Аутентификация, авторизация и администрирование действий пользователей

ТЕХНОЛОГИИ АУТЕНТИФИКАЦИИ

С каждым зарегистрированным в компьютерной системе субъектом (пользователем или процессом, действующим от име­ни пользователя) связана некоторая информация, однозначно идентифицирующая его. Это может быть число или строка сим­волов, именующие данный субъект. Эту информацию называют идентификатором субъекта. Прежде чем получить доступ к ре­сурсам компьютерной системы, пользователь должен пройти процесс первичного взаимодействия с компьютерной системой, который включает идентификацию и аутентификацию.

Идентификация (Identification) — процедура распознавания пользователя по его идентификатору (имени). Эта функция выполняется, когда пользователь делает попытку войти в сеть. Пользователь сообщает системе по ее запросу свой идентификатор, и система проверяет в своей базе данных его наличие.

Аутентификация (Authentication) — процедура проверки подлинности заявленного пользователя, процесса или устройства, рта проверка позволяет достоверно убедиться, что пользователь является именно тем, кем себя объявляет. При проведении аутентификации проверяющая сторона убеждается в подлинности проверяемой стороны, при этом проверяе­мая сторона тоже активно участвует в процессе обмена информа­цией. Обычно пользователь подтверждает свою идентификацию, Вводя в систему уникальную, не известную другим пользователям Информацию о себе (например, пароль или сертификат).

Идентификация и аутентификация являются взаимосвязан­ными процессами распознавания и проверки подлинности субъ­ектов (пользователей). После идентификации и аутентификации субъекта выполняется его авторизация.

Авторизация (Authorization) — процедура предоставления субъекту определенных полномочий и ресурсов в данной системе. Иными словами, авторизация устанавливает сферу его дейст­вия и доступные ему ресурсы. Если система не может надежно отличить авторизованное лицо от неавторизованного, то конфи­денциальность и целостность информации в этой системе могут быть нарушены.

С процедурами аутентификации и авторизации тесно связана процедура администрирования действий пользователя.

Администрирование (Accounting) — регистрация действий пользователя в сети, включая его попытки доступа к ресурсам. С позиций безопасности она особенно важна для обнаружения, анализа инцидентов безопасности в сети и соответствующего реагирования на них.

Необходимый уровень аутентификации определяется требованиями безопасности, которые установлены в организации. Примером слабой формы аутентификации может служить использование IP-адреса для определения пользователя. Подмена IP-адреса может легко разрушить механизм аутентификации. При защите каналов передачи данных должна выполняться взаимная аутентификация субъектов, т. е. взаимное подтвержде­ние подлинности субъектов, связывающихся между собой по ли­ниям связи. Процедура подтверждения подлинности выполняет­ся обычно в начале сеанса установления соединения абонентов. Термин «соединение» указывает на логическую связь (потенци­ально двустороннюю) между двумя субъектами сети. Цель данной процедуры — обеспечить уверенность, что соединение уста­новлено с законным субъектом и вся информация дойдет до места назначения.

Для подтверждения своей подлинности субъект может предъявлять системе разные сущности. В зависимости от предъ­являемых субъектом сущностей процессы аутентификации могут быть разделены на основе:

· знания чего-либо. Примерами могут служить пароль, пер­сональный идентификационный код PIN, а также секретные и открытые ключи, знание которых демонстрируется в протоколах типа за­прос-ответ;

· обладания чем-либо. Обычно это магнитные карты, смарт-карты, сертификаты и устройства touch memory;

· каких-либо неотъемлемых характеристик. Эта категория включает методы, базирующиеся на проверке биометриче­ских характеристик пользователя (голоса, радужной обо­лочки и сетчатки глаза, отпечатков пальцев, геометрии ла­дони и др.). В данной категории не используются крипто­графические методы и средства.

Пароль — это то, что знает пользователь и другой участник взаимодействия. Для взаимной аутентификации участников взаи­модействия может быть организован обмен паролями между ними.

Персональный идентификационный номер PIN является испытанным способом аутенти­фикации держателя пластиковой карты и смарт-карты. Динамический (одноразовый) пароль — это пароль, который после однократного применения никогда больше не использует­ся. На практике обычно используется регулярно меняющееся значение, которое базируется на постоянном пароле или ключе­вой фразе.

Система запрос-ответ. Одна из сторон инициирует аутен­тификацию с помощью посылки другой стороне уникального и непредсказуемого значения «запрос», а другая сторона посылает ответ, вычисленный с помощью «запроса» и секрета. Так как обе стороны владеют одним секретом, то первая сторона может про­верить правильность ответа второй стороны.

Сертификаты и цифровые подписи. Если для аутентификации используются сертификаты, то требуется применение цифровых подписей на этих сертификатах. Сертификаты выдаются ответ­ственным лицом в организации пользователя, сервером серти­фикатов или внешней доверенной организацией. В рамках Ин­тернета появились коммерческие инфраструктуры управления открытыми ключами PKI для распро­странения сертификатов открытых ключей.

Процессы аутентификации можно также классифицировать по уровню обеспечиваемой безопасности. В соответствии с этим процессы аутентификации разделяются на следующие типы:

· аутентификация, использующая пароли и PIN-коды;

· строгая аутентификация на основе использования крипто­графических методов и средств;

· биометрическая аутентификация пользователей.

С точки зрения безопасности каждый из перечисленных ти­пов способствует решению своих специфических задач, поэтому процессы и протоколы аутентификации активно используются на практике.

Основные атаки на протоколы аутентификации:

· маскарад (impersonation). Пользователь выдает себя за дру­гого с целью получения полномочий и возможности дейст­вий от лица другого пользователя;

· подмена стороны аутентификационного обмена. Злоумышленник в ходе данной атаки участвует в процессе аутентификационного обмена между двумя сто­ронами с целью модификации проходящего через него тра­фика;

· повторная передача (replay attack) заключается в повторной передаче аутентификационных данных каким-либо пользо­вателем;

· принудительная задержка (forced delay). Злоумышленник перехватывает некоторую информацию и передает ее спус­тя некоторое время;

· атака с выборкой текста (chosen-text attack). Злоумышлен­ник перехватывает аутентификационный трафик и пытает­ся получить информацию о долговременных криптографи­ческих ключах.

Для предотвращения таких атак при построении протоколов аутентификации применяются:

· использование механизмов типа «запрос—ответ», «отметка времени», случайных чисел, идентификаторов, цифровых подписей;

· привязка результата аутентификации к последующим дей­ствиям пользователей в рамках системы. Примером подоб­ного подхода может служить осуществление в процессе аутентификации обмена секретными сеансовыми ключами, которые используются при дальнейшем взаимодействии пользователей;

· периодическое выполнение процедур аутентификации в рамках уже установленного сеанса связи и т. п.

Недостаток механизма «запрос — ответ»: возмож­ность установления закономерности между запросом и ответом.

Механизм «отметка времени» подразумевает регистрацию вре­мени для каждого сообщения. Каждый пользователь сети определяет, насколько «устарело» пришедшее сообщение.

В обоих случаях для защиты механизма контроля следует применять шифрование.

При использовании отметок времени возникает проблема допустимого временного интервала задержки для подтверждения подлинности сеанса: сообщение с «временным штемпелем» в принципе не может быть передано мгновенно.

При сравнении и выборе протоколов аутентификации необ­ходимо учитывать следующие характеристики:

· наличие взаимной аутентификации. Это свойство отражает необходимость обоюдной аутентификации между сторона­ми аутентификационного обмена;

· вычислительную эффективность. Это количество операций, необходимых для выполнения протокола;

· коммуникационную эффективность. Данное свойство отра­жает количество сообщений и их длину, необходимую для осуществления аутентификации;

· наличие третьей стороны. Примером третьей стороны мо­жет служить доверенный сервер распределения симметрич­ных ключей или сервер, реализующий дерево сертификатов для распределения открытых ключей;

· гарантии безопасности. Примером может служить примене­ние шифрования и цифровой подписи.