Аутентифікація
|
Безпека мережі охоплює не лише Internet, але і будь-яке мережеве підключення або інтерфейс. Наскільки строго забезпечується захист будь-яких інтерфейсів, залежить від вимог, що пред'являються до них, їх функціонального призначення і міри довіри між двома сторонами з'єднування. Правила захисту всієї мережі і внутрішньо мережевих підключень є частиною програми безпеки мережі, яка охоплює такі питання, як адресація мережі, підмережі і засоби управління підключеннями до мережі.
Довірчі взаємини встановлюються шляхом чіткого визначення того, яку інформацію можна передавати через внутрішні з'єднання. Що стосується доступу до інформаційних ресурсів, то стержнем проблеми управління доступом є забезпечення доступу до системи і до всієї мережі. Аутентифікація використовується для підтвердження цього права доступу. |
Зміст
Управління доступом до мережі
Перед обговоренням аутентифікації користувачів мережі необхідно розробити правила управління доступом до мережі. Мережі вже не є монолітними об'єктами. В більшості випадків є одна зовнішня точка доступу — підключення до Internet за допомогою ISP (Internet Service Provider — постачальник послуг Internet). Правила управління доступом до мережі визначатимуть, який захист необхідно встановити на вхідних точках в мережу.
Шлюзи
Шлюзи є пунктами, в яких мережевий трафік передається з мережі організації в іншу мережу. Відносно шлюзових пунктів правила управління доступом повинні враховувати природу мережі, в якій встановлюється міст.
- Правила управління доступом для вхідних і вихідних телефонних дзвінків (Dial-in і Dial-out), охоплюють вимоги по аутентифікації. Приховати точку телефонного доступу в мережу досить складно. Тому важливо визначити засоби управління цим доступом. Існує безліч міркувань відносно правил доступу, таких як створення модемів винятково для обробки вихідних сигналів (out-bound-only) для доступу dial-out. Необхідно написати пункт правил, який наказуватиме вживання відповідних засобів управління.
Весь телефонний доступ в мережу має бути захищений за допомогою засобів суворого контролю аутентифікації. Модеми необхідно сконфігурувати для одного з доступів dial-in або dial-out, але у жодному випадку не для обох. Адміністратор мережі повинен забезпечити процедури гарантованого доступу до модемних систем. Користувачі не повинні встановлювати модеми в інших точках мережі без відповідних санкцій.
- Інші зовнішні підключення. Можливі різні підключення до мережі ззовні організації. Правилами можна звести наклеп прямий доступ клієнтів в мережу через віртуальну приватну мережу VPN (Virtual Private Network) і через розширення мережі організації, відомі як екстрамережі.
- Підключення до Internet. Відрізняється від інших підключень, оскільки люди хочуть мати відкритий доступ в Internet, тоді як дозвіл доступу забезпечується службами організації.
Як і для будь-яких правил, потрібно чекати, що з'являтимуться запити на зміну правил управління доступом. Незалежно від причин, що вимагають коректування правив, слід передбачити можливість вносити виключення до правил за допомогою механізму того, що передивляється правив.
Будь-який шлюз, пропонований для установки мережі компанії, якщо він може порушити правила або процедури, наказані цими правилами, не повинен встановлюватися без попереднього затвердження комітетом управління безпекою.
ВІРТУАЛЬНІ ПРИВАТНІ МЕРЕЖІ І ЕКСТРАМЕРЕЖІ
Збільшення кількості мереж в організації змушує шукати нові варіанти підключення видалених офісів, клієнтів і спрощення доступу обслуговуючих контрагентів або потенційних контрагентів. Це зростання породило два типи зовнішніх з'єднань: віртуальні приватні мережі (VPN — Virtual Private Network) і екстрамережі. VPN є недорогим способом встановити інформаційний зв'язок між двома і більш підрозділами організації, розташованими на різних територіях. Організації створюють VPN шляхом підключення всіх підрозділів до Internet і установок пристроїв, які здійснюватимуть шифрування і дешифрування інформації в обох підрозділах, що зв'язуються між собою. Для користувачів робота через VPN виглядатиме так, як ніби обоє підрозділу знаходяться на одній території і працюють в єдиній мережі.
Механізм Аутентифікації
Один із способів аутентифікації в інформаційній системі полягає у попередній ідентифікації на основі користувацького ідентифікатора («логіна» — реєстраційного імені користувача) і пароля — певної конфіденційної інформації, знання якої передбачає володіння певним ресурсом в мережі. Отримавши введений користувачем логін і пароль, комп'ютер порівнює їх зі значенням, яке зберігається в спеціальній захищеній базі даних і, у випадку успішної аутентифікації проводить авторизацію з подальшим допуском користувача до роботи в системі.
Види Аутентифікації
Слабка Аутентифікація
Традиційну аутентифікацію за допомогою пароля називають ще однофакторною або слабкою. Оскільки за наявності певних ресурсів перехоплення або підбір пароля є справою часу. Не останню роль в цьому грає людський чинник — чим стійкішим до взлому методом підбору є пароль, тим важче його запам'ятати людині і тим вище ймовірність що він буде додатково записаний, що підвищить ймовірність його перехоплення або викрадення. І навпаки — легкі для запам'ятовування паролі (наприклад часто вживані слова або фрази, як приклад, дати народження, імена близьких, назви моніторів чи найближчого обладнання) в плані стійкості до злому є дуже не вдалими. Як вихід, впроваджуються одноразові паролі, проте їхнє перехоплення також можливе.
Сильна Аутентифікація
Паралельно, за необхідності, використовується сильна або багатофакторна аутентифікація — на основі двох чи більше факторів. В цьому випадку для автентифікації використовується не лише інформація відома користувачеві, а й додаткові фактори. Наприклад:
- властивість, якою володіє суб'єкт;
- знання - інформація, яку знає суб'єкт;
- володіння - річ, якою володіє суб'єкт.
Способи аутентифікації
ПАРОЛІ
Після імен користувачів паролі стають другою лінією захисту проти непроханих гостей. Можна ретельно призначати і підтримувати призначені для користувача імена, але одного прекрасного дня невдало вибраний пароль може дозволити кому-небудь увійти до мережі. Правила призначення паролів діляться на дві категорії: яку структуру мають паролі, що діють, і способи зберігання цих паролів.
Хороші правила призначення паролів, що діють, передбачають генерацію паролів, які розгадати непросто. Не дивлячись на те, що концепція складності розгадування виглядає декілька абстрактно, загальноприйнята установка полягає в тому, що пароль має бути сумішшю букв, цифр або особливих символів, а не просто слово, яке можна знайти в словнику. Інший спосіб запобігання розгадуванню паролів полягає в зберіганні так званих "соціальних словесних конструкцій" для кожного користувача. Ці конструкції можна застосовувати як шаблон при зіставленні з ними паролів, що вводяться, і користувачам не буде дозволено використовувати ці дані в своїх паролях. Ця інформація може містити імена подружжя, дітей, домашніх тварин, місце народження, ювілей, день народження і так далі.
У деяких організаціях, наприклад, пов'язаних з оборонним комплексом, може пред'являтися вимога генерувати автоматично пароль для яких-небудь користувачів. Зазвичай при генерації таких паролів використовується різна кількість друкарських знаків. Після генерації такий пароль передається користувачеві. На жаль, такий пароль нелегко запам'ятати. Користувачі мають тенденцію записувати ці паролі на клаптиках паперу, які можуть бути загублені або викрадені. Якщо вами використовуються додаткові методи контролю за призначенням паролів, то варто спробувати розробити правила, що дозволяють генерувати більш читабельні паролі для користувачів.
Інша важлива особливість полягає в терміні дії пароля. Якщо термін дії пароля не визначений, то викрадений пароль може використовуватися постійно. Але якщо пароль має певний термін дії, то в разі компрометації пароля, залишається шанс, що проблема вирішиться сама собою після зміни пароля в призначений термін.Не дивлячись на те, що це звучить дещо наївно, дана методика схожа на періодичну зміну комбінації цифр на замку, аби з'ясувати, хто знає цю комбінацію.
Незалежно від використовуваного критерію, необхідно, аби дія його була забезпечена для всіх користувачів однаково.
На основі всіх цих міркувань можна скласти зразок формулювання правил на кшталт наступної.
У обліковому записі кожного користувача повинен міститися його власний пароль. Пароль, що діє, повинен складатися з комбінації букв, цифр або спеціальних символів; складатися, не менше ніж восьми символів, і залишатися таким, що діє протягом 90 днів після останньої зміни. Пароль не можна використовувати повторно, принаймні, протягом 24 місяців після його останнього використання.
Основне правило полягає в тому, що паролі не можна зберігати так, щоб кожен мав можливість їх прочитати. Правилами обумовлюється шифрування паролів із застосуванням ключів, що згенерували, або навіть способи зберігання паролів систем або мереж, де вони можуть бути лічені з використанням основних методів доступу.
Це — формальне визначення. В більшості випадків вам не вдасться управляти зберіганням або пересилками паролів. Поки не розроблено власне прикладне програмне забезпечення, управління паролями зазвичай покладається на операційну систему або на використовуване програмне забезпечення. В такому разі немає необхідності включати в правила формулювання, що стосується зберігання паролів. Проте для повноти картини варто все-таки привести наступне формулювання.
Зберігати паролі потрібно, виходячи з вимог системи, мережі або використовуваного програмного забезпечення. У ці вимоги має бути включена умова незмінності прийомів збереження паролів в таємниці.
Примусові паролі досить складні, оскільки вони повинні дозволяти користувачеві входити з систему, при цьому викликаючи нечутний сигнал тривоги, що показує місце, де виникли проблеми. Формулювання правил для такого випадку повинна просто говорити про необхідність мати примусові паролі, або ж просто описувати, що з себе представляють примусові паролі, не описуючи суті їх функціонування.
АУТЕНТИФІКАЦІЯ ЗА ДОПОМОГОЮ БІОМЕТРИЧНИХ ДАНИХ
Біометрія являє собою сукупність автоматизованих методів аутентифікації людей на основі їх фізіологічних і поведінкових характеристик. До числа фізіологічних характеристик належать особливості відбитків пальців, сітківки та рогівки очей, геометрія руки й обличчя і т.п. До поведінкових характеристик відносяться динаміка підпису (ручний), стиль роботи з клавіатурою. На стику фізіології і поведінки знаходяться аналіз особливостей голосу і розпізнавання мови.
Біометрією у всьому світі займаються дуже давно, проте довгий час все, що було пов'язано з нею, відрізнялося складністю і дорожнечею. Останнім часом попит на біометричні продукти, в першу чергу у зв'язку з розвитком електронної комерції, постійно і досить інтенсивно зростає. Це зрозуміло, оскільки з точки зору користувача набагато зручніше пред'явити себе самого, ніж щось запам'ятовувати. Попит народжує пропозицію, і на ринку з'явилися відносно недорогі апаратно-програмні продукти, орієнтовані в основному на розпізнавання відбитків пальців.
У загальному вигляді робота з біометричними даними організована наступним чином. Спочатку створюється та підтримується база даних характеристик потенційних користувачів. Для цього біометричні характеристики користувача знімаються, обробляються, і результат обробки (званий біометричних шаблоном) заноситься в базу даних (вихідні дані, такі як результат сканування пальця або рогівки, зазвичай не зберігаються).
Надалі для аутентифікації користувача процес зняття і обробки повторюється, після чого проводиться пошук у базі даних шаблонів. У разі успішного пошуку особу користувача та її справжність вважаються встановленими. Для аутентифікації досить зробити порівняння з одним біометричних шаблоном, обраним на основі попередньо введених даних.
Зазвичай біометрію застосовують разом з іншими аутентифікатором, такими, наприклад, як інтелектуальні карти. Іноді біометрична аутентифікація є лише першим рубежем захисту і служить для активізації інтелектуальних карт, що зберігають криптографічні секрети; в такому випадку біометричний шаблон зберігається на тій же картці.
До біометрії слід ставитися дуже обережно. Необхідно враховувати, що вона схильна тим же загрозам, що і інші методи аутентифікації. По-перше, біометричний шаблон порівнюється не з результатом первісної обробки характеристик користувача, а з тим, що прийшло до місця порівняння. А, як відомо, за час шляху ... багато чого може статися. По-друге, біометричні методи не більш надійні, ніж база даних шаблонів. По-третє, слід враховувати різницю між застосуванням біометрії на контрольованій території, під пильним оком охорони, і в "польових" умовах, коли, наприклад до пристрою сканування роговиці можуть піднести муляж і т.п. По-четверте, біометричні дані людини змінюються, так що база шаблонів потребує супроводі, що створює певні проблеми і для користувачів, і для адміністраторів.
АУТЕНТИФІКАЦІЯ НА ОСНОВІ PIN - КОДІВ
Основним методом аутентифікації користувачів, які мають пластикові та смарт-карти, є введення секретного числа, відомого тільки користувачу і системі, куди здійснюється доступ. Це секретне число називають PIN-кодом (абревіатура, яка позначає Personal Identification Number - персональний ідентифікаційний код). У більшості випадків забезпечення схоронності PIN-коду картки є критичним для безпеки всієї системи - самі карти можуть бути втрачені, викрадені або підроблені, проте якщо при цьому зловмисникові невідомий PIN-код цієї карти, ніякого результату він не доб'ється.
Як було сказано вище, у випадках втрати, крадіжки або підробки пластикових карт єдиним способом запобігання злому системи є секретне значення PIN-коду. Саме тому PIN повинен триматися в секреті протягом усього терміну дії картки. При визначенні довжини PIN-коду розробники подібних систем стикаються з кількома труднощами. З одного боку його довжина повинна бути настільки великою, щоб виключити ймовірність визначення потрібного PIN-коду до карти методом перебору. З іншого - не повинна бути занадто великою, щоб була зручна для запам'ятовування і швидкого введення користувачеві. У стандарті ISO 9564-1 вказано, що PIN-код повинен містити від чотирьох до дванадцяти буквено-цифрових символів. Однак, на практиці, в більшості випадків введення нецифрових символів технічно неможливий, оскільки відповідна клавіатура недоступна (банкомати, різні термінали обміну та оплати і т.д.). Тому найбільш часто PIN-код - це чотиризначне число, кожна цифра якого може приймати значення від 0 до 9.
У систему PIN-код вводиться за допомогою клавіатури терміналу або комп'ютера, після чого передається на смарт-карту, яка, в свою чергу, порівнює отримане значення PIN-коду з правильним значенням, збереженим у ній, і відправляє результат порівняння на термінал. Етап введення PIN-коду відноситься до критично важливим, так як на цьому етапі він може бути перехоплений безліччю різних способів. Щоб значно понизити ризик цього етапу, в кожній прикладній галузі використання смарт-карт існує свій набір стандартів виробництва терміналів - як правило, PIN-термінали мають всі властивості модуля безпеки, шифруючи PIN-код відразу при його введенні. Це дозволяє забезпечити надійний захист проти проникнення в клавіатуру з метою перехоплення PIN-коду в момент його введення.
PIN-коди поділяються на статичні і динамічні (змінні). Статичний PIN-код не може бути змінений користувачем протягом усього терміну дії картки. Кожній карті повинен відповідати один і тільки один PIN-код. Щоб замінити його, повинна бути змінена сама смарт-карта. Внаслідок цієї особливості роботи статичних PIN-кодів користувачеві слід проявляти максимальну пильність при поводженні зі смарт-картою з таким PIN-кодом. Якщо PIN-код стане відомий сторонній особі, користувач повинен знищити карту і отримати нову з іншим фіксованим PIN-кодом.
Змінний PIN-код може бути змінений відповідно до побажань користувача на будь-яке інше число, як правило, це таке число, яке користувачеві легше вводити з клавіатури або легше запам'ятати. Динамічний PIN-код значно полегшує процедуру протидії в тому випадку, якщо він стане доступний сторонній особі - ні витрат на зміну карти, достатньо ввести новий PIN-код зі спеціального терміналу. Однак при змінюваному PIN-коді існує значна небезпека - потенційна можливість швидкого розкриття PIN-коду методом перебору. Це обумовлюється тим, що числа, які переважна кількість людей вважають зручними для запам'ятовування і побутового застосування, це або дуже прості числа, на зразок 1111, 1234, 0987 і т.д., або числа, якимось чином пов'язані з їх біографією, самим поширеним прикладом є використання дати свого народження, наприклад 15071970 - такий PIN-код легко підібрати, Знаючи дату народження користувача (15 липня 1970) і т.д. Смарт-карта, як правило, не має засобів захисту від таких тривіальних чисел, так як для зберігання всіх правил, за якими вони будуть визначатися, не вистачає доступної пам'яті. Однак у даний момент все більше терміналів оснащуються захистом від заміни PIN-коду на таке число.
Слід також відзначити такий термін, як «Транспортні PIN-коди». Спочатку виготовлена карта має випадковим значенням PIN-коду, а власник картки отримує значення PIN-коду окремо, в захищеному від просвічування конверті. При першому використанні смарт-карти, користувач повинен замінити PIN-код, спочатку визначений для карти, на обраний ним самим. Такий механізм дій виключає потенційну можливість того, що PIN-код, вислеженний під час виготовлення картки кимось із співробітників обслуговуючої компанії, пізніше може бути незаконно ним використаний.
Електронний цифровий підпис
Метою застосування систем цифрового підпису є автентифікація інформації – захист учасників інформаційного обміну від нав’язування хибної інформації, встановлення факту модифікації інформації, яка передається або зберігається, й отримання гарантії її справжності, а також вирішення питання про авторство повідомлень. Система цифрового підпису припускає, що кожен користувач мережі має свій таємний ключ, який використовується для формування підпису, а також відповідний цьому таємному ключу відкритий ключ, відомий решті користувачів мережі й призначений для перевірки підпису. Цифровий підпис обчислюється на основі таємного ключа відправника інформації й власне інформаційних бітів документу (файлу). Один з користувачів може бути обраним в якості «нотаріуса» й завіряти за допомогою свого таємного ключа будь-які документи. Решта користувачів можуть провести верифікацію його підпису, тобто пересвідчитися у справжності отриманого документу. Спосіб обчислення цифрового підпису такий, що знання відкритого ключа не може призвести до підробки підпису. Перевірити підпис може будь-який користувач, що має відкритий ключ, в тому числі незалежний арбітр, якого уповноважено вирішувати можливі суперечки про авторство повідомлення (документу). Що таке “сертифікат ключа” ? Для чого він призначений? Сертифікат являє собою електронний документ, який пов’язує дані для перевірки електронних підписів з певною особою, підтверджує ідентичність цієї особи й завіряється електронним цифровим підписом надавача послуг – центром сертифікації ключів. Посилений сертифікат являє собою сертифікат, який відповідає спеціальним вимогам Закону України “Про електронний цифровий підпис” щодо обов’язкових полів.
Мережевий протокол аутентифікації Kerberos
Kerberos /kɛərbərəs/ — мережевий протокол аутентифікації, який дозволяє передавати дані через незахищені мережі для безпечної ідентифікації.
Протокол Kerberos, орієнтований в основному на клієнт-серверну архітектуру, пропонує механізм взаємної аутентифікації двох співрозмовників (хостів) перед встановленням зв'язку між ними в умовах незахищеного каналу. Kerberos - це також пакет вільного програмного забезпечення розробленого в Массачусетському технологічному інституті, що реалізовує цей протокол. Повідомлення протоколу Kerberos захищені проти прослуховування мережі та повторних атак (англ. replay attack).
Kerberos базується на симетричних алгоритмах шифрування та для своєї роботи потребує довірену третю сторону. Деякі модифікації протоколу можуть використовувати елементи асиметричного шифрування.
Oснові принципи реалізації протоколу Kerberos
Пароль користувача ніколи не повинен передаватись по мережі;
Пароль користувача ні в якій формі не повинен зберігатись на клієнтській машині: він має бути ліквідований одразу після використання;
Пароль користувача не повинен зберігатись у незашифрованому вигляді навіть у базі даних аутентифікації (authentication server database);
Користувач вводить пароль лише раз за сесію. Таким чином, користувачі мають доступ до всіх сервісів, на які вони авторизовані, без потреби заново вводити пароль під час сесії. Ця властивість також відома як Single Sign-On;
Управління аутентифікацією здійснюється централізовано сервером аутентифікації. Прикладні сервери, що надають послуги, не повинні містити аутентифікаційних відомостей користувачів. Це важливо для централізованого адміністрування облікових записів користувачів; не зберігається надлишкова інформація аутентифікації на різних серверах; при зміні користувачем паролю, він одночасно міняється для всіх наданих послуг.
Не лише користувачі зобов'язані підтвердити, що вони є тими, ким заявляють, але й прикладні сервери повинні підтвердити свою ідентичність користувачам. Цей процес називається "Взаємна аутентифікація";
Після завершення етапів аутентифікації та авторизації, клієнт та сервер повинні мати можливість встановити зашифрований зв'язок. З цією метою Kerberos підтримує генерацію і обмін ключів шифрування.
