Средства защиты от несанкционированного доступа

Одним из наиболее распространенных методов защиты от НСД являются идентификация и аутентификация пользователя на этапе доступа к информационным ресурсам. К этому типу средств защиты (СЗ) можно отнести:

· • системы парольной защиты;

· • системы «привязки» ПО к компьютеру пользователя;

· • аппаратно-программные системы с электронными ключами.

В первом случае «ключевую» информацию вводит пользователь, во втором она содержится в уникальных параметрах компьютерной системы пользователя и в третьем случае «ключевая» информация считывается с микросхем электронного ключа.

Парольные защиты на сегодняшний день являются самым распространенным классом СЗ. Основной принцип работы данных систем заключается в идентификации и аутентификации пользователя ПО путем запроса дополнительных данных, это могут быть название фирмы и(или) имя и фамилия пользователя и его пароль, либо только пароль (регистрационный код). Эта информация может запрашиваться в различных ситуациях, в зависимости от характеристик защищаемого объекта. Процедуры парольной защиты просты в реализации и поэтому очень часто применяются производителями ПО. Большинство парольных средств защиты программного обеспечения (СЗПО) использует логические механизмы, сводящиеся к проверке правильности пароля (кода) и запуску или незапуску ПО, в зависимости от результатов проверки. Существуют также системы, шифрующие защищаемое ПО и использующие пароль или производную от него величину как ключ дешифрации, большинство таких систем использует слабые или простейшие алгоритмы шифрования, нестойкие к направленным атакам. Лишь в последнее время разработаны парольные СЗПО, реализующие стойкие криптоалгоритмы типа DES и RSA, они реализованы в виде защитного модуля и вспомогательных библиотек и устанавливаются на уже скомпилированные модули ПО.

 

В целях обеспечения безопасности распределенных систем Международная организация стандартов ISO[1] в 1988 году выпустила стандарт ISO 7498-2 Security Architecture (Архитектура безопасности), который определяет угрозы безопасности и устанавливает требования к наличию механизмов безопасности в среде взаимодействия открытых систем.

Наравне со всеми эталонными системами, архитектура безопасности ISO обладает избыточностью. Поскольку реализация всех требований, определенных в стандарте ISO очень трудна и дорогостояща, систем безопасности, полностью соответствующих указанному стандарту на сегодняшний день нет.

В соответствии со стандартом ISO система безопасности должна обеспечивать следующие услуги безопасности:

· Идентификация – присвоение субъектам и объектам информационной системы уникальных идентификаторов и сравнение предъявленного идентификатора с утвержденным перечнем

· Аутентификация[2] однорангового объекта, которая происходит при установлении соединения или во время обмена данными для подтверждения того, что одноранговый объект является тем, за кого себя выдает.

Чаще всего используется парольная аутентификация, когда для подтверждения своей подлинности субъект должен сообщить системе некий набор символов, в идеале известный только ему. Может использоваться и система «вопрос-ответ», когда пользователю задаются вопросы, ответы на которые анализируются и на основе этого анализа делается заключение о подлинности субъекта доступа.

Однако если в качестве пароля выбрано логически осмысленное слово или словосочетание, либо число, такой пароль достаточно легко подобрать. В то же время бессмысленный набор символов сложно запомнить, и у пользователя возникает стремление хранить его в записанном виде. При этом существует вероятность, что злоумышленник получит доступ к такому листу бумаги с паролем, и в дальнейшем сможет выдать себя за легального пользователя.

В качестве «золотой середины» рекомендуется использовать комбинацию описанных приемов – пароль должен быть сравнительно легко запоминающимся, но вместе с тем быть сложным для отгадывания, т.е. содержать в себе символы разных регистров, чередование букв, цифр и специальных символов.

Кроме того, при организации парольной защиты целесообразно использовать пароли большой длины, т.к. при этом увеличивается время его подбора. Пароли должны периодически меняться.

Аутентификация на основе предъявления субъектом чего-либо, чем он владеет, несколько повышает степень защищенности системы. В этом случае злоумышленник для доступа к объектам информационной системы должен либо стать обладателем ключевого предмета, либо иметь его достаточно точную копию. В качестве таких предметов могут выступать съемные носители информации, на которых записан код субъекта доступа, электронные и механические ключи, пластиковые карты.

Предметы-идентификаторы могут использоваться только для получения доступа к системе или постоянно должны быть подключены до окончания работы пользователя. Такие аппаратно-программные устройства, в отличие от парольной защиты, способны обеспечить контроль доступа на протяжении всего сеанса работы.

Наиболее высокий уровень безопасности обеспечивается аутентификацией на основе неотъемлемой части субъекта доступа – его биометрических характеристик. Используемые в них данные не могут быть похищены или скопированы.

Биометрическая идентификация – совокупность автоматизированных методов идентификации и/или аутентификации людей на основе их физиологических и поведенческих характеристик.

К числу физиологических характеристик относятся особенности отпечатков пальцев, геометрии руки, запаха, ДНК, формы уха, геометрии лица, опечатка ладони, сетчатки глаза, рисунка радужной оболочки глаза, голоса, температуры кожи лица. К поведенческим характеристикам относятся динамика подписи (ручной), стиль работы с клавиатурой. На стыке физиологии и поведения находятся анализ особенностей голоса и распознавание речи.

В общем виде работа с биометрическими данными организована следующим образом. Сначала создается и поддерживается база данных характеристик потенциальных пользователей. Для этого биометрические характеристики пользователя снимаются, обрабатываются, и результат обработки (называемый биометрическим шаблоном) заносится в базу данных (исходные данные, такие как результат сканирования пальца или роговицы, обычно не хранятся).

В дальнейшем для идентификации (и одновременно аутентификации) пользователя процесс снятия и обработки повторяется, после чего производится поиск в базе данных шаблонов. В случае успешного поиска личность пользователя и ее подлинность считаются установленными. Для аутентификации достаточно произвести сравнение с одним биометрическим шаблоном, выбранным на основе предварительно введенных данных.

Биометрический способ подвержен тем же угрозам, что и другие методы аутентификации. Во-первых, биометрический шаблон сравнивается не с результатом первоначальной обработки характеристик пользователя, а с тем, что «пришло» к месту сравнения. Во-вторых, биометрические методы не более надежны, чем база данных шаблонов. В-третьих, следует учитывать разницу между применением биометрии на контролируемой территории и в «полевых» условиях, когда, например к устройству сканирования могут поднести муляж и т.п. В-четвертых, биометрические данные человека меняются, так что база шаблонов нуждается в сопровождении, что создает определенные проблемы и для пользователей, и для администраторов систем безопасности.

· Аутентификация источника данных – подтверждает, что источником блока данных является именно тот, кто ожидался.

· Конфиденциальность соединения – обеспечивает конфиденциальность всех данных пользователя этого соединения.

· Конфиденциальность в режиме без установления соединения – обеспечивает конфиденциальность всех данных пользователя в отдельном сервисном блоке данных.

· Конфиденциальность выделенного поля – обеспечивает конфиденциальность определенного поля в блоке данных соединения или сервисном блоке данных в случае режима без установления соединения.

· Конфиденциальность трафика – предотвращает получение информации путем наблюдения трафика.

· Целостность соединения с восстановлением – обеспечивает целостность всех данных пользователя этого соединения и позволяет обнаружить модификацию, подстановку или изъятие любых данных или целого сервисного блока данных с возможным последующим восстановлением.

· Целостность соединения без восстановления – обеспечивает те же возможности, что и предыдущая услуга, но без попытки восстановления.

· Целостность выделенного поля в режиме с установлением соединения – обеспечивает целостность выделенного поля данных пользователя во всем потоке сервисных блоков данных, передаваемых через это соединение, и обнаружит модификацию, подстановку или изъятие этого поля.

· Целостность блока данных в режиме без установления соединения –обеспечивает целостность отдельного сервисного блока данных и позволяет обнаружить его модификацию.

· Целостность выделенного поля в режиме без установления соединения – позволяет обнаружить модификацию выделенного поля в отдельном сервисном блоке данных.

· Доказательство источника – заключается в предоставлении получателю данных доказательства (в виде данных) с предотвращением любой попытки отправителя отрицать впоследствии факт передачи.

· Доказательство доставки – заключается в предоставлении отправителю данных доказательства (в виде данных) с предотвращением любой попытки получателя отрицать впоследствии факт получения данных.

Для реализации услуг безопасности используются механизмы безопасности, среди которых выделяют следующие:

- Механизмы шифрованияобеспечивают конфиденциальность передаваемых данных и/или информации о потоках данных, применяются для реализации служб засекречивания.

Для шифрования может использовать секретный или открытый ключ. В случае использования секретного ключа предполагается наличие механизмов управления и распределения ключей. Можно использовать два способа шифрования: канальное, при котором защищается вся передаваемая по каналу связи информация, включая служебную и оконечное (абонентское) при котором обеспечивается конфиденциальность данных, передаваемых между двумя прикладными объектами. При выборе перечисленных способов шифрования необходимо учитывать результаты анализа риска. Следует отметить, что канальное шифрование быстрее, оно прозрачно для пользователя и требует меньше ключей, а оконечное шифрование – может использоваться выборочно, но требует участия пользователя.

- Механизмы цифровой подписи –включают процедуры закрытия блоков данных и проверки закрытого блока данных, базируется на использовании способа шифрования с открытым ключом. Знание соответствующего открытого ключа позволяет получателю электронного сообщения однозначно определить подлинность отправителя.

- Механизмы контроля доступа – осуществляют проверку полномочий объектов сети на доступ к ресурсам в соответствии с правилами разработанной политики безопасности и реализующих ее механизмов.

- Механизмы обеспечения целостности передаваемых данных – обеспечивают как целостность отдельного блока или поля данных, так и потока данных. Для обеспечения целостности блока данных передающий объект добавляет к блоку данных признак, значение которого является функцией от самих данных, а принимающий объект тоже вычисляет эту функцию и сравнивает ее с полученной. Если функции не совпадают, то целостность блока (поля данных) нарушена.

- Механизмы аутентификации объектов сети – применяются,как правило, для аутентификации одноуровневых сетевых объектов, механизмы аутентификации включают пароли, проверку характеристик объекта или криптографические методы.

- Механизмы заполнения текста – используются для обеспечения защиты от анализа трафика, основываются на генерации объектами сети фиктивных блоков, их шифровании и организации их передачи по каналам сети.

- Механизмы управления маршрутом – обеспечивают выбор маршрутов движения информации по сети.Маршруты могут выбираться динамически или быть заранее заданы с тем, чтобы использовать физически безопасные подсети, ретрансляторы, каналы. Кроме того, может использоваться выборочная маршрутизация.

- Механизмы освидетельствования – служат дляподтверждения характеристик данных (целостность, источник, время, получатель), передаваемых по сети, причем подтверждение обеспечивается третьей стороной (арбитром), которой доверяют все заинтересованные стороны и которая обладает необходимой информацией.

- Механизмы обнаружения и обработки событий – предназначены для обнаружения событий, которые приводят или могут привести к нарушению политики безопасности сети. При обнаружении таких событий выполняются различные процедуры восстановления, регистрация событий, одностороннее разъединение, отчет о событии и т. д.

- Отчет о проверке безопасности – представляет собой независимую проверку системных записей и деятельности в соответствии с разработанной политикой безопасности.