Тема: Подсистемы идентификации и аутентификации личности

Цель: Изучить архитектуру и особенности использования систем идентификации и аутентификации, методы количественной оценки стойкости парольной защиты.

План лекции

1. Архитектура и особенности использования систем идентификации и аутентификации.

2. Методы количественной оценки стойкости парольной защиты.

1. Архитектура и особенности использования систем идентификации и аутентификации

Введем определение данной подсистемы. Вообще процесс «входа в систему» и получения прав состоит из трех шагов: идентификация — аутентификация — авторизация. Определение этих шагов следующее:

Идентификация — присвоение субъектам и объектам идентификатора и (или) сравнение идентификатора с перечнем присвоенных идентификаторов.

Аутентифика́ция (англ. Authentication) — проверка принадлежности субъекту доступа предъявленного им идентификатора; подтверждение подлинности.

Авторизация (англ. authorization) — процесс предоставления определенному лицу прав на выполнение некоторых действий.

В настоящее время можно выделить три основных типа аутентификации: «человек – компьютер», «компьютер – компьютер» и «человек – человек».

К факторам идентификации/аутентификации относят:

• владение скрытой для посторонних информацией (запоминаемая либо хранящаяся конфиденциальная информация). Примерами могут служить пароль, персональный идентификационный код (PIN), секретные ключи и т.п.;

• обладание материальным носителем информации (карта с магнитной полосой, электронные ключи классов touch memory и eToken, смарт-карта, дискета и т.д.);

• биометрические характеристики субъекта (отпечатки пальцев, голос, геометрия лица, особенности сетчатки и радужной оболочки глаз и т.п.).

Аутентификация «Человек – компьютер»

Эта схема используется для идентификации пользователя компьютерной системы с целью предоставления или не предоставления ему сервисов. У пользователя можно запросить информацию о том, кем он является (биометрия), что он знает (пароли), что имеет (переносные устройства) и где находится (адрес).

Выделяют следующие методы аутентификации пользователей:

• статические и одноразовые пароли;

• биометрия – метод автоматизированного распознавания человека по его уникальным физиологическим или поведенческим характеристикам. Ряд компаний (Microsoft, IBM, Novell, Compaq и др.) образовали консорциум BioAPI (http://www.bioapi.org/), призванный сделать распознавание речи, лица и отпечатков пальцев базовыми технологиями персональных компьютеров с помощью стандартизации интерфейсов прикладного программирования (API), которые встраиваются в операционные системы и прикладное программное обеспечение. Вариантов биометрических методов более 600, среди них можно выделить следующие:

по отпечаткам пальцев. Одна из относительно дешевых и популярных систем аутентификации. Наиболее распространены два типа:

- оптическое сканирование с помощью маленькой камеры, встраиваемой, например, в клавиатуру. Полученное изображение преобразуется в цифровую свертку – карту микроточек, которая характеризуется разрывами и пересечениями линий. Она шифруется и записывается в базу данных. При этом сам отпечаток пальца не сохраняется и не может быть воссоздан по микроточкам. Однако недорогие сканеры легко поддаются обману;

- ультразвуковое сканирование. Преимуществом данного метода является возможность работы с грязными пальцами и пальцами в перчатках;

по форме ладони – метод, основанный на уникальности трехмерной геометрии кисти руки;

по расположению вен на ладони – метод основан на инфракрасном сканировании лицевой стороны ладони или кисти руки;

по сетчатке глаза – метод идентификации по рисунку кровеносных сосудов глазного дна;

по радужной оболочке глаза. Уникальный для каждого человека рисунок радужной оболочки глаза сканируется камерой, в которую инсталлировано специальное программное обеспечение;

по форме лица – более сложный метод идентификации, в котором строится трехмерный образ лица человека. На лице выделяются контуры бровей, глаз, носа, губ и т.д., вычисляется расстояние между ними и конфигурируется множество вариантов на случай поворота или наклона головы, изменения выражения лица;

по термограмме лица. Специальные инфракрасные камеры снимают термограмму лица, считывая расположение кровеносных сосудов и другие тепловые характеристики;

другие методы статической биометрии, включая идентификацию по запаху, по ДНК и др. Метод ДНК относится к числу наиболее точных, но, по понятным причинам, применяется только в исключительных случаях;

по рукописному почерку. Как правило, для этого используется подпись или кодовое слово. Цифровой код формируется в зависимости от необходимой степени защиты и при наличии соответствующего оборудования. Можно просто сравнивать картинки подписей, а можно учитывать временные характеристики написания и динамику движения пера;

- по клавиатурному почерку. Основа метода – динамика набора кодовой фразы. Если в качестве кодовой фразы используется пароль, то сразу получается двухфакторная аутентификация;

- по голосу. Существует достаточно много методов идентификации по голосу. Как правило, анализируются различные сочетания частотных и статистических характеристик голоса.

USB-Токен (переносной аутентификатор) Переносные аутентификаторы, или токены:

- асинхронные – пользователь вводит строку в устройство, получает ответ и вводит его в компьютер;

- PIN/асинхронные – асинхронный метод дополняется вводом PIN-кода в устройство;

- синхронные – например, токен синхронизирован по времени с сервером и генерирует для данного пользователя в данную минуту пароль, который уже и вводится в систему;

- PIN/синхронные.

Смарт-карты – это устройства, похожие на переносные аутентификаторы, но более сложные по своему составу. Включают в себя CPU, миниатюрную операционную систему, часы, программы на ROM, буферное RAM для криптографических вычислений, энергонезависимую память или EEPROM (Electrically Erasable Programmable Read-Only Memory) для хранения цифровых ключей. С помощью смарт-карты производится вычисление одноразовых паролей и осуществляется взаимодействие с устройством через картридер. После введения PIN-кода картридер сам запрашивает смарт-карту, и дальнейший процесс протекает без участия человека, благодаря чему можно использовать достаточно длинные ключи.

Аутентификация «компьютер – компьютер»

Данный тип связан с взаимной аутентификацией компьютеров в сети. Необходимость его использования обусловлена тем, что возникают такие вопросы, как, например:

• межсетевой экран в корпоративной сети «А» принимает пакет из компьютерной сети «В». Следует ли ему пропускать такой пакет?

• бездисковая рабочая станция загружает ядро операционной системы с загрузочного сервера. Следует ли ей загружаться с назначенного сервера?

• маршрутизатор или компьютер принимает пакет «сеть недоступна» с маршрутизатора другой сети. Следует ли ему доверять этому сообщению?

Известно немало различных способов работы с данным типом аутентификации, использующих пароли, цифровые подписи и шифрование. Аутентификация, основанная на именах компьютеров, может быть классифицирована как отсутствие аутентификации. Имена компьютеров существуют в основном для удобства пользователя. Работа с ними подразумевает безопасность системы серверов имен DNS (Domain Naming System). В некоторых случаях при аутентификации «компьютер – компьютер» пароли пересылаются практически в открытом виде. Недостатком этого метода является то, что злоумышленник может получить пароли, проанализировав сетевой трафик. Цифровые сигнатуры идентифицируют отправителя, гарантируя при этом целостность сообщений. Однозначная идентификация отправителя подразумевает, что используется сильный криптографический алгоритм, и ключевая информация не скомпрометирована. Данная технология может использоваться для аутентификации и компьютеров, и пользователей. При необходимости полной конфиденциальности применяется шифрование на основе приватных и публичных ключей.

Аутентификация «Человек – Человек»

Такой способ аутентификации применяется для распознавания личности при взаимодействии пользователей. Основными технологиями здесь являются цифровые подписи и протокол Kerberos версии 5 KDC (Key Distribution Center). Kerberos использует схему доверительного центра. Все участники, включая пользователей, клиентские и серверные программы, аутентифицируют друг друга с помощью доверительного центра.

Анализ проблем внедрения систем аутентификации

С одной стороны, недостаточная надежность аутентификации пользователей в масштабе предприятия приводит к изоляции периметра и системы доступа, что негативно сказывается на состоянии информационной безопасности в целом. С другой – аутентификация большого количества пользователей является дорогой и сложной задачей. Добавление дополнительных средств аутентификации, если это не спланировано и не внедрено должным образом, приводит к увеличению административных издержек и проблемам в управлении.

При выборе способа аутентификации имеет смысл учитывать соотношение ценности защищаемой информации и стоимости программно-аппаратного обеспечения аутентификации (включая сопровождение). Очевидно, что стоимость, а следовательно, качество и надежность средств аутентификации должны определяться важностью информации. Кроме того, повышение производительности комплекса, как правило, сопровождается его удорожанием.

Большинство экспертов сходятся во мнении, что информационная безопасность требует комбинации различных методов для исключения подтасовки и частичной потери конфиденциальной информации, необходимой для аутентификации.

Доказать то, кем является пользователь, можно с помощью биометрической аутентификации. Способы биометрической аутентификации часто применяются в совокупности с паролями или персональными идентификационными номерами (PIN) для подтверждения прав пользователя, в то время как смарт-карты или цифровые сертификаты позволяют получать информацию о том, где он находится.

Усложнение средств аутентификации – не самоцель информационной безопасности. Во-первых, из-за дороговизны внедрения такого решения. Стоимость дополнительного устройства (для снятия отпечатка пальца, картридера, видеооборудования), устанавливаемого на рабочую станцию, составляет около 100 долл. Достаточно высокая цена и серверной части, предназначенной для надежного хранения и обработки биометрической информации. Кроме того, сложные методы аутентификации являются дорогостоящими решениями и с точки зрения управления. Сюда включаются затраты на конфигурирование, инсталляцию, инвентаризацию, поддержку аппаратных и программных составляющих. Все эти ежегодные затраты на поддержку обычно превышают первоначальную стоимость в несколько раз.

Во-вторых, ограниченная масштабируемость подобных систем. Проблемой часто является загрузка телекоммуникационных каналов при внедрении централизованной аутентификации в распределенных сетях.

Только в последнее время начали появляться комплексные системы для автоматизации аутентификации.

Внедрение систем аутентификации в масштабе предприятия

Основополагающие элементы построения любой системы безопасности масштаба предприятия – системы аутентификации и управления доступом. Их необходимо планировать, внедрять и администрировать комплексно, поскольку ни одна из них в отдельности не является полнофункциональной. Что толку в однозначной идентификации пользователя, если невозможно грамотно распределить уровни доступа к информации на основе полученных данных? Какой смысл в системе управления доступом, если нельзя точно установить, кем является пользователь, от имени которого поступает запрос на доступ к ресурсу? Поэтому такие комплексные решения (Identify and Access Management) выделены в отдельный тип корпоративных систем. Сейчас существуют системы, работающие в гетерогенных средах с различными прикладными инфраструктурами. Примером может служить система eTrust IAM, обеспечивающая централизованную защиту сетевой инфраструктуры, администрирование пользователей в разнородной среде, защиту корпоративных приложений с интегрированными приложениями и управление конфигурациями, единую централизованную авторизацию пользователя на всех ресурсах и объединенное хранение всех данных.

При построении единой централизованной системы аутентификации масштаба предприятия от пользователя требуется только однократный процесс авторизации (сколь угодно сложный) с последующим единым, прозрачным, административно настраиваемым и управляемым доступом ко всем корпоративным ресурсам, включая файловые серверы, серверы приложений, web-ресурсы. Это системы типа Single SignOn.

Сервер Single SignOn осуществляет всю работу по поддержке длинных паролей (с их автоматической сменой), автоматизирует работу путем скриптов для аутентификации пользователя в прикладных системах. Внедрение такого решения позволяет упростить работу пользователей (нужно помнить лишь один пароль) и сократить административные издержки (администратор на сервере настраивает доступы во все системы).

Все события информационной безопасности необходимо выводить и обрабатывать централизованно, будь то защита периметра (syslog с межсетевых экранов, системы обнаружения вторжений, события на антивирусном шлюзе) или попытки получения доступа (к файловым ресурсам и базам данных), или антивирусная защита и т. д. Подобные интеллектуальные системы сбора и анализа информации позволят своевременно обнаруживать попытки мошенничества и предотвращать их.

Желательно также использовать системы динамического выбора подходящих средств авторизации в зависимости от типа защищаемого информационного ресурса, атрибутов пользователя и других параметров.

Практически в любых системах аутентификации используется программное обеспечение на рабочей станции клиента, поэтому необходимо централизованное управление (контроль) настройками и инсталляцией на рабочих станциях в масштабе предприятия. Только так можно гарантировать, что программное обеспечение сертифицировано, проинсталлировано администратором и подходит для работы в корпоративной сети.

Кроме того, следует напомнить о востребованных и популярных во всем мире системах организации безопасности поверх HTTP (так называемых web-сервисах). Здесь первоочередной вопрос – организация защиты web-ресурсов, аутентификации (как пользователей, так и программ между собой) и жизненного цикла пользователей.

Не менее важной задачей является связывание между собой «островов безопасности» – надежная и защищенная передача контента безопасности между территориально разрозненными системами, в каждой из которых имеется отдельная база пользователей и свои правила доступа. Для ее решения разработаны протоколы и спецификации организации передачи защищенной информации безопасности (протоколы SOAP, SAML – Security Assertion Markup Language, спецификации WS-Security), работает организация OASIS (Organization for the Advancement of Structured Information Standards), предлагаются соответствующие программы.

ГОСТ Р ИСО 7498-2-99 «Информационная технология. Взаимосвязь открытых систем. Базовая эталонная модель. Часть 2. Архитектура защиты информации» введен в действие с 01.01.2000г. и содержит общее описание тех услуг и соответствующих механизмов защиты, которые могут быть обеспечены эталонной моделью; определяет те позиции в рамках эталонной модели, в которых могут обеспечиваться эти услуги и механизмы; расширяет область применения ГОСТ Р ИСО/МЭК 7498-1, охватывая вопросы защиты обмена данными между открытыми системами.

Иллюстрация взаимоотношения между услугами защиты и уровнями

В таблице 2 приведены уровни эталонной модели, которые могут обеспечивать конкретные услуги защиты. Описания услуг защиты приведены в 5.2. Обоснование размещения услуг защиты на конкретных уровнях приведено в приложении В.

Примечания

1 При составлении таблицы 2 не ставилась задача показать, что ее элементы имеют одинаковый вес и значимость; наоборот, существует значительная градация масштаба относительно элементов таблицы.

2 Размещение услуг защиты внутри сетевого уровня описано в 7.3.2. Позиция услуг защиты внутри сетевого уровня существенным образом влияет на характер и область применения обеспечиваемых им услуг.

3 Уровень представления содержит ряд средств защиты, которые обеспечивают предоставление услуг защиты прикладным уровнем.

Таблица 2

Услуга	Уровень
							7*
Аутентификация равноправного логического объекта			Да	Да			Да
Аутентификация источника данных			Да	Да			Да
Услуга управления доступом			Да	Да			Да
Конфиденциальность в режиме с установлением соединения	Да	Да	Да	Да			Да
Конфиденциальность в режиме без установления соединения		Да	Да	Да			Да
Конфиденциальность выборочного поля							Да
Конфиденциальность потока трафика	Да		Да				Да
Целостность в режиме с установлением соединения с восстановлением				Да			Да
Целостность в режиме с установлением соединения без восстановления			Да	Да			Да
Целостность выборочного поля в режиме с установлением соединения							Да
Целостность в режиме без установления соединения			Да	Да			Да
Целостность выборочного поля в режиме без установления соединения							Да
Безотказность с подтверждением отправителя							Да
Безотказность с подтверждением доставки							Да
Обозначения Да - услуга должна предусматриваться в стандартах по соответствующему уровню в качестве факультативной возможности поставщика; *- относительно уровня 7 следует заметить, что прикладной процесс сам может обеспечивать услуги защиты.

2. Методы количественной оценки стойкости парольной защиты

Подсистемы идентификации и аутентификации пользователя играют очень важную роль в системах защиты информации.

Стойкость подсистемы идентификации и аутентификации пользователя в системе защиты информации (СЗИ) во многом определяет устойчивость к взлому самой СЗИ. Данная стойкость определяется гарантией того, что злоумышленник не сможет пройти аутентификацию, присвоив чужой идентификатор или украв его.

Парольные системы идентификации/аутентификации является одними из основных и наиболее распространенных в СЗИ методами пользовательской аутентификации. В данном случае, информацией, аутентифицирующей пользователя, является некоторый секретный пароль, известный только легальному пользователю.

Парольная аутентификация пользователя является, как правило, передним краем обороны СЗИ. В связи с этим, модуль аутентификации по паролю наиболее часто подвергается атакам со стороны злоумышленника. Цель злоумышленника в данном случае – подобрать аутентифицирующую информацию (пароль) легального пользователя.

Методы парольной аутентификации пользователя являются наиболее простыми методами аутентификации и при несоблюдении определенных требований к выбору пароля являются достаточно уязвимыми.

Основными минимальными требованиями к выбору пароля и к подсистеме парольной аутентификации пользователя являются следующие.

К паролю

1. Минимальная длина пароля должна быть не менее 6 символов.

2. Пароль должен состоять из различных групп символов (малые и большие латинские буквы, цифры, специальные символы ‘(’, ‘)’, ‘#’ и т.д.).

3. В качестве пароля не должны использоваться реальные слова, имена, фамилии и т.д.

К подсистеме парольной аутентификации.

1. Администратор СЗИ должен устанавливать максимальный срок действия пароля, после чего, он должен быть сменен.

2. В подсистеме парольной аутентификации должно быть установлено ограничение числа попыток ввода пароля (как правило, не более 3).

3. В подсистеме парольной аутентификации должна быть установлена временная задержка при вводе неправильного пароля.

Как правило, для генерирования паролей в СЗИ, удовлетворяющих перечисленным требованиям к паролям, используются программы - автоматические генераторы паролей пользователей.

При выполнении перечисленных требований к паролям и к подсистеме парольной аутентификации, единственно возможным методом взлома данной подсистемы злоумышленником является прямой перебор паролей (brute forcing). В данном случае, оценка стойкости парольной защиты осуществляется следующим образом.

Количественная оценка стойкости парольной защиты

Пусть A – мощность алфавита паролей (количество символов, которые могут быть использованы при составлении пароля. Например, если пароль состоит только из малых английских букв, то A=26).

L – длина пароля.

- число всевозможных паролей длины L, которые можно составить из символов алфавита A.

V – скорость перебора паролей злоумышленником.

T – максимальный срок действия пароля.

Тогда, вероятность P подбора пароля злоумышленником в течении срока его действия V определяется по следующей формуле.

Эту формулу можно использовать в обратную сторону для решения следующей задачи:

ЗАДАЧА. Определить минимальные мощность алфавита паролей A и длину паролей L, обеспечивающих вероятность подбора пароля злоумышленником не более заданной P, при скорости подбора паролей V, максимальном сроке действия пароля T.

Данная задача имеет неоднозначное решение. При исходных данных V,T,P однозначно можно определить лишь нижнюю границу S* числа всевозможных паролей. Целочисленное значение нижней границы вычисляется по формуле

, (1)

где - целая часть числа, взятая с округлением вверх.

После нахождения нижней границы S* необходимо выбрать такие A и L для формирования S=A^L, чтобы выполнялось неравенство (2).

(2)

При выборе S, удовлетворяющего неравенству (2), вероятность подбора пароля злоумышленника (при заданных V и T) будет меньше, чем заданная P.

Необходимо отметить, что при осуществлении вычислений по формулам (1) и (2), величины должны быть приведены к одним размерностям.

Пример

Исходные данные – P =10^-6, T =7 дней = 1 неделя, V =10 паролей / минуту = 10*60*24*7=100800 паролей в неделю.

Тогда, .

Условию удовлетворяют, например, такие комбинации A и L, как A =26, L =8 (пароль состоит из 8 малых символов английского алфавита), A =36, L =6 (пароль состоит из 6 символов, среди которых могут быть малые латинские буквы и произвольные цифры).

Контрольные вопросы.

1. Чем определяется стойкость подсистемы идентификации и аутентификации?

2. Перечислить минимальные требования к выбору пароля.

3. Перечислить минимальные требования к подсистеме парольной аутентификации.

4. Как определить вероятность подбора пароля злоумышленником в течении срока его действия?

5.Выбором каким параметров можно повлиять на уменьшение вероятности подбора пароля злоумышленником при заданной скорости подбора пароля злоумышленником и заданном сроке действия пароля?

Дата добавления: 2014-01-20