Аутентификацией называется процедура верификации принадлежности идентификатора пользователю.
Эта проверка позволяет убедиться, что пользователь является именно тем, кем себя объявляет. В случае успешного прохождения аутентификации идентификатор пользователя используется для предоставления этому пользователю определенного уровня прав и полномочий при пользовании информационной системой.
Аутентификация производится на основании того или иного секретного элемента (аутентификатора), которым располагают как пользователь, так и информационная система. Следует отметить, что информационная система обычно располагает не самим секретным элементом (паролем), но некоторой информацией о нем (хэш пароля), на основании которой принимается решение об адекватности пользователя идентификатору.
Для подтверждения своей подлинности пользователь может предъявлять системе разные сущности. В зависимости от предъявляемых пользователем сущностей процессы аутентификации могут быть разделены на следующие категории:
1) на основе знания чего-либо. Примерами могут служить пароль, персональный идентификационный PIN-код, а также секретные и открытые ключи, знание которых демонстрируется в протоколах типа «запрос-ответ»;
2) на основе обладания чем-либо. Обычно это магнитные карты, смарт-карты, сертификаты, парольные дискеты или флэш-накопители;
3) на основе каких-либо неотъемлемых характеристик. Эта категория включает методы, базирующиеся на проверке биометрических характеристик пользователя (голос, радужная оболочка и сетчатка глаза, отпечатки пальцев, геометрия ладони, подчерк и др.). Аутентификация на основе биометрических характеристик часто применяется для контроля доступа в помещения или к какой-либо технике.
Поясним введенные понятия на конкретном примере. Перед началом интерактивного сеанса работы большинство операционных систем запрашивают у пользователя его имя и пароль. Введенное пользователем имя является идентификатором пользователя, а его пароль - аутентификатором. Операционная система обычно хранит не сам пароль, а его хеш-значение, обеспечивая тем самым практическую невозможность восстановления пароля по хэш-значению.
Использование пары «имя пользователя-пароль» для пользователей является наиболее распространенным, но не единственным методом аутентификации. На самом деле существует немного принципиально разных методов аутентификации. Один класс методов аутентификации основывается на том, что аутентифицируемый субъект должен иметь некоторый секретный элемент (пароль, секретный ключ или специальный аутентификационный токен). Другой класс методов аутентификации применим только для аутентификации людей. Он основывается на использовании для верификации уникальных физических свойств самого человека (отпечатки пальцев, форма кисти руки, голос, радужная оболочка глаза). У каждого класса методов есть как достоинства, так и недостатки.
Алгоритмически процедура аутентификации представляется как поочередная передача одной или нескольких информационных посылок между пользователем и информационной системой с промежуточной их обработкой обеими сторонами. В результате этих действий обе стороны обмена должны удостовериться, что они являются теми, за кого себя выдают.
При защите каналов передачи данных должна выполняться взаимная аутентификация субъектов, то есть взаимное подтверждение подлинности субъектов, связывающихся между собой по линиям связи. Процедура подтверждения подлинности выполняется обычно в начале сеанса в процессе установления соединения абонентов. Цель данной процедуры - обеспечить взаимную уверенность, что соединение установлено с законным субъектом и вся информация дойдет до места назначения.
Фактически идентификация и аутентификация являются взаимосвязанными процессами распознавания и проверки подлинности пользователей. Именно от них зависит последующее решение системы, можно ли разрешить доступ к ресурсам системы конкретному пользователю.
После идентификации и аутентификации пользователя выполняется авторизация - процедура предоставления этому пользователю определенных полномочий и ресурсов в данной системе. Иными словами, авторизация устанавливает сферу его действия и доступные ему ресурсы. В отличии от аутентификации, которая распознает легальных и нелегальных пользователей, система авторизации имеет дело только с легальными пользователями, которые уже успешно прошли процедуру аутентификации.
Если система не способна надежно отличить авторизованное лицо от неавторизованного, конфиденциальность и целостность информации в этой системе могут быть легко нарушены. Необходимый уровень аутентификации определяется требованиями безопасности, которые установлены в организации. В частности, финансовые транзакции могут потребовать строгой аутентификации, которая включает по крайней мере двухфакторную проверку подлинности.
Процедура авторизации базируется на отношениях доверия. Процесс предоставления доступа должен доверять процессу аутентификации лица. Надежная аутентификация является тем ключевым фактором, который гарантирует, что только авторизованные пользователи получат доступ к контролируемой информации.
С процедурами аутентификации и авторизации тесно связана процедура администрирования (протоколирования) действий пользователя.
Администрирование (протоколирование) – регистрация действий пользователя в сети, включая его попытки доступа к ресурсам. Хотя эта учетная информация может быть использована для выписывания счета, с позиций безопасности она особенно важна для обнаружения, анализа инцидентов безопасности в сети и соответствующего реагирования на них. Записи в системном журнале, аудиторские проверки — все это может быть использовано для обеспечения подотчетности пользователей, если что-либо случится при входе в сеть с их идентификатором.
В дальнейшем нами будут рассмотрены различные методы и средства идентификации и аутентификации.
Штрих - кодовая идентификация
Штрих-коды в основном используются производителями товаров для автоматизации товародвижения. Наиболее широко распространен тринадцатиразрядный код EAN-13, разработанный в 1976г. в США.
К достоинствам применения штрих-кодовой идентификации относятся:
максимальное снижение бумажного документооборота и количества ошибок при вводе информации;
повышение скорости обслуживания клиентов;
автоматизация основных технологических процессов товародвижения на всех этапах от производителя до конечного покупателя.
Основные недостатки штрих-кодовой идентификации:
данные идентификационной метки не могут дополняться - штриховой код записывается только один раз при его печати;
небольшой объем данных (обычно не более 50 байт);
данные на метку заносятся медленно - для получения штрихового кода обычно требуется напечатать его символ либо на упаковке, либо на бумажной этикетке, а наклеивание липкой этикетки часто выполняется вручную;
данные на метке представлены в открытом виде и не защищают товары от подделок и краж;
штрих-кодовые метки недолговечны, т.к. не защищены от пыли, сырости, грязи, механических воздействий.
В настоящее время штрих-кодовая идентификация начинает вытесняться технологией радиочастотной идентификации.
Радиочастотная идентификация
В средствах радиочастотной идентификации (RFID - Radio Frequency Identification Device) разработчики постарались развить все достоинства штрих-кодовой идентификации и преодолеть практически все недостатки и ограничения. В настоящее время данная технология интенсивно внедряется во многие отрасли мирового хозяйства. RFID позволяет получать информацию о предмете без прямого контакта. Дистанции, на которых может происходить считывание и запись информации, могут варьироваться от нескольких миллиметров до нескольких метров в зависимости от используемых технологий (главным образом, от несущей частоты, находящейся в пределах от 125 кГц до 5,8 ГГц). Большинство смарт-карт, применяемых для идентификации сотрудников корпораций, используют несущие частоты 125 кГц или 13,56МГц.
Биометрическая идентификация
Биометрическая характеристика - это измеримая физиологическая или поведенческая черта человека.
Биометрические характеристики можно разделить на две группы:
Физиологические биометрические характеристики (называемые физическими или статическими) - характеристики, основанные на данных, полученных путём измерения анатомических данных человека (отпечатки пальцев, форма лица, кисти, структура сетчатки глаза и др.).
Поведенческие биометрические характеристики (также называемые динамическими биометрическими характеристиками) - биометрические характеристики, основанные на данных, полученных путём измерения действий человека. Характерной чертой для поведенческих характеристик является их протяжённость во времени (типичные примеры - голос, подпись).
Биометрические системы отличаются, в основном, объектами и способами измерений. Пользователь посредством регистрирующего устройства (например, сканера или камеры) предоставляет системе образец - изображение или запись физиологической или поведенческой характеристики. Биометрический образец обрабатывается для получения информации об отличительных признаках, в результате чего получается ЭИП (эталонный идентификатор пользователя или эталон для проверки). ЭИП представляет собой числовую последовательность, при этом сам образец невозможно восстановить из эталона. Снятая в процессе идентификации характеристика сравнивается с ЭИП. Поскольку эти два значения (полученное при попытке доступа и ЭИП) полностью никогда не совпадают, то для принятия положительного решения о доступе степень совпадения должна превышать определенную настраиваемую пороговую величину. При этом эффективность биометрических систем характеризуется коэффициентом ошибочных отказов и коэффициентом ошибочных подтверждений.
Идентификации на основе карт с магнитной полосой
Карты с магнитной полосой уже более двух десятилетий используются в системах контроля физического доступа. Магнитные карты срабатывают при проведении в определенном направлении и с определенной скоростью по щели считывателя. Современные магнитные полосы изготовлены из материалов, требующих сильных магнитных полей для записи и уничтожения информации, с целью сохранности информации от случайного размагничивания.
Существенным преимуществом магнитных карт является их низкая стоимость.
К основным недостаткам данной технологии можно отнести:
ограничение по объему информации, которая может быть записана на магнитную полосу;
незащищенность от копирования;
чувствительность к загрязнению, механическим повреждениям (например, царапинам, изломам), воздействию влаги;
короткий срок службы (не более 1-1,5 лет).
Двухфакторная аутентификация
Обратимся к простому примеру: Ваш сотовый телефон. Телефон -это устройство, куда для начала работы Вы вкладываете SIM-карту. Когда Вы включаете телефон, на дисплее появляется надпись: "введите PIN-код". После правильного ввода PIN-кода (как правило, это 4 легко запоминаемые цифры) телефон начинает работать.
Налицо так называемая двухфакторная аутентификация. Вам надо иметь персональный носитель (SIM-карту) и знать личный PIN-код.
Аналогом SIM-карты может являться микропроцессорная смарт-карта или устройство eToken, к которому привязан личный PIN-код. Только в отличие от сотового телефона PIN-код для доступа к информационной системе предприятия содержит, как правило, не менее 5-7 символов различных регистров (не только цифр). Да и алгоритмы аутентификации и шифрования там намного сложнее, чем используемые в сотовой связи A3 (алгоритм аутентификации), А8 (алгоритм генерации криптоключа), А5/2 (алгоритм шифрования оцифрованной речи для обеспечения конфиденциальности переговоров).
Аутентификация по многоразовым паролям
Поскольку данная технология, как правило, используется без изменения параметров в течение длительного времени (неделя, месяц, год - в зависимости от политик безопасности предприятия), то она получила название "аутентификация по многоразовым паролям".
Учетные записи пользователей современных операционных систем включают в себя службу аутентификации, которая может хранить простейший идентификатор (login) и пароль (password) пользователя в своей базе данных. При попытке логического входа в сеть пользователь набирает свой пароль, который поступает в службу аутентификации. По итогам сравнения пары login/password с эталонным значением из базы данных учетных записей пользователей пользователь может успешно пройти процедуру простейшей аутентификации и авторизоваться в информационной системе. В зависимости от степени защищенности в рамках эволюционного развития операционных систем Windows компанией Microsoft использовались протоколы LAN Manager (LM), NT LAN Manager (NTLM), NT LAN Manager версии 2 (NTLM v2) и Kerberos. Протокол Kerberos, наиболее распространенный и защищенный на сегодняшний день протокол аутентификации в локальных сетях.
Аутентификация на основе одноразовых паролей
Для организации удаленного доступа пользователей к защищенным информационным ресурсам были разработаны достаточно надежные схемы с применением одноразовых паролей (OTP – One Time Password). Суть концепции одноразовых паролей состоит в использовании различных паролей при каждом новом запросе на предоставление доступа. Одноразовый пароль действителен только для одного входа в систему. Динамический механизм задания пароля является одним из лучших способов защитить процесс аутентификации от внешних угроз. Известно четыре метода аутентификации с применением технологии ОТР:
использование механизма временных меток на основе системы единого времени;
применение общего пароля для легального пользователя и проверяющего списка случайных паролей и надежного механизма их синхронизации;
использование общего пароля для пользователя и проверяющего генератора псевдослучайных чисел с одним и тем же начальным значением;
применение фиксированного числа случайных (псевдослучайных) последовательностей, скопированных на носители в виде скретч-карт.
Наиболее распространены аппаратные реализации одноразовых паролей виде компактных устройств, которые называют ОТР-токенами. Они имеют небольшой размер и выпускаются в виде различных форм:
карманного калькулятора;
брелока;
смарт-карты;
устройства, комбинированного с USB-ключом.
Аутентификация по предъявлению цифрового сертификата
Механизмы аутентификации с применением сертификатов обычно используют протокол с запросом и ответом. Согласно этому протоколу, сервер аутентификации направляет пользователю последовательность символов, называемую запросом, а программное обеспечение клиентского компьютера для генерирования ответа вырабатывает с помощью закрытого ключа пользователя цифровую подпись под запросом от сервера аутентификации. Общий процесс подтверждения подлинности пользователя состоит из следующих стадий:
получение открытого ключа СА (одноразовый процесс),
получение по некоторому незащищенному каналу от этого пользователя его сертификата открытого ключа.
Смарт-карты
Смарт-карты - пластиковые карты стандартного размера банковской карты, имеющие встроенную микросхему. Они находят всё более широкое применение в различных областях, от систем накопительных скидок до кредитных и дебетовых карт, студенческих билетов и телефонов стандарта GSM.
Для использования смарт-карт в компьютерных системах необходимо устройство чтения смарт-карт. Несмотря на название - устройство чтения (или считыватель), - большинство подобных оконечных устройств, или устройств сопряжения (IFD), способны как считывать, так и записывать информацию, если позволяют возможности смарт-карты и права доступа. Устройства чтения смарт-карт могут подключаться к компьютеру посредством последовательного порта, слота PCMCIA или USB. Устройство чтения смарт-карт также может быть встроено в клавиатуру. Как правило, для доступа к защищенной информации, хранящейся в памяти смарт-карты, требуется пароль, называемый PIN-кодом.
USB-ключи
USB-ключи достаточно привлекательны, поскольку USB стал стандартным портом для подключения периферийных устройств и организации не нужно приобретать для пользователей какие бы то ни было считыватели.
Аутентификацию на основе смарт-карт и USB-ключей сложнее всего обойти, так как используется уникальный физический объект, которым должен обладать человек, чтобы войти в систему. В отличие от паролей, владелец быстро узнаёт о краже и может сразу принять необходимые меры для предотвращения её негативных последствий. Кроме того, реализуется двухфакторная аутентификация. Микропроцессорные смарт-карты и USB-ключи могут повысить надёжность служб PKI: смарт-карта может использоваться для безопасного хранения закрытых ключей пользователя, а также для безопасного выполнения криптографических преобразований. Безусловно, данные устройства аутентификации не обеспечивают абсолютную безопасность, но надёжность их защиты намного превосходит возможности обычного настольного компьютера.