Файл: Технологии и средства идентификации, аутентификации и авторизации..pdf

Введение

В настоящее время информационные системы (ИС) различного масштаба стали неотъемлемой частью базовой инфраструктуры государства, бизнеса, гражданского общества. Все больше защищаемой информации переносится в ИС. Современные информационные технологии не только обеспечивают новые возможности организации бизнеса, ведения государственной и общественной деятельности, но и создают значительные потребности в обеспечении безопасности для защиты информации.

Основными процедурами регистрации пользователей в ИС являются процедура идентификации - получение ответа на вопрос «Кто Вы?» и аутентификации - доказательства того, что «Вы именно тот, кем представляетесь». Несанкционированное получение злоумышленником доступа к ИС связано, в первую очередь, с нарушением процедуры аутентификации.

Аутентификация и идентификация

Идентификацию и аутентификацию можно считать основой программно-технических средств безопасности, поскольку остальные сервисы рассчитаны на обслуживание именованных субъектов. Идентификация и аутентификация - это первая линия обороны, "проходная" информационного пространства организации.

Идентификация позволяет субъекту (пользователю, процессу, действующему от имени определенного пользователя, или иному аппаратно-программному компоненту) назвать себя (сообщить свое имя). Посредством аутентификации вторая сторона убеждается, что субъект действительно тот, за кого он себя выдает. В качестве синонима слова "аутентификация" иногда используют словосочетание "проверка подлинности".

Аутентификация бывает односторонней (обычно клиент доказывает свою подлинность серверу) и двусторонней (взаимной). Пример односторонней аутентификации - процедура входа пользователя в систему.

В сетевой среде, когда стороны идентификации/аутентификации территориально разнесены, у рассматриваемого сервиса есть два основных аспекта:

Что служит аутентификатором (то есть используется для подтверждения подлинности субъекта);

Как организован (и защищен) обмен данными идентификации/аутентификации.

Субъект может подтвердить свою подлинность, предъявив, по крайней мере, одну из следующих сущностей:

Нечто, что он знает (пароль, личный идентификационный номер, криптографический ключ и т.п.);

Нечто, чем он владеет (личную карточку или иное устройство аналогичного назначения);

Нечто, что есть часть его самого (голос, отпечатки пальцев и т.п., то есть свои биометрические характеристики).

Этапы аутентификации:

Процесс аутентификации пользователя компьютером можно разделить на два этапа:

·подготовительный - выполняется при регистрации пользователя в системе. Именно тогда у пользователя запрашивается образец аутентификационной информации, например, пароль или контрольный отпечаток пальца, который будет рассматриваться системой как эталон при аутентификации;

·штатный - образец аутентификационной информации запрашивается у пользователя снова и сравнивается с хранящимся в системе эталоном. Если образец схож с эталоном с заданной точностью - пользователь считается узнанным, в противном случае пользователь будет считаться чужим, результатом чего будет, скажем, отказ в доступе на компьютер.

Для аутентификации пользователя компьютер должен хранить некую таблицу имен пользователей и соответствующих им эталонов:

В наиболее простом варианте эталоном может быть просто пароль, хранящийся в открытом виде.

В любом случае функция вычисления эталона из аутентификационной информации должна быть однонаправленной, т. е. легко рассчитываться, но представлять собой вычислительную проблему при попытке вычисления в обратном направлении.

В открытой сетевой среде между сторонами идентификации / аутентификации не существует доверенного маршрута; это значит, что в общем случае данные, переданные субъектом, могут не совпадать с данными, полученными и использованными для проверки подлинности. Необходимо обеспечить защиту от пассивного и активного прослушивания сети, то есть от перехвата, изменения и/или воспроизведения данных. Передача паролей в открытом виде, очевидно, неудовлетворительна; не спасает положение и шифрование паролей, так как оно не защищает от воспроизведения. Нужны более сложные протоколы аутентификации.

Надежная идентификация и затруднена не только из-за сетевых угроз, но и по целому ряду причин. Во-первых, почти все аутентификационные сущности можно узнать, украсть или подделать. Во-вторых, имеется противоречие между надежностью аутентификации, с одной стороны, и удобствами пользователя и системного администратора с другой. Так, из соображений безопасности необходимо с определенной частотой просить пользователя повторно вводить аутентификационную информацию, а это не только хлопотно, но и повышает вероятность того, что кто-то может подсмотреть за вводом данных. В-третьих, чем надежнее средство защиты, тем оно дороже.

Современные средства идентификации/аутентификации должны поддерживать концепцию единого входа в сеть. Единый вход в сеть — это, в первую очередь, требование удобства для пользователей. Если в корпоративной сети много информационных сервисов, допускающих независимое обращение, то многократная идентификация/аутентификация становится слишком обременительной. К сожалению, пока нельзя сказать, что единый вход в сеть стал нормой, доминирующие решения пока не сформировались.

Таким образом, необходимо искать компромисс между надежностью, доступностью по цене и удобством использования и администрирования средств идентификации и аутентификации.

Биометрическая аутентификация. Особенности статических методов биометрического контроля

Помимо использования пароля в качестве аутентификационного контроля, существует ряд биометрических возможностей, которые обладают большей надежностью.

Биометрия — это методы автоматической аутентификации человека и подтверждения личности человека, основанные на физиологических или поведенческих характеристиках. Примерами физиологических характеристик являются отпечатки пальцев, форма руки, характеристика лица, радужная оболочка глаза. К поведенческим характеристикам относятся особенности или характерные черты, либо приобретенные или появившиеся со временем, то есть динамика подписи, идентификация голоса, динамика нажатия на клавиши. Биометрия - уникальная, измеримая характеристика человека для автоматической идентификации или верификации. Термин «автоматически» означает, что биометрические технологии должны распознавать или верифицировать человека быстро и автоматически, в режиме реального времени. Идентификация с помощью биометрических технологий предполагает сравнение ранее внесенного биометрического образца с вновь поступившими биометрическими данными.

Все биометрические системы работают практически по одинаковой схеме. Во-первых, система запоминает образец биометрической характеристики (это и называется процессом записи). Во время записи некоторые биометрические системы могут попросить сделать несколько образцов для того, чтобы составить наиболее точное изображение биометрической характеристики. Затем полученная информация обрабатывается и преобразовывается в математический код.

Кроме того, система может попросить произвести еще некоторые действия для того, чтобы «приписать» биометрический образец к определенному человеку. Например, персональный идентификационный номер (PIN) прикрепляется к определенному образцу, либо смарт-карта, содержащая образец, вставляется в считывающее устройство. В таком случае, снова делается образец биометрической характеристики и сравнивается с представленным образцом.

Аутентификация по любой биометрической системе проходит четыре стадии: Запись - физический или поведенческий образец запоминается системой; Выделение - уникальная информация выносится из образца и составляется биометрический образец;

Сравнение - когда сохраненный образец сравнивается с представленным; «Совпадение/несовпадение» - система решает, совпадают ли биометрические образцы, и выносит решение.

Использование биометрии для аутентификации открывает ряд уникальных возможностей. Биометрия позволяет идентифицировать вас с помощью вас самих же. Смарт-карты, карточки с магнитной полосой, идентификационные карточки, ключи и подобные вещи, могут быть утеряны, украдены, скопированы или просто забыты дома. Пароли могут быть забыты, также украдены. Более того, постоянно развивающийся электронный бизнес и работа с информацией, представленной в электронном виде требует от человека запоминать множество паролей и персональных идентификационных номеров (PIN) для компьютерных счетов, банковских счетов, электронной почты, международных переговоров, веб - сайтов и т.п. Биометрия предлагает быстрый, удобный, точный, надежный и не очень дорогой способ идентификации с огромным количеством самых разнообразных применений.

Применения биометрических технологий разнообразны: доступ к рабочим местам и сетевым ресурсам, защита информации, обеспечение доступа к определенным ресурсам и безопасность. Ведение электронного бизнеса и электронных правительственных дел возможно только после соблюдения определенных процедур по идентификации личности. Биометрические технологии используются в области безопасности банковских обращений, инвестирования и других финансовых перемещений, а также розничной торговле, охране правопорядка, вопросах охраны здоровья, а также в сфере социальных услуг. Биометрические технологии в скором будущем будут играть главную роль в вопросах персональной идентификации во многих сферах. Применяемые отдельно или используемые совместно со смарт-картами, ключами и подписями, биометрия скоро станет применяться во всех сферах экономики и частной жизни.

В зависимости от используемой биометрической характеристики, средства биометрической аутентификации имеют различные достоинства и недостатки. Например, использование отпечатков пальцев наиболее привычно и удобно для пользователей, но, теоретически, возможно создание «искусственного пальца», успешно проходящего аутентификацию.

Общий же недостаток биометрической аутентификации - необходимость в оборудовании для считывания биометрических характеристик, которое может быть достаточно дорогостоящим.

Аутентификация по рисунку папиллярных линий

Папиллярные узоры на пальцах человека уникальны для каждого человека. В этом и есть основа данного метода. Отпечаток, полученный с помощью специального сканера, преобразуется в цифровой код (свертку), и сравнивается с ранее введенным эталоном. Данная технология является самой распространенной по сравнению с другими методами биометрической аутентификации.

Технология сканирования отпечатков пальцев - одна из самых распространенных. Отпечатки индивидуальны для каждого человека и не меняются в течение всей жизни, поэтому их относят к статическим методам распознавания.

На данный момент существуют три типа сканеров отпечатков:

Оптические (FTIR, оптоволоконные, оптические протяжные и др.),

Полупроводниковые (термосканеры, протяжные термосканеры, емкостные и др.)

Ультразвуковые

Все они работают по разным принципам, но в итоге получают схожие изображения, которые в соответствии с определенными математическими алгоритмами преобразуются в контрольную сумму.

Возможными уязвимостями данной технологии могут быть:

Создание муляжа на основе латекса или желатина. Подобный муляж может сработать на простых сканерах.

Решение: установка многофакторного сканера, фиксирующего температуру и потливость.

Перехват сигнала в случае, если сканер связан с основной системой проводным интерфейсом.

Решение: использование методов криптографии при передаче сигналов.

Конденсация (направление струи теплого воздуха на сканер и, как результат, восстановление последнего отпечатка).

Решение: проблема сохранилась только для дешевых оптических сканеров, на полупроводниковых данный метод не работает.

Кроме того, существует проблема распознавания пальца с порезами, "сморщиванием" кожи и другими дефектами, которую можно обойти за счет снятия нескольких отпечатков. Однако важно избежать избыточности биометрической информации в системе, так как это является нарушением ФЗ "О персональных данных" и постановления "Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных".