Передача пароля по сети

В большинстве случаев аутентификация происходит в распределённых системах и связана с передачей по сети информации о параметрах учётных записей пользователей. Если передаваемая по сети в процессе аутентификации информация не защищена надлежащим образом, возникает угроза её перехвата злоумышленником и использования для нарушения защиты парольной системы. Многие компьютерные системы позволяют переключать сетевой адаптер в режим прослушивания адресованного другим получателям сетевого трафика в сети, основанной на широковещательной передаче пакетов данных.

К основным видам защиты сетевого трафика относятся:

§ физическая защита сети;

§ оконечное шифрование;

§ шифрование пакетов.

Распространены следующие способы передачи по сети паролей:

· в открытом виде;

· в зашифрованном виде;

· в виде свёрток;

· без непосредственной передачи информации о пароле («доказательство с нулевым разглашением»).

Первый способ применяется и сегодня во многих популярных приложениях (например, ТЕLNЕТ, FТР и др.). В защищённой системе его можно применять только в сочетании со средствами защиты сетевого трафика.

При передаче паролей в зашифрованном виде или в виде свёр­ток по сети с открытым физическим доступом возможна реализация следующих угроз безопасности парольной системы:

- перехват и повторное использование информации;

- перехват и восстановление паролей;

- модификация передаваемой информации с целью введения в заблуждение проверяющей стороны;

- имитация злоумышленником действий проверяющей стороны для введения в заблуждение пользователя.

Основная идея схем аутентификации «с нулевым знанием» или «с нулевым разглашением» заключается в том, чтобы обеспечить возможность одному из пары субъектов доказать истинность некоторого утверждения второму, при этом не сообщая ему никакой информации о содержании самого утверждения.

Еще одним способом повышения стойкости парольных систем, связанных с передачей пароля по сети, является применение одноразовых паролей, основанное на последовательном использовании хеш-функции для вычисления очередного одноразового пароля на основе предыдущего. В начале пользователь получает упорядоченный список одноразовых паролей, последний из которых также сохраняется в системе аутентификации. При каждой регистрации пользователь вводит очередной пароль, а система вычисляет его свёртку и сравнивает с хранимым у себя эталоном. В случае совпадения пользователь успешно проходит аутентификацию, а введённый им пароль сохраняется для использования в качестве эталона при следующей регистрации. Защита от сетевого перехвата, основана на свойстве необратимости хеш-функции.

Дата добавления: 2014-12-27