Основные положения
Стандартность архитектурных принципов построения, оборудования и программного обеспечения персональных компьютеров, мобильность программного обеспечения определяют сравнительно легкий доступ к информации, находящейся в персональном компьютере. Несанкционированный доступ к информации персонального компьютера - незапланированное ознакомление, обработка, копирование, применение различных вирусов, модификация или уничтожение информации в нарушение правил доступа.
Под защитой информации понимают создание организованной совокупности средств, методов и мероприятий, предназначенных для предупреждения искажения, уничтожения или несанкционированного использования защищаемой информации. К ним относятся аппаратные и программные средства, криптографическое закрытие информации, физические меры, организационные мероприятия и законодательные меры. Один из методов защиты - парольная идентификация, ограничивающая доступ несанкционированного пользователя.
Парольная защита программ
Включение защиты в программу связано с разработкой программ с запросом информации, т.е. требующих для своей работы ввода дополнительной информации, такой как пароли или номера ключей. Однако такая проверка доступа к программам или системам не должна существенно сказываться на быстродействии программы или требовать от пользователя сложных дополнительных действий.
Пароль - это код, используемый для получения доступа к системам или файлам, оснащенным парольной защитой. Пароли обеспечивают сохранение целостности программного обеспечения в составе вычислительной системы, но для поддержания паролей требуется высокая дисциплинированность. При первой регистрации пользователя администратор определяет круг полномочий для получения и изменения информации или выполнения определенных управляющих действий в системе, руководствуясь его профессиональными обязанностями и должностными инструкциями. Затем пользователю прелагается ввести свой пароль согласно правилам, принятым в данной системе. Метод паролей требует, чтобы вводимый пользователем пароль (строка символов) сравнивался с тем, который хранится в вычислительной системе для данного пользователя. Если пароль верен, система должна вывести на экран терминала дату и время последнего входа в систему этого пользователя. Затем пользователю предоставляется возможность пользоваться всей информацией, доступ к которой ему разрешен (пароли можно также использовать независимо от пользователя для защиты файлов, записей, полей данных внутри записей и т.д.). Процедура установления подлинности пользователей с помощью пароля приведена на рис.1.
Парольная защита является достаточно эффективной, если:
- сохранять пароль в тайне;
- просматривать систему для поиска резидентных программ или троянских коней, предназначенных для перехвата паролей; установить защиты в системе от таких программ;
- установить требования к минимальной длине и множеству символов в паролях;
- при наличии средств использовать интеллектуальные карты, опознавательные знаки, биометрические устройства управления доступом;
- осуществлять периодическое изменение паролей и контроль их сроков действия.
Система не должна отображать вводимые пользователем пароли, либо на месте ввода выводить последовательность случайных символов. Не следует хранить пароли в открытом в виде или на носителе. Немедленно после ввода пароля производить шифрование пароля и очистку памяти, содержащую открытый текст пароля. Для предотвращения угадывания пароля рекомендуется использовать пароли, генерируемые компьютером, а также производить блокировку после определенного количества попыток ввода неправильного пароля.
Рисунок 6.1 - Схема установления подлинности пользователя.
Рисунок 6.2 - Виды паролей
Простой пароль
Простой пароль - вводимая пользователем с клавиатуры строка символов. В схеме с простым паролем пользователю разрешается самому выбирать пароль таким образом, чтобы его было легко запомнить. Иногда в ряду символов пароля и в конце его оставляют пробелы. Отличие действительного пароля от кажущегося (без пробелов) повышает защищенность системы.
Подбор пароля путем простого перебора комбинаций предполагает перебор всех возможных сочетаний символов в пароле. Время, необходимое для разгадывания пароля методом простого перебора, является геометрической прогрессией от длины пароля, но есть различные кривые, зависящие от размера алфавита, на основе которого был создан пароль и от размера набора символов, по отношению к которым рассматриваются различные пароли.
Согласно формуле Андерсена:
где R - скорость передачи в линии связи (симв./с);
E - число символов в каждом передаваемом сообщении при попытке получить доступ;
S - длина пароля;
A - число символов в алфавите, из которого составлен пароль;
P - вероятность правильного отгадывания пароля.
Наибольшее влияние на вероятность P раскрытия пароля оказывает величина S. Увеличение пароля на один символ значительно увеличивает время для раскрытия этого пароля. Поэтому применение очень длинных паролей может быть обосновано. Борьба с перебором комбинаций заключается в использовании программного обеспечения, ограничивающего минимальную длину пароля и использовании более обширного алфавита (256 символов).
Выборка символов
Использование в качестве пароля отдельных символов условного слова (например, 1 и 5 буква) предотвращает ситуацию, когда целое слово может быть случайно услышано. Запрашиваемые символы пароля изменяются при каждой новой попытке доступа. Позиции запрашиваемых символов можно получить с помощью некоторой процедуры преобразования, привязанной к показаниям часов ЭВМ или выработать генератором псевдослучайных чисел. Однако пароль следует изменять достаточно часто, поскольку он может быть составлен из отдельных символов.
Пароль однократного использования
В схеме однократного использования пароля пользователю выдается список из N паролей. Такие же N паролей хранятся в ЭВМ (в зашифрованном виде). Данная схема обеспечивает большую степень безопасности, но она является и более сложной. После использования пароля пользователь вычеркивает его из списка. При дальнейшей работе система на этот пароль реагировать не будет, поскольку ожидает следующий по списку пароль.
Пароли однократного использования могут применяться также для установления подлинности подтверждения об отключении ЭВМ от обслуживания пользователя и подтверждения подлинности требования пользователя об отключении от ЭВМ. Всякий раз, когда получено требование пользователя об окончании работы, ЭВМ немедленно передает ему свой пароль однократного использования и прерывает связь. Если пользователь отключается и не получает истинного пароля от ЭВМ, ему следует принять меры предосторожности.
Недостатки паролей однократного использования:
- пользователь должен помнить весь список паролей и следить за текущим паролем;
- в случае ошибки в процессе передачи пользователь не знает, следует ли ему передать тот же пароль или послать следующий;
- если пароли определены путем использования линейной последовательности псевдослучайных чисел, то первоначальная последовательность может быть восстановлена на основании нескольких перехваченных паролей.
Метод “запрос-ответ”
В методе “запрос-ответ” набор ответов на m стандартных и n ориентированных на пользователя вопросов хранится в ЭВМ и управляется операционной системой. Когда пользователь делает попытку включиться в работу, операционная система случайным образом выбирает и задает ему некоторые (или все) из этих вопросов. Пользователь должен дать правильный ответ на все вопросы, чтобы получить разрешение на доступ к системе. Иногда пользователям задается большое количество стандартных вопросов и от них требуются ответы на те, которые они выберут.
Шифрование паролей
Шифрование пароля повышает безопасность системы. Этот метод предполагает, что пароль, вводимый при входе в систему, шифруется и сравнивается с зашифрованным паролем, хранящимся в базе данных. Для шифрования пароля можно использовать простой метод обратимого шифрования или более сложный метод “необратимой беспорядочной сборки”, когда несколько паролей в явной форме преобразуются в одинаковый зашифрованный пароль. В этом случае не существует никакой схемы для возвращения к оригиналу пароля. Система просто шифрует каждый пароль пользователя во время процесса регистрации и сверяет его с зашифрованным паролем, хранящимся в собственном файле пользователя.
Пример этого метода - полиномиальное необратимое представление:
f(x)=(xn+a1xn-1+...+an-1x+an)modP,
где P- большое, ai и n - целые числа; x -пароль в явной форме; f(x) - зашифрованный пароль.
Режим “рукопожатия”
Операционная система может потребовать, чтобы пользователь установил свою подлинность с помощью корректной обработки алгоритмов, которую называют режимом “рукопожатия” и она может быть выполнена как между двумя ЭВМ, так и между пользователем и ЭВМ.
ЭВМ для установления подлинности могла дать пользователю число, выбранное случайным образом, а затем запросить от него ответ. Для подготовки ответа пользователь “u” применяет собственное заранее подготовленное преобразование tu. Информацией, на основе которого принимается решение, здесь является не пароль, а преобразование tu. ЭВМ посылает значение x, а пользователь отвечает значением tu(x). Даже в случае знания значений x и tu(x) угадать функцию преобразования невозможно. Функция преобразования может быть различна для каждого пользователя.
Запрос пары пароль-ключ
Пароли можно использовать не только для установления подлинности пользователя по отношения к системам, но и для обратного установления подлинности. Это важно, например, в сетях ЭВМ, когда пользователь хочет взаимодействовать только с данной ЭВМ и поэтому желает убедиться в подлинности вычислительной установки.
Пользователь вводит с клавиатуры свое имя, которое в незашифрованном виде посылается по линиям связи в ЭВМ. Вместо секретного пароля в ЭВМ хранится ключ преобразования секретности, связанный с каждым именем. Затем пользователь посылает свою копию ключа преобразования. Если ключи идентичны, значит установление подлинности как пользователя, так и ЭВМ прошло успешно. Ключ преобразования не должен передаваться по линиям связи. Если связь прекращается, то каждая сторона, участвующая в передаче сообщений, будет немедленно предупреждена о создавшейся ситуации.
0 коммент.:
Отправить комментарий