Лекція 6. Протоколи аутентифікації

Основні принципи та методи аутентифікації

Аутентифікацією - називається процедура верифікації належності ідентифікатора суб'єкту.

Аутентифікація здійснюється на основі того чи іншого секретного елемента (аутентифікатора), який є у розпорядженні як суб'єкта, так і інформаційної системи.

Звичайно, інформаційна система має в розпорядженні не сам секретний елемент, а деяку інформацію про нього, на основі якої приймається рішення про адекватність суб'єкта ідентифікатору. Наприклад, перед початком інтерактивного сеансу роботи більшість операційних систем запитують у користувача його ім'я та пароль. Введене ім'я є ідентифікатором користувача, а його пароль - аутентифікатором. Операційна система зазвичай зберігає не сам пароль, а його хеш-суму, що забезпечує складність відновлення пароля.

В інформаційних технологіях використовуються такі методи аутентифікації:

Ø однобічна аутентифікація, коли клієнт системи для доступу до інформації доводить свою аутентичність;

Ø двобічна аутентифікація, коли, крім клієнта, свою аутентичність повинна підтверджувати і система (наприклад, банк);

Ø трибічна аутентифікація, коли використовується так звана нотаріальна служба аутентифікації для підтвердження достовірності кожного з партнерів в обміні інформацією.

Методи аутентифікації також умовно можна поділити на однофакторні та двофакторні.

Однофакторні методи діляться на:

• логічні (паролі, ключові фрази, які вводяться з клавіатури комп'ютера чи клавіатури спеціалізованого пристрою);

• ідентифікаційні (носієм ключової інформації є фізичні об'єкти: дискета, магнітна карта, смарт-карта, штрих-кодова карта тощо. Недоліки: для зчитування інформації з фізичного об'єкта (носія) необхідний спеціальний рідер; носій можна загубити, випадково пошкодити, його можуть викрасти або зробити копію).

• біометричні (в їх основі - аналіз унікальних характеристик людини, наприклад: відбитки пальців, малюнок райдужної оболонки ока, голос, обличчя. Недоліки: біометричні методи дорогі і складні в обслуговуванні; чутливі до зміни параметрів носія інформації; володіють низькою достовірністю; призначені тільки для аутентифікації людей, а не програм або інших ресурсів).

Процедура аутентифікації використовується при обміні інформацією між комп'ютерами, при цьому використовуються вельми складні криптографічні протоколи, що забезпечують захист лінії зв'язку від прослуховування або підміни одного з учасників взаємодії. А оскільки, як правило, аутентифікація необхідна обом об'єктам, що встановлює мережеве взаємодія, то аутентифікація може бути і взаємною.

Найпростіший протокол аутентифікації - доступ по паролю (Password Authentication Protocol, PAP). Його суть полягає в тому, що вся інформація про суб'єкта (ідентифікатор і пароль) передається по мережі у відкритому вигляді. Це і є головним недоліком PAP, оскільки зловмисник може легко отримати доступ до незашифрованих даних.

Більш складні протоколи аутентифікації засновані на принципі «запит-відповідь», наприклад, протокол CHAP (Challenge-Handshake Authentication Protocol). Робота протоколу типу "запит-відповідь" може складатися мінімум з чотирьох стадій:

1) Суб'єкт відправляє системі запит, що містить його персональний ідентифікатор

2) Система генерує випадкове число і відправляє його суб'єкту

3) Суб'єкт зашифровує отримане число на основі свого унікального ключа і результат відправляє системі

4) Система розшифровує отримане повідомлення на основі того ж унікального ключа. При збігу результату з вихідним випадковим числом, аутентифікація проходить успішно.

Сам унікальний ключ, на основі якого проводиться шифрування і з одного, і з іншого боку, не передається по мережі, отже, зловмисник не зможе його перехопити. Але суб'єкт повинен володіти власним обчислювальним шифрувальним пристроєм, наприклад, смарт-карта, мобільний телефон.

Принцип дії протоколів взаємної аутентифікації відрізняються від протоколів типу "запит-відповідь" незначно:

1) Суб'єкт відправляє системі запит, що містить його персональний ідентифікатор і випадкове число N1

2) Система зашифровує отримане число N1 на основі унікального ключа, генерує випадкове число N2, і відправляє їх обидва суб'єкту

3) Cуб'ект розшифровує отримане число на основі свого унікального ключа і порівнює результат з N1. Ідентичність означає, що система володіє тим же унікальним ключем, що і суб'єкт

4) Суб'єкт зашифровує отримане число N2 на основі свого унікального ключа і результат відправляє системі

5) Система розшифровує отримане повідомлення на основі того ж унікального ключа. При збігу результату з вихідним числом N2, взаємна аутентифікація проходить успішно.

Алгоритм, наведений вище, часто називають рукостисканням. В обох випадках аутентифікація проходить успішно, тільки якщо суб'єкт має ідентичні з системою унікальні ключі.

В операційних системах сімейства Windows NT 4 використовується протокол NTLM (NT LAN Manager - Диспетчер локальної мережі NT). А в доменах Windows 2000/2003 застосовується набагато більш досконалий протокол Kerberos.

Тема 3. Захист даних від несанкціонованого доступу (НСД)