобы определить последовательность разовых паролей: w, h (w), h (h (w)),... hN(w), которые будут поочередно использоваться в сессиях аутентификации. Пароль, который будет использоваться в i-й сессии аутентификации, равен wi = hN-i(w). Пользователь в ходе i-й сессии аутентификации (значение предыдущей сессии wi-1, сохраняется проверяющим) передает проверяющему значение wi, а тот вычисляет значение h(wi) и производит сравнение вычисленного h(wi) и предыдущего wi-1 значений. При совпадении h(wi) = wi-1, считается, что пользователь успешно прошел аутентификацию.

Таблица 2.1.

Сравнение многоразовой и одноразовой парольных аутентификаций

Тип аутентификации	Достоинства	Недостатки
Многоразовая парольная	- относительная простота реализации. Не требует привлечения дополнительных аппаратных средств. -традиционность, являются привычными для большинства пользователей.	- часто применяются легко предсказуемые пароли; - пароль может быть подобран путем словарной атаки, т. е. перебора в качестве пароля всех слов по словарю; - пароль может быть перехвачен или подсмотрен при его вводе либо получен путем применения насилия к его владельцу.
Одноразовая парольная	- защиту от возможного перехвата и повторного использования пароля нарушителем - низкая зависимость защиты от человеческого фактора	- необходимость наличия специального сервера аутентификации - возможность подмены сервера аутентификации

2.2 Анализ методов аутентификации с помощью уникального предмета и биометрической характеристики

Широкое распространение получили персональные аппаратные средства аутентификации. Это небольшие по размеру устройства, которые позволяют пользователю получать доступ к информационным системам с локального рабочего места или удаленно с использованием подключения к сети Интернет.

Уникальность предмета, по которому выполняется аутентификация пользователя компьютером, определяется информацией, которую он содержит. Для аутентификации часто используются следующие носители информации:

* USB-токены - представляют собой устройства с различной степенью интеллекта, подключаемые к порту USB компьютера;

* смарт-карты - по функциональности похожи на USB-токены, но работа с ними осуществляется с помощью специальных устройств, называемых ридерами смарт-карт;

* электронные таблетки iButton (или Touch Memory) - это те самые ключи к домофонам, которыми оборудованы подъезды в Ташкенте; могут подключаться и к компьютеру через специальный коннектор;

* карты с магнитной полосой - аналогичные тем, которые используются в качестве билетов в автобус или метро; также требуют специального считывателя для использования компьютером.

Рис. 2.4. Аутентификация по уникальному предмету

Предметы постоянно эволюционируют: карты с магнитной полосой известны относительно давно, смарт-карты вошли в массовое использование около десяти лет назад. Да и каждый тип носителя существует в различных вариантах (исключая только карты с магнитной полосой). Например, в настоящее время используются смарт-карты трех категорий:

* карты с открытой памятью - функциональный аналог магнитных карт, способны лишь хранить какую-либо информацию в открытом виде;

* карты с защищенной памятью - для доступа к хранящейся в них информации необходимо предъявление пароля (PIN-кода);

* микропроцессорные карты - фактически сочетают функции карт с защищенной памятью и различные криптографические функции.

Простейший вариант «предметной» аутентификации состоит в том, что предмет просто хранит в открытом виде имя пользователя и его пароль. «Продвинутые» носители, например, микропроцессорные смарт-карты и подавляющее большинство USB-токенов, могут быть активными участниками процесса аутентификации (а не просто передавать по требованию пароль пользователя), что незаменимо для строгой аутентификации. В последнем случае (да и в случае смарт-карт с защищенной памятью и их аналогов) аутентификация с помощью предмета является существенно более надежной, чем парольная. Кроме того, предметы часто используются в качестве одного их факторов двухфакторной аутентификации, где в качестве второго фактора выступает пароль - например, для использования смарт-карт с защищенной памятью, микропроцессорных смарт-карт и USB-токенов необходимо предварительно предъявить PIN-код.

Технологии идентификации на основе карт с магнитной полосой

Магнитные карты срабатывают при проведении в определенном направлении и с определенной скоростью по щели считывателя. Современные магнитные полосы изготовлены из материалов, требующих сильных магнитных полей для записи и уничтожения информации, с целью сохранности информации от случайного размагничивания.

Существенным преимуществом магнитных карт является их низкая стоимость.

К основным недостаткам данной технологии можно отнести:

ограничение по объему информации, которая может быть записана на магнитную полосу;

незащищенность от копирования;

чувствительность к загрязнению, механическим повреждениям (например, царапинам, изломам), воздействию влаги;

короткий срок службы (не более 1 - 1,5 лет).

Однако технологии и средства безопасности совершенствуются, и, возможно, в недалеком будущем появятся карты, лишенные указанных недостатков.

...