аппаратно-программные средства защиты информации. "Аппаратнопрограммные средства защиты информации" "Системы аутентификации электронных данных"
 Скачать 26.05 Kb.
|
|
Липецкий казачий институт технологий и управления (филиал) ФГБОУ ВО “Московский государственный университет технологий и управления имени К.Г Разумовского (Первый казачий университет)” Реферат на тему: ”Аппаратно-программные средства защиты информации” “Системы аутентификации электронных данных” Выполнил: студент 4 курса Фролов Артем Сергеевич Руководитель работы: Зияутдинов В.С Липецк 2021 г. Содержание Введение Идентификация и аутентификация Пароли Токены Биометрика Заключение Список использованных источников Введение Главная тенденция развития современного общества тесно связана с ростом информационной составляющей (информационные ресурсы, информационные технологии и т.п.) и, как следствие, информационной безопасности. Вопросы информационной безопасности на современном этапе рассматриваются как приоритетные. Существующие на сегодняшний день методы и средства защиты информации в автоматизированных системах достаточно разнообразны, что, отражает многообразие способов и средств возможных несанкционированных действий. Наиболее опасной категорией является несанкционированный доступ (НСД). Далее в этой работе будет рассмотрен основной элемент защиты — процессы идентификации и аутентификации. Идентификация и аутентификация Основой любых систем защиты информационных систем являются идентификация и аутентификация, так как все механизмы защиты информации рассчитаны на работу с поименованными субъектами и объектами автоматизированной системы (АС). В качестве субъектов АС могут выступать как пользователи, так и процессы, а в качестве объектов АС — информация и другие информационные ресурсы системы. Присвоение субъектам и объектам доступа личного идентификатора и сравнение его с заданным перечнем называется идентификацией. Идентификация обеспечивает выполнение следующих функций: установление подлинности и определение полномочий субъекта при его допуске в систему; контролирование установленных полномочий в процессе сеанса работы; регистрация действий и др. Аутентификацией (установлением подлинности) называется проверка принадлежности субъекту предъявленного им идентификатора и подтверждение его подлинности. Другими словами, аутентификация заключается в проверке: является ли подключающийся субъект тем, за кого он себя выдает. Общая процедура идентификации и аутентификации пользователя при его доступе в АС представлена на рис. 1. Если в процессе аутентификации подлинность субъекта установлена, то система защиты информации должна определить его полномочия (совокупность прав). Это необходимо для последующего контроля и разграничения доступа к ресурсам. По направленности аутентификация может быть односторонней (пользователь доказывает свою подлинность системе, например при входе в систему) и двусторонней (взаимной). В процессах идентификации и аутентификации есть два основных аспекта: что служит аутентификатором (то есть используется для подтверждения подлинности субъекта); как организован (и защищен) обмен данными идентификации-аутентификации. Субъект может подтвердить свою подлинность, предъявив, по крайней мере, одну из следующих сущностей: Рис. 1 Классическая процедура идентификации и аутентификации 1. Что-то, что он знает — пароль. Это секретная информация, которой должен обладать только авторизованный субъект. Паролем может быть речевое слово, текстовое слово, комбинация для замка или персональный идентификационный номер (PIN). 2. Что-то, что он имеет — устройство аутентификации. Здесь важен факт обладания субъектом каким-то уникальным предметом. Это может быть личная печать, ключ от замка, для компьютера это файл данных, содержащих характеристику. Характеристика часто встраивается в специальное устройство аутентификации, например, пластиковая карта, смарт-карта. 3. Что-то, что является частью его самого — биометрика. Характеристикой является физическая особенность субъекта. Это может быть портрет, отпечаток пальца или ладони, голос или особенность глаза. Нередко используются комбинированные схемы аутентификации, объединяющие методы разных классов. Например, двухфакторная аутентификация — пользователь предъявляет системе смарт-карту и вводит пин-код для ее активации. Надежная идентификация и аутентификация затруднена по ряду принципиальных причин. Во-первых, компьютерная система основывается на информации в том виде, в каком она была получена; строго говоря, источник информации остается неизвестным. Например, злоумышленник мог воспроизвести ранее перехваченные данные. Следовательно, необходимо принять меры для безопасного ввода и передачи идентификационной и аутентификационной информации; в сетевой среде это сопряжено с особыми трудностями. Во-вторых, почти все аутентификационные сущности можно узнать, украсть или подделать. В-третьих, имеется противоречие между надежностью аутентификации с одной стороны, и удобствами пользователя и системного администратора с другой. Так, из соображений безопасности необходимо с определенной частотой просить пользователя повторно вводить аутентификационную информацию (ведь на его место мог сесть другой человек), а это повышает вероятность подглядывания за вводом. В-четвертых, чем надежнее средство защиты, тем оно дороже. Пароли Наиболее распространенными, простыми и привычными являются методы аутентификации, основанные на паролях — секретных идентификаторах субъектов. Здесь при вводе субъектом своего пароля подсистема аутентификации сравнивает его с паролем, хранящимся в базе эталонных данных в зашифрованном виде. В случае совпадения паролей подсистема аутентификации разрешает доступ к ресурсам АС. Парольные методы следует классифицировать по степени изменяемости паролей: методы, использующие постоянные (многократно используемые) пароли; методы, использующие одноразовые (динамично изменяющиеся) пароли. В большинстве АС используются многоразовые пароли. В этом случае пароль пользователя не изменяется от сеанса к сеансу в течение установленного администратором системы времени его действительности. Это упрощает процедуры администрирования, но повышает угрозу рассекречивания пароля. Известно множество способов вскрытия пароля: от простого подсматривания до перехвата сеанса связи. Вероятность вскрытия злоумышленником пароля повышается, если пароль несет смысловую нагрузку (год рождения, имя), небольшой длины, набран в одном регистре, не имеет ограничений на период существования и т.д. Важно, разрешено ли вводить пароль только в диалоговом режиме или есть возможность обращаться из программы. В последнем случае, возможно запустить программу по подбору паролей. Более надежный способ — использование одноразовых или динамически меняющихся паролей. Известны следующие методы парольной защиты, основанные на одноразовых паролях: методы модификации схемы простых паролей; методы «запрос-ответ»; функциональные методы. В первом случае пользователю выдается список паролей. При аутентификации система запрашивает у пользователя пароль, номер в списке, которого определен по случайному закону. Длина и порядковый номер начального символа пароля тоже могут задаваться случайным образом. При использовании метода «запрос-ответ» система задает пользователю некоторые вопросы общего характера, правильные ответы на которые известны только конкретному пользователю. Функциональные методы основаны на использовании специальной функции парольного преобразования. Это позволяет обеспечить возможность изменения (по некоторой формуле) паролей пользователя во времени. Указанная функция должна удовлетворять следующим требованиям: для заданного пароля x легко вычислить новый пароль y=f(x); зная х и y, сложно или невозможно определить функцию f(x). Наиболее известными примерами функциональных методов являются: метод функционального преобразования и метод «рукопожатия». Идея метода функционального преобразования состоит в периодическом изменении самой функции. Последнее достигается наличием в функциональном выражении динамически меняющихся параметров, например, функции от некоторой даты и времени. Пользователю сообщается исходный пароль, собственно функция и периодичность смены пароля. Нетрудно видеть, что паролями пользователя на заданных периодах времени будут следующие: x, f(x), f(f(x)), ..., f(x)n-1. Метод «рукопожатия» состоит в следующем. Функция парольного преобразования известна только пользователю и системе защиты. При входе в АС подсистема аутентификации генерирует случайную последовательность x, которая передается пользователю. Пользователь вычисляет результат функции y=f(x) и возвращает его в систему. Система сравнивает собственный вычисленный результат с полученным от пользователя. При совпадении указанных результатов подлинность пользователя считается доказанной. Достоинством метода является то, что передача какой-либо информации, которой может воспользоваться злоумышленник, здесь сведена к минимуму. В ряде случаев пользователю может оказаться необходимым проверить подлинность другого удаленного пользователя или некоторой АС, к которой он собирается осуществить доступ. Наиболее подходящим здесь является метод «рукопожатия», так как никто из участников информационного обмена не получит никакой конфиденциальной информации. Отметим, что методы аутентификации, основанные на одноразовых паролях, также не обеспечивают абсолютной защиты. Например, если злоумышленник имеет возможность подключения к сети и перехватывать передаваемые пакеты, то он может посылать последние как собственные. Токены В последнее время получили распространение комбинированные методы идентификации, требующие, помимо знания пароля, наличие специального устройства, подтверждающего подлинность субъекта, т.н. токена (token). Токены разделяют на два типа: пассивные; активные. Самыми распространенными являются пассивные токены в виде карточек с магнитной полосой, которые считываются специальным устройством, имеющим клавиатуру и процессор. При использовании указанной карточки пользователь вводит свой идентификационный номер. В случае его совпадения с электронным вариантом, закодированным в карточке, пользователь получает доступ в систему. Это позволяет достоверно установить лицо, получившее доступ к системе и исключить несанкционированное использование карточки злоумышленником (например, при ее утере). Такой способ часто называют двухкомпонентной аутентификацией. Иногда (обычно для физического контроля доступа) карточки применяют сами по себе, без запроса личного идентификационного номера. К достоинству использования карточек относят то, что обработка аутентификационной информации выполняется устройством чтения, без передачи в память компьютера. Это исключает возможность электронного перехвата по каналам связи. Недостатки пассивных карточек следующие: они существенно дороже паролей, требуют специальных устройств чтения, их использование подразумевает специальные процедуры безопасного учета и распределения. Их также необходимо оберегать от злоумышленников, и, естественно, не оставлять в устройствах чтения. Известны случаи подделки пассивных карточек, а также средств аутентификации, когда пароли не только проверялись, но и запоминались для последующего несанкционированного использования. Интеллектуальные токены характеризуются наличием собственной вычислительной мощности. Некоторые предназначены для хранения криптографических ключей, таких как электронная подпись или биометрические данные (например, детали дактилоскопического узора). В одни встроена защита от взлома, в другие — мини-клавиатура для ввода PIN-кода или же просто кнопка вызова процедуры генерации и дисплей для вывода сгенерированного ключа. Интеллектуальные токены обладают разъёмом USB, функциями RFID или беспроводным интерфейсом Bluetooth для передачи сгенерированной последовательности ключей на клиентскую систему. Обычно они обладают небольшими размерами, что позволяет носить их в кармане или кошельке, часто они оформлены в виде брелоков. По принципу действия интеллектуальные токены можно разделить на следующие категории: Статический обмен паролями: пользователь обычным образом доказывает токену свою подлинность, затем токен проверяется компьютерной системой. Динамическая генерация паролей: токен генерирует пароли, периодически изменяя их. Компьютерная система должна иметь синхронизированный генератор паролей. Информация от токена поступает по электронному интерфейсу или набирается пользователем на клавиатуре терминала. Запросно-ответные системы: компьютер выдает случайное число, которое преобразуется криптографическим механизмом, встроенным в токен, после чего результат возвращается в компьютер для проверки. Здесь также возможно использование электронного или ручного интерфейса. В последнем случае пользователь читает запрос с экрана терминала, набирает его на клавиатуре токена (возможно, в это время вводится и личный номер), а на дисплее токена видит ответ и переносит его на клавиатуру терминала. Главным достоинством интеллектуальных токенов является возможность их применения при аутентификации по открытой сети. Генерируемые или выдаваемые в ответ пароли постоянно меняются, и злоумышленник не получит заметных дивидендов, даже если перехватит текущий пароль. Биометрика Методы аутентификации, основанные на измерении биометрических параметров человека, обеспечивают почти стопроцентную идентификацию, решая проблемы утраты паролей и личных идентификаторов. В биометрических идентификаторах используются статические методы, основанные на физиологических характеристиках человека, т.е. на уникальных характеристиках, данных ему от рождения (рисунки папиллярных линий пальцев, радужной оболочки глаз, капилляров сетчатки глаз, геометрия лица и руки), и динамические методы (почерк и динамика подписи, голос и особенности речи, ритм работы на клавиатуре). Классификация современных биометрических средств идентификации показана на рис. 2. Рис. 2 Классификация современных биометрических средств идентификации Любая биометрическая технология применяется поэтапно: сканирование объекта; извлечение индивидуальной информации; формирование шаблона; сравнение текущего шаблона с базой данных. Методика биометрической аутентификации заключается в следующем. Пользователь, обращаясь с запросом на доступ, прежде всего, идентифицирует себя с помощью пароля или токена. Система по предъявленному пользователем идентификатору находит в своей памяти личный файл (эталон) пользователя, в котором вместе с номером хранятся данные его биометрии, предварительно зафиксированные во время процедуры регистрации. После этого пользователь предъявляет системе для считывания обусловленный носитель биометрических параметров. Сопоставив полученные и зарегистрированные данные, система принимает решение о предоставлении или запрещении доступа. Биометрические идентификаторы хорошо работают только тогда, когда оператор может проверить две вещи: во-первых, что биометрические данные получены от конкретного лица именно во время проверки, а во-вторых, что эти данные совпадают с образцом, хранящимся в картотеке. Биометрические характеристики являются уникальными идентификаторами, но вопрос их надежного хранения и защиты от перехвата по-прежнему остается открытым. Говоря о точности автоматической аутентификации, принято выделять два типа ошибок: ошибки 1-го рода («ложная тревога») связаны с запрещением доступа законному пользователю, ошибки 2-го рода («пропуск цели») — предоставление доступа незаконному пользователю. Причина возникновения ошибок состоит в том, что при измерениях биометрических характеристик существует определенный разброс значений. В биометрии совершенно невероятно, чтобы образцы и вновь полученные характеристики давали полное совпадение. Это справедливо для всех биометрических характеристик, включая отпечатки пальцев, сканирование сетчатки глаза или опознание подписи. Например, пальцы руки не всегда могут быть помещены в одно и то же положение, под тем же самым углом или с тем же самым давлением. И так каждый раз при проверке. Перечислим наиболее используемые биометрические атрибуты. Отпечатки пальцев. Биологическая повторяемость отпечатка пальца составляет 105 %. Преимущества доступа по отпечатку пальца — простота использования, удобство и надежность. Хотя процент ложных отказов при идентификации составляет около 3 %, ошибка ложного доступа — меньше 0,00001 % (1 на 1 000 000). Геометрия руки. Из-за того, что отдельные параметры формы руки не являются уникальными, приходится использовать несколько характеристик. Сканируются такие параметры руки, как изгибы пальцев, их длина и толщина, ширина и толщина тыльной стороны руки, расстояние между суставами и структура кости. Также геометрия руки включает в себя мелкие детали (например, морщины на коже). Биологическая повторяемость геометрии руки около 2 %. Радужная оболочка глаза. Эта технология аутентификации обладает наивысшей точностью. Радужная оболочка образовывается ещё до рождения человека, и не меняется на протяжении всей жизни. Рисунок радужки очень сложен, это позволяет отобрать порядка 200 точек, с помощью которых обеспечивается высокая степень надежности аутентификации. Теоретическая вероятность совпадения двух радужных оболочек составляет 1 из 1078. Геометрия лица. Для определения уникального шаблона, соответствующего определенному человеку, требуется от 12 до 40 характерных элементов. Для построения трехмерной модели человеческого лица, выделяют контуры глаз, бровей, губ, носа, и других различных элементов лица, затем вычисляют расстояние между ними, и с помощью него строят трехмерную модель. Шаблон должен учитывать множество вариаций изображения на случаи поворота лица, наклона, изменения освещённости, изменения выражения. Диапазон таких вариантов варьируется в зависимости от целей применения данного способа (для идентификации, аутентификации, удаленного поиска на больших территориях и т.д.). Некоторые алгоритмы позволяют компенсировать наличие у человека очков, шляпы, усов и бороды. Голос. Существует довольно много способов построения шаблона по голосу. Обычно, это разные комбинации частотных и статистических характеристик голоса. Могут рассматриваться такие параметры, как модуляция, интонация, высота тона, и т.п. Основной и определяющий недостаток метода — низкая точность метода. Например, человека с простудой система может не опознать. Важную проблему составляет многообразие проявлений голоса одного человека: голос способен изменяться в зависимости от состояния здоровья, возраста, настроения и т.д. Это многообразие представляет серьёзные трудности при выделении отличительных свойств голоса. Кроме того, учет шумовой компоненты является ещё одной важной и не решенной проблемой в практическом использовании аутентификации по голосу. Так как вероятность ошибок второго рода при использовании данного метода велика (порядка одного процента), аутентификация по голосу применяется для управления доступом в помещениях среднего уровня безопасности. Ввод с клавиатуры. Здесь при вводе, например, пароля отслеживаются скорость и интервалы между нажатиями. Тенденция значительного улучшения характеристик биометрических идентификаторов и снижения их стоимости приведет к широкому применению биометрических идентификаторов в различных системах контроля и управления доступом. Список использованных источников1) А.А. Гладких, В.Е. Дементьев / Учебное пособие «Базовые принципы информационной безопасности вычислительных сетей». — Ульяновск: УлГТУ, 2009; 2) С.А. Нестеров / Анализ и управление рисками в информационных системах на базе операционных систем Microsoft. — Издательство «Интернет-университет информационных технологий — ИНТУИТ.ру» (www.intuit.ru), 2009; 3) Свободная общедоступная многоязычная универсальная энциклопедия «Википедия» (www.wikipedia.org); |