Базовые технологии безопасности OC: аутентификация, авторизация, аудит

Введение

Актуальность работы. Новое активно внедряется во все сферы народного хозяйства. Появление локальных и глобальных сетей передачи данных предоставило пользователям компьютеров новые возможности для быстрого обмена информацией. Развитие интернета привело к использованию глобальных сетей передачи данных в повседневной жизни практически каждого человека. С развитием и усложнением средств, методов и форм автоматизации процессов обработки информации возрастает зависимость общества от степени защищенности используемых им информационных технологий.
Современные методы обработки, передачи и накопления информации способствовали возникновению угроз, связанных с возможностью потери, искажения и раскрытия данных, адресованных конечным пользователям или принадлежащих им. Поэтому обеспечение информационной безопасности компьютерных систем и сетей является одним из ведущих направлений развития информационных технологий.
Использование открытых каналов передачи данных создает потенциальные возможности для действий злоумышленников (нарушителей). Поэтому одной из важных задач обеспечения информационной безопасности при взаимодействии с пользователем является использование методов и средств, позволяющих одной (верифицирующей) стороне проверить достоверность другой (проверяемой) стороны. Обычно для решения этой проблемы используются специальные методики, позволяющие проверить подлинность проверяемой стороны.
Объект исследования: аутентификация, авторизация, аудит
Предмет исследования: технологии безопасности OC
Цель работы: рассмотреть базовые технологии безопасности OC: аутентификация, авторизация, аудит
Для осуществления поставленной цели необходимо решить задачи:
- рассмотреть аутентификацию, авторизацию и администрирование действий пользователей;
- описать аудит безопасности информационной системы.
1. Аутентификация, авторизация и администрирование действий пользователей
Каждый субъект, зарегистрированный в компьютерной системе (пользователь или процесс, действующий от имени пользователя), связан с некоторой информацией, которая однозначно идентифицирует его. Это может быть число или строка символов, которые называют этот предмет. Эта информация называется идентификатором субъекта. Если пользователь имеет ID, зарегистрированный в сети, то он считается легальным (легальным) пользователем; другие пользователи считаются нелегальными пользователями. Прежде чем получить доступ к ресурсам компьютерной системы, пользователь должен пройти начальный процесс взаимодействия с компьютерной системой, который включает идентификацию и аутентификацию.
Идентификация — процедура распознавания пользователя по его идентификатору (имени). Эта функция выполняется, когда пользователь пытается войти в сеть. Пользователь сообщает системе свой идентификатор по ее запросу, и система проверяет его наличие в своей базе данных.
Аутентификация - процедура проверки подлинности заявленного пользователя, процесса или устройства. Эта проверка позволяет убедиться, что пользователь (процесс или устройство) именно тот, за кого он себя выдает. Во время аутентификации проверяющая сторона убеждается в достоверности проверяемой стороны, и проверяемая сторона также активно участвует в процессе обмена информацией. Обычно пользователь подтверждает свою личность, вводя уникальную информацию о себе, которая не известна другим пользователям (например, пароль или сертификат). Идентификация и аутентификация-это взаимосвязанные процессы распознавания и проверки подлинности субъектов (пользователей). От них зависит дальнейшее решение системы: можно ли разрешить доступ к системным ресурсам конкретному пользователю или процессу. После того, как субъект идентифицирован и аутентифицирован, он авторизован.
Авторизация - процедура предоставления субъекту определенных разрешений и ресурсов в данной системе. Другими словами, авторизация определяет ее объем и доступные ей ресурсы. Если система не может надежно отличить уполномоченное лицо от неавторизованного, то конфиденциальность и целостность информации в этой системе могут быть нарушены. Организации должны четко определить свои требования к безопасности, чтобы принимать решения о соответствующих границах авторизации. Процедуры аутентификации и авторизации тесно связаны с администрированием действий пользователя.
Администрирование (учет) - регистрация действий пользователей в сети, в том числе их попыток доступа к ресурсам. Хотя эта информация об учетной записи может использоваться для выставления счетов, с точки зрения безопасности она особенно важна для выявления, анализа и реагирования на инциденты сетевой безопасности. Записи системного журнала, аудиты и бухгалтерское программное обеспечение могут использоваться для обеспечения того, чтобы пользователи были привлечены к ответственности, если что-то произойдет, когда они войдут в сеть со своим идентификатором.
Требуемый уровень аутентификации определяется требованиями безопасности, установленными в организации. Общедоступные веб-серверы могут предоставлять анонимный или гостевой доступ к информации. Финансовые операции могут потребовать строгой аутентификации. Примером слабой формы аутентификации является использование IP-адреса для идентификации пользователя.
Подмена ip-адреса может легко разрушить механизм аутентификации. Строгая аутентификация является ключевым фактором, гарантирующим, что только авторизованные пользователи будут иметь доступ к контролируемой информации. При защите каналов передачи данных необходимо осуществлять взаимную аутентификацию субъектов, то есть взаимное подтверждение подлинности субъектов, которые общаются друг с другом по линиям связи. Процедура проверки обычно выполняется в начале сеанса подключения абонента.
Термин "соединение" относится к логическому соединению (потенциально двустороннему) между двумя сетевыми объектами. Цель этой процедуры состоит в том, чтобы гарантировать, что связь установлена с законным субъектом и вся информация достигнет своего адресата. Чтобы подтвердить его подлинность, субъект может представить системе различные сущности.
В зависимости от сущностей, представленных субъектом, процессы аутентификации можно разделить на следующие группы:
• знание чего-либо примеры включают пароль, личный идентификационный номер (PIN), а также секретные и открытые ключи, знание которых демонстрируется в протоколах запроса-ответа;
• владение чем-то. Конечно, это магнитные карты, смарт-карты, сертификаты и расположение сенсорной памяти некоторых существенных характеристик.
К этой категории относятся методы, основанные на проверке биометрических характеристик пользователя (голос, радужная оболочка и сетчатка, отпечатки пальцев, геометрия ладони и т. д.). криптографические методы и инструменты в этой категории не используются. Аутентификация на основе биометрических характеристик используется для контроля доступа в помещение или к любому оборудованию. Пароль-это то, что известно пользователю и другому участнику взаимодействия. Для взаимной аутентификации участников взаимодействия может быть организован обмен паролями между ними. Персональный идентификационный номер (PIN-код) - это проверенный метод аутентификации владельца пластиковой карты и смарт-карты. Секретное значение PIN-кода должно быть известно только владельцу карты. Динамический (одноразовый) пароль — это пароль, который никогда не используется снова после того, как был применен один раз. На практике обычно используется регулярно меняющееся значение, основанное на постоянном пароле или ключевом слове.
Система запрос-ответ. Одна сторона инициирует аутентификацию, посылая другой стороне уникальное и непредсказуемое значение "запроса", а другая сторона отправляет ответ, рассчитанный с использованием "запроса" и секрета

. Поскольку обе стороны имеют один и тот же секрет, первая сторона может проверить правильность ответа второй стороны. Сертификаты и цифровые подписи. Если сертификаты используются для аутентификации, то цифровые подписи на этих сертификатах обязательны. Сертификаты выдаются ответственным лицом в организации пользователя, сервером сертификатов или внешней доверенной организацией. В Интернете появились коммерческие инфраструктуры управления открытыми ключами PKI (Public Key Infrastructure) для распространения сертификатов открытых ключей. Пользователи могут получить сертификаты разных уровней. Процессы аутентификации также можно классифицировать по уровню обеспечиваемой безопасности.
В соответствии с этим процессы аутентификации делятся на следующие типы:
аутентификация с использованием паролей и Pin-кодов;
строгая аутентификация с использованием криптографических методов и инструментов;
биометрическая аутентификация пользователей.
С точки зрения безопасности каждый из этих типов вносит свой вклад в решение своих специфических задач, а процессы аутентификации и протоколы активно используются на практике. Основные атаки на протоколы аутентификации:
маскарад (олицетворение). Пользователь выдает себя за кого-то другого, чтобы получить власть и иметь возможность действовать от имени другого пользователя;
замена стороны обмена аутентификацией (атака чередования). Злоумышленник в этой атаке участвует в процессе обмена аутентификацией между двумя сторонами с целью модификации проходящего через него трафика;
повторная передача (replay attack) состоит из повторной передачи аутентификационных данных любым пользователем;
вынужденная задержка.
Злоумышленник перехватывает некоторую информацию и передает ее через некоторое время;
атака с образцом текста (chosentext attack). Злоумышленник перехватывает трафик аутентификации и пытается получить информацию о долгосрочных криптографических ключах.
Чтобы предотвратить такие атаки, протоколы аутентификации строятся с использованием:
• использование таких механизмов, как "запрос-ответ", "временная метка", случайные числа, идентификаторы, цифровые подписи;
• привязка результата аутентификации к последующим действиям пользователя в системе. Примером такого подхода является обмен секретными сессионными ключами в процессе аутентификации, которые используются для дальнейшего взаимодействия с пользователем;
• периодически выполнять процедуры аутентификации в рамках уже установленного сеанса связи и т. д.
Механизм запроса-ответа выглядит следующим образом. Если пользователь а хочет быть уверенным, что сообщения, которые он получает от пользователя в, не являются ложными, он включает непредсказуемый элемент в сообщение, отправленное B — запрос X (например, некоторое случайное число). При ответе пользователь B должен выполнить некоторую операцию над этим элементом (например, вычислить некоторую функцию f (X)). Это не может быть сделано заранее, так как пользователь B не знает, какое случайное число X придет в запросе. Получив ответ с результатом действия B, пользователь A может быть уверен, что B является подлинным. Недостатком этого метода является возможность установить закономерность между запросом и ответом. Механизм "отметка времени" включает в себя регистрацию времени для каждого сообщения. В этом случае каждый пользователь сети определяет, насколько пришло сообщение, которое является "устаревшим", и решает не принимать его, так как оно может быть ложным.
В обоих случаях шифрование должно использоваться для защиты механизма управления, чтобы убедиться, что ответ не был отправлен злоумышленником. При использовании временных меток возникает проблема с допустимым временным интервалом для аутентификации сеанса: сообщение с "временной меткой" в принципе не может быть передано мгновенно. Кроме того, компьютерные часы получателя и отправителя не могут быть полностью синхронизированы. При сравнении и выборе протоколов аутентификации учитывайте следующие характеристики:
наличие взаимной аутентификации. Это свойство отражает необходимость взаимной аутентификации между участниками обмена аутентификацией;
вычислительная эффективность. Это количество операций, необходимых для выполнения протокола;
эффективность связи. Это свойство отражает количество сообщений и их длину, необходимую для аутентификации;
присутствие третьей стороны. Примером третьей стороны может служить доверенный сервер распространения симметричных ключей или сервер, реализующий дерево сертификатов для распространения открытых ключей;
гарантии безопасности. Примером может служить использование шифрования и цифровой подписи.
Аутентификация на основе многоразовых паролей
Основной принцип "единого входа" предполагает, что один пользователь проходит процедуру аутентификации для доступа ко всем сетевым ресурсам. Поэтому современные операционные системы предоставляют централизованную службу аутентификации, которая выполняется одним из сетевых серверов и использует базу данных для своей работы. Эта база данных хранит учетные данные о пользователях сети, включая идентификаторы пользователей и пароли, а также другую информацию. Процедура простой аутентификации пользователя в сети может быть представлена следующим образом. Пользователь вводит свой идентификатор и пароль при попытке войти в сеть. Эти данные отправляются на сервер аутентификации для обработки. База данных, хранящаяся на сервере аутентификации по идентификатору пользователя, содержит соответствующую запись. Пароль извлекается из него и сравнивается с паролем, который ввел пользователь. Если они совпадают, то аутентификация прошла успешно — пользователь получает легальный статус и получает права и сетевые ресурсы, определенные для его статуса системой авторизации. В простой схеме аутентификации (Рис. 1) пароль и идентификатор пользователя могут передаваться следующими способами [9]: в незашифрованном виде; например, в соответствии с протоколом аутентификации пароля PAP (Password Authentication Protocol) пароли передаются по линии связи в открытом, незащищенном виде; в защищенном виде; все передаваемые данные (идентификатор пользователя и пароль, случайное число и временные метки) защищены с помощью шифрования или однонаправленной функции.
Рис. 1. Простая аутентификация с использованием пароля
Очевидно, что вариант аутентификации с передачей пароля пользователя в незашифрованном виде не гарантирует даже минимального уровня безопасности, поскольку подвержен многочисленным атакам и легко компрометируется. Чтобы защитить пароль, его надо зашифровать перед пересылкой по незащищенному каналу. Для этого в схему включены средства шифрования и расшифровки DK, управляемые секретным ключом К., что разделяется, проверка подлинности пользователя основана на сравнении присланного пользователем пароля РА и начального значения Р'л, что хранится на сервере аутентификации. Если значения РА и Р'а совпадают, то пароль Р считается настоящим, а пользователь а — законным.
Простые схемы аутентификации отличаются не только тем, как передаются пароли, но и тем, как они хранятся и проверяются. Наиболее распространенным методом является хранение паролей пользователей в виде обычного текста в системных файлах, и эти файлы задаются атрибутами защиты от чтения и записи (например, путем описания соответствующих привилегий в списках контроля доступа ОС). Система сопоставляет пароль, введенный пользователем, с записью, хранящейся в файле паролей. Этот метод не использует криптографические механизмы, такие как шифрование или однонаправленные функции