Парольная аутентификация.

Третий, и наиболее распространенный тип аутентификации - аутентификация, основанная на знании. Наиболее распространенной реализацией этого метода является парольная аутентификация. Под паролем понимается конфиденциальная информация аутентификации, обычно состоящая из строки символов.

Контроль загрузки, электронные замки. Доступ к загрузке системы реализуется через ВЮ8 компьютера. Во всех компьютерах обеспечивается паро- лирование ВЮБ. Причем возможно закрыть паролем не только доступ параметров загрузки, но и сам процесс загрузки. Однако стойкость такого пароля невелика (6 знаков). Поэтому дополнительным устройством, обеспечивающим доступ к загрузке, выступают электронные замки. Это специальные устройства, перехватывающие управление загрузкой до ввода идентификационных признаков. Подробнее о них материал будет рассмотрен позже.

Контроль функционирования. Контроль функционирования производится после загрузки ядра ОС с использованием ее возможностей. И может производиться всеми методами как с использованием программных, так и аппаратных и программных средств.

Требования к механизму аутентификации:

  • • внутреннее хранение паролей; база данных паролей должна быть защищена с помощью механизма контроля доступа по чтению и записи за исключением доверенных процессов (например: для процедуры входа в систему - разрешение чтения файла паролей, для процедуры смены пароля - разрешение чтения и записи файла паролей); при этом вне зависимости от применения механизма контроля доступа пароли должны быть зашифрованы;
  • • при проверке целесообразно не расшифровывать пароли, а сравнивать значения зашифрованных как значения хэш-функций;
  • • система не должна отображать пароли, вводимые пользователями;
  • • количество попыток неуспешного входа в систему должно быть ограничено;
  • • система должна регистрировать использование и смену пароля (при этом сами пароли или неверно введенные значения регистрироваться не должны; регистрируется только результат процедуры);
  • • при входе в систему с некоторой учетной записью пользователь должен быть оповещен:
  • - времени последнего входа в систему с этой учетной записью;
  • - месте последнего входа в систему с этой учетной записью;
  • - результате последнего входа в систему с этой учетной записью.

В этом же документе приведена оценка, используемая для выбора длины пароля. При этом введены следующие обозначения:

Ь - максимальное время жизни пароля;

М - длина пароля;

А - количество символов в пароле;

Р - вероятность того, что пароль может быть подобран за время жизни;

Я - количество возможных попыток подбора в единицу времени; на данный параметр влияют: защищенность хранилища паролей, количественные ограничения на неуспешное выполнение процедуры входа в систему;

5 - пространство паролей (количество уникальных паролей, которые может создать генератор).

Пространство паролей можно оценить как 3=АМ.

Исходя из того что Р< 1, С=ЬхЯ, где С - количество попыток подбора, можно оценить длину пароля в зависимости от вероятности того, что пароль может быть подобран за время жизни: lS'=G/P=LxJR/p. Тогда M-logA(LxR/P). При оценках обычно принимают Р=10'6, в критичных случаях Р=Ю~20.

В системах контроля и управления доступом широко используются аппаратные средства идентификации и аутентификации, называемые устройствами ввода идентификационных признаков (УВПП).

В состав аппаратных средств УВИП входят идентификаторы и считывающие устройства (иногда считыватели могут отсутствовать). Современные УВИП принято классифицировать по виду идентификационных признаков и по способу их считывания (рис. 2.2).

Классификация УВИП

Рис. 2.2. Классификация УВИП

По способу считывания они подразделяются на контактные, дистанционные (бесконтактные) и комбинированные.

Контактное считывание идентификационных признаков предполагает непосредственное взаимодействие идентификатора и считывателя - проведение идентификатора через считыватель или их простое соприкосновение.

Бесконтактный (дистанционный) способ считывания не требует четкого позиционирования идентификатора и считывателя. Для чтения данных нужно либо на определенное расстояние поднести идентификатор к считывателю (радиочастотный метод), либо оказаться с ним в поле сканирования считывающего устройства (инфракрасный метод).

Комбинированный способ подразумевает сочетание обоих методов считывания.

По виду используемых идентификационных признаков УВИП могут быть электронными, биометрическими и комбинированными.

В электронных УВИП идентификационные признаки представляются в виде кода, записанного в электронную микросхему памяти идентификатора.

В биометрических устройствах идентификационными признаками являются индивидуальные физические признаки человека (отпечатки пальцев, геометрия ладони, рисунок сетчатки глаза, голос, динамика подписи и т. д.).

В комбинированных УВИП для идентификации используется несколько идентификационных признаков одновременно.

В системах разграничения доступа широкое применение находят УВИП на базе идентификаторов, называемых смарт-картами (от англ. Smart Card - интеллектуальная карта) (рис. 2.3). Устройства ввода идентификационных признаков на базе смарт-карт относятся к классу электронных устройств. Они могут быть контактными и бесконтактными (дистанционными).

Микропроцессорная смарт-карта

Рис. 2.3. Микропроцессорная смарт-карта

Основой внутренней организации смарт-карты является так называемая SPOM-архитектура (Self Programming One-chip Memory), предусматривающая наличие центрального процессора (CPU), ОЗУ, ПЗУ и электрически перепрограммируемой постоянной памяти EEPROM (рис. 2.4). Как правило, в карте также присутствует специализированный сопроцессор.

Структура контактной смарт-карты

Рис. 2.4. Структура контактной смарт-карты

Процессор обеспечивает разграничение доступа к хранящейся в памяти информации, обработку данных и реализацию криптографических алгоритмов (совместно с сопроцессором). В ПЗУ хранится исполняемый код процессора, оперативная память используется в качестве рабочей, EEPROM необходима для хранения изменяемых данных владельца карты.

В структуру бесконтактных смарт-карт на базе стандарта MIFARE 1 S501C (или MIFARE Standard) дополнительно входит радиочастотный модуль со встроенной антенной, необходимой для связи со считывателем и питания микросхемы. Смарт-карта является пассивной, расстояние считывания составляет не более 10 см. Обмен информацией осуществляется на частоте 13,56 МГц с максимальной скоростью 106 кбит/с.

Каждая смарт-карта обладает собственным уникальным серийным номером. Он задается на заводе-изготовителе, его нельзя изменить на протяжении всего срока эксплуатации карты. Идентификация по серийному номеру, шифрование данных и аутентификация областей памяти с помощью секретных ключей обеспечивают надежную защиту смарт-карт от взлома.

По отношению к компьютеру устройства чтения смарт-карт могут быть внешними и внутренними (например, встроенными в клавиатуру, гнездо 3,5"- дисковода, корпус компьютера). Считыватель работает под управлением специальной программы - драйвера устройства чтения.

На базе ISO 7816 разработан единый стандартный интерфейс для работы со смарт-картами. Включенные в него спецификации PC/SC облегчают интеграцию смарт-карт-технологий в Аппаратные и программные комплексы на базе платформы персонального компьютера и создание средств разработки приложений для смарт-карт.

На мировом рынке компьютерной безопасности разработкой смарт-карт- технологий занимаются многие фирмы, среди которых выделяются Bull, GemPlus, HID, Schlumberger, а также альянс Fujitsu Siemens Computers. На отечественном рынке ведущее место занимает ОАО «Ангстрем», разработавшее первую российскую смарт-карту в 1996 г.

Несомненными достоинствами УВИП на базе смарт-карт считаются удобство хранения идентификатора (например, его можно держать в бумажнике вместе с другими карточками) и считывания идентификационных признаков. К недостаткам можно отнести ограниченный срок эксплуатации из-за неустойчивости смарт-карты к механическим повреждениям и высокую стоимость считывателей смарт-карт.

В последнее время широкое применение находят УВИП, не требующие наличия аппаратных считывателей. К таким устройствам относят так называемые иБВ-ключи, которые подключаются к иБВ-порту непосредственно или с помощью соединительного кабеля.

Конструктивно ШВ-ключи выпускаются в виде брелоков (рис. 2.5), которые легко размещаются на связке с обычными ключами. Брелоки выпускаются в цветных корпусах и снабжаются световыми индикаторами работы. Каждый идентификатор имеет собственный уникальный серийный номер. Основными компонентами ШВ-ключей являются встроенные процессор и память. Процессор выполняет функции криптографического преобразования информации и иБВ-контроллера. Память предназначается для безопасного хранения ключей шифрования, цифровых сертификатов и любой другой важной информации. Поддержка спецификаций РС/БС позволяет без труда переходить от смарт-карт к иБВ-ключам и встраивать их как в существующие приложения, так и в новые.

Идентификатор eToken R2

Рис. 2.5. Идентификатор eToken R2

Основное назначение персональных идентификаторов в виде USB- ключей является осуществление идентификации пользователей и безопасное хранение ключей шифрования, цифровых сертификатов, любой другой важной информации.

Закрытая информация хранится в защищенной памяти брелока емкостью от 16 до 64 Кбайт. Каждый идентификатор имеет уникальный серийный 32- разрядный номер. При обмене информацией между USB-ключом и компьютером используется шифрование данных. Поддержка спецификаций PC/SC позволяет без труда переходить от смарт-карт к USB-идентификаторам.

Достоинствами USB-ключей являются:

  • - малые размеры, удобство хранения;
  • - отсутствие аппаратного считывателя;
  • - простота подсоединения к USB-порту.

К недостаткам USB-ключей можно отнести их относительно высокую стоимость и малое время эксплуатации, ограниченное слабой механической защищенностью брелка.

Широко распространенные радиочастотные идентификаторы Proximity (от англ, proximity - близость, соседство) конструктивно выпускаются в виде карточек, брелоков, браслетов, ключей и т.п. Они имеют встроенные антенну, приемо-передатчик и память.

Внутри идентификатора Proximity также может находиться химический источник питания - литиевая батарея. Идентификаторы с батареей называются активными. Они обеспечивают взаимодействие со считывателем на значительном расстоянии (единицы метров). Идентификаторы без батареи называются пассивными. Дистанция считывания составляет десятки сантиметров.

Считыватель Proximity постоянно излучает радиосигнал низкой мощности, который питает идентификатор. Когда он оказывается на определенном расстоянии от считывателя, сигнал поглощается расположенной внутри нее антенной и данная энергия питает микросхему, также расположенный внутри карточки. После получения энергии карта излучает идентификационные данные, принимаемые считывателем. Дистанция считывания в значительной степени зависит от характеристик антенного и приемо-передающего трактов считывателя. Весь процесс занимает несколько десятков микросекунд.

Устройство чтения может быть помещено внутрь корпуса компьютера. Взаимная ориентация идентификатора и считывателя не имеет значения, а ключи или другие предметы, находящиеся в контакте с картой, не мешают передаче информации.

В соответствии с используемой несущей частотой RFID-системы классифицируются по частоте:

  • - низкочастотные (100-500 кГц) характеризуются незначительным расстоянием считывания (десятки сантиметров). Идентификационный код считывается через одежду, сумки, портмоне ит. и.;
  • - устройства промежуточной частоты (10-15 МГц) способны передавать значительные объемы данных;
  • - высокочастотные (850-950 МГц или 2,4-5 ГГц) характеризуются большой дистанцией считывания (в несколько метров).

В мире насчитывается большое число производителей идентификаторов и считывателей Proximity, основными из которых являются фирмы HID (Hughes Identification Devices), Motorola Indala, Texas Instruments. Среди отечественных предприятий можно отметить НПФ «Сигма», ОАО «Ангстрем», PERCo, ARSEC и ряд других.

Основными достоинствами УВИП Proximity являются:

  • - долговечность пассивных идентификаторов (некоторые производители дают на карты пожизненную гарантию);
  • - отсутствие необходимости четкого позиционирования идентификатора и считывателя, удобство считывания идентификационных признаков.

К недостаткам можно отнести слабую электромагнитную защищенность, относительно высокую стоимость.

 
Посмотреть оригинал
< Пред   СОДЕРЖАНИЕ   ОРИГИНАЛ     След >