Основные понятия парольной защиты. Основные виды контроля функционирования вычислительной системы

Понятия идентификации, аутентификации и авторизации. Основные подходы к построению авторизации.

Анализ возможностей корректной реализации моделей управления доступом с каналом взаимодействия субъектов доступа для ОС UNIX.

Выше мы рассматривали возможность реализации канонической модели, характеризуемой полным разграничением доступа. Теперь рассмотрим, какие типы каналов взаимодействия субъектов доступа могут быть реали­зованы для ОС семейства UNIX. Ключевым вопросом здесь является воз­можность реализации атрибута «добавление» встроенными средствами.

Примечание. Как таковой, атрибут «добавление» в ОС UNIX отсутствует. Кстати говоря, он существует в ОС Windows, но для этой операционной системы, как показано ' выше, каноническая модель встроенными средствами не может быть реали­зована в принципе.

«Добавление» встроенными средствами может быть реализовано следую­щим образом. Пользователю, которому должно разрешаться добавление данных в каталог другого пользователя, следует разрешить доступ к этому каталогу «на запись». При этом данному пользователю должен быть зап­рещен доступ «на запись» к уже существующим в данном каталоге фай­лам другого пользователя. Однако, как отмечали ранее, запрет доступа к файлам, расположенным в каталоге, возможно лишь непосредственно пользователем, создавшим эти файлы, что, строго говоря, противоречит тре­бованию «права доступа к объекту файловой системы должны на­значаться (изменяться) только администратором безопасности».

С учетом проведенного исследования можем сделать следующий вывод: корректно (в рамках рассматриваемых предположений) дискреционный механизм управления доступом может быть реализован лишь в рамках по­строения модели с физическим каналом взаимодействия субъектов доступа. Недостатки данной модели были нами рассмотрены ранее.

Отсюда следует вывод о необходимости применения добавочных средств защиты:

· для ОС Windows с целью возможной корректной модели дискрецион­ного управления доступом к ресурсам в принципе;

· для ОС семейства UNIX с целью эффективной реализации канала взаимодействия субъектов доступа (реализации виртуального канала) для дискреционного механизма управления.

Идентификация призвана каждому пользователю или группе пользователей сопоставить соответствующую ему разграничительную политику доступа на защищаемом объекте. Для этого пользователь должен себя идентифици­ровать — указать свое «имя» (идентификатор). Таким образом отношение регистрирующегося пользователя к пользователям, иден­тифицируемым системой. В соответствии с введенным идентификатором пользователю будут сопоставлены соответствующие права доступа.

Аутентификация предназначена для контроля процедуры идентификации. Для этого пользователь должен ввести секретное слово — пароль. Правиль­ность вводимого пароля подтверждает однозначное соответствие между ре­гистрирующимся пользователем и идентифицированным пользователем.

В общем случае идентифицируются и аутентифицируются не только пользователи, но и другие субъекты доступа к ресурсам.

Совокупность выполнения процедур идентификации и аутентификации принято называть процедурой авторизации. При этом иногда не требуется идентифицировать пользователя, а достаточно только выпол­нения процедуры аутентификации. Например, это происходит когда тре­буется подтвердить текущего (уже зарегистрированного) пользователя при выполнении каких-либо действий, требующих дополнительной защиты. В свою очередь, не всегда требуется осуществлять контроль идентификации, то есть в некоторых случаях аутентификация может не производиться.

Процедура авторизации имеет ключевое значение при защите компью­терной информации, т.к. вся разграничительная политика доступа к ре­сурсам реализуется относительно идентификаторов пользователей. То есть, войдя в систему с чужим идентификатором, злоумышленник получает права доступа к ресурсу того пользователя, идентификатор которого был им предъявлен при входе в систему.

По функциональному назначению парольный вход использу­ется для контроля загрузки системы, контроля функционирования и с целью блокировки. С целью контроля загрузки может устанавливаться процедура идентификации и аутентификации пользователя перед началом загрузки си­стемы, например, встроенными средствами BIOS. В этом случае выполнить загрузку системы сможет только санкционированный пользователь.

Доступ к заданию режима загрузки контролируется штатными средствами BIOS, где после аутентификации пользователь может установить, откуда загружается система — с жесткого диска или с внешнего носителя, а также указать очередность выбора средств загрузки. В качестве контроля доступа к заданию режима загрузки может устанавливаться парольный вход на воз­можность загрузки в безопасном режиме. Например, для загрузки в режиме Safe Mode для ОС Windows NT/2000/XP пользователю необходимо пройти авторизацию. Загрузиться в аналогичном безопасном режиме в ОС семей­ства UNIX после авторизации может только пользователь с правами «root».

Для решения задачи контроля функционирования вычислительной сис­темы выделяются:

· Контроль пользователя при доступе в систему. Реализуется в том числе штатными средствами ОС.

· Контроль при запуске процесса. Благодаря этому при запуске некото­рых приложений может быть установлена парольная защита. Прежде всего, здесь интерес представляет установка пароля ответственного лица, например, начальника подразделения (будет рассмотрено ниже).

· Контроль при доступе к локальным ресурсам. Например, при доступе к локальному принтеру и т.д. также может использоваться аутентифи­кация ответственного лица.

· Контроль при доступе к сетевым ресурсам. Реализуется в том числе штатными средствами ОС. Например, доступ к ресурсам можно раз­делить паролем. Так осуществляется сетевой доступ к общим ресур­сам по протоколу NETBIOS для ОС семейства Windows.

В качестве реакции на несанкционированные действия пользователя системой защиты может устанавливаться блокировка доступа в систему, учетных записей пользователя (идентификаторов), запуска определенных приложений. Для снятия блокировки необходима авторизация администратора безопасности или ответственного лица.

Кроме того, пользователь может сам выставить блокировку на доступ к системе и к приложениям и т.д., чтобы доступ в систему и к этим при­ложениям в его отсутствии был блокирован. Для разблокировки прило­жения необходимо авторизоваться текущему пользователю. При этом ад­министратор безопасности может блокировать учетные записи Пользователей для входа в систему в нерабочее время.

С учетом введенной классификации может быть сделан вывод о функци­ональном назначении применения механизмов парольной защиты:

· С целью контроля загрузки может устанавливаться возможность конт­роля пользователя перед началом загрузки системы. Кроме того, контроль пользователя может осуществляться при задании способа и при доступе к заданию режима загрузки.

· С целью контроля доступа выделяется контроль пользователя при досту­пе в систему. Также могут иметь место контроль при запуске процесса (прежде всего, здесь интерес представляет установка пароля ответствен­ного лица) и контроль при доступе к локальным и сетевым ресурсам.

· С целью снятия блокировки (реакции) используется контроль адми­нистратора безопасности или ответственного лица. Кроме того, пользо­ватель может выставить блокировку на некоторые приложения и т.д. Для их снятия осуществляется контроль пользователя.

Дата добавления: 2014-01-05