Реализация механизмов парольной защиты. Процедуры идентификации пользователя на рабочей станции и взаимной идентификации удаленных рабочих станций

Ввод идентификатора и пароля может осуществляться, как с примене­нием штатных средств компьютера — клавиатуры, устройств ввода (на­пример, дисковод — с дискеты), так и с использованием специализиро­ванных устройств аутентификации — всевозможных аппаратных ключей, биометрических устройств ввода параметров и т.д.

Для сравнения вводимой и эталонной информации, эталон­ные учетные данные пользователей должны где-то храниться. Возможно хра­нение эталонных учетных данных непосредственно на защищаемом объекте. Тогда при вводе учетных данных из памяти считываются эталонные значе­ния и сравниваются с вводимыми данными.

Кроме того, эталонные данные могут располагаться на сервере. Тогда эта­лонные значения на защищаемом объекте не хранятся, а вводимые дан­ные передаются на сервер, где и сравниваются с эталоном. При этом именно с сервера разрешается или запрещается доступ субъекту, кото­рый ввел учетные данные.

Очевидно, что хранить эталонный пароль как на защищаемом объекте, так и на сервере в открытом виде недопустимо. Поэтому для хранения пароля используется необратимое преобразование (Хеш-функция), позво­ляющая создавать некий образ пароля — прямое преобразование. Этот образ однозначно соответствует паролю, но не позволяет осуществить об­ратное преобразование — из образа восстановить пароль. Образы паро­лей уже могут храниться на защищаемом объекте, т.к. их знание не по­зволяет злоумышленнику восстановить исходный пароль. Для реализации необратимого преобразования наиболее часто на сегодняшний день ис­пользуется алгоритм хеширования MD5.

Требования к идентификации и аутентификации

Формализованные требования

Формализованные требования к данным механизмам защиты состоят в следующем:

· Должны осуществляться идентификация и проверка подлинности субъектов доступа при входе в систему по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов (для классов защищенности 1Г и 1В по классификации АС).

· Система защиты должна требовать от пользователей идентифициро­вать себя при запросах на доступ.

· Система защиты должна подвергать проверке подлинность иденти­фикации — осуществлять аутентификацию. Для этого она должна располагать необходимыми данными для идентификации и аутенти­фикации.

· Система защиты должна препятствовать доступу к защищаемым ре­сурсам неидентифицированных пользователей и пользователей, под­линность идентификации которых при аутентификации не подтвер­дилась (для 5 класса защищенности по классификации СВТ). Для 3 класса защищенности по классификации СВТ вводится дополни­тельное требование: система защиты должна обладать способностью надежно связывать полученную идентификацию со всеми действиями данного пользователя.

Очевидно, что кроме ограничения «...паролю условно-постоянного дей­ствия длиной не менее шести буквенно-цифровых символов...» данные требования никак не формализуют подходы к реализации механизмов па­рольной защиты. Кроме того, данные требования не определяют, каким об­разом должны быть реализованы механизмы парольной защиты и не вводят дополнительных ограничений, связанных с повышением стой­кости пароля к подбору. В частности, они не регламентируют использова­ние внешних носителей парольной информации — дискет, смарт-карт и т.д.

Дополнительные требования

Существует целая группа угроз, связанная с некор­ректностью реализации процедуры авторизации в современных ОС, а также с наличием ошибок в реализации соответствующих механизмов защиты. Это обусловливает целесообразность рассмотрения механизмов авториза­ции с целью их добавочной защиты. Кроме того, механизмы идентифика­ции и аутентификации являются важнейшими для противодействия НСД к информации, а значит, следует рассматривать возможные варианты их резервирования (как «горячего», так и «холодного»).

В рамках системного подхода к проектированию системы защиты, при раз­работке механизмов авторизации следует учитывать как явные, так и скрытые угрозы преодоления защиты. Необходимо рассматривать не отдельно механизм авторизации как таковой, а всю совокуп­ность механизмов защиты, призванных в комплексе решать рассматривае­мую задачу защиты.

Авторизация в контексте количества и вида зарегистрированных пользователей

Дата добавления: 2014-01-05