Методы идентификации и аутентификации пользователя в информационных системах.
Идентификация пользователя – распознавание пользователя компьютерной системы на основании ранее заданного описания. Идентификация имеет целью определение полномочий пользователя (права доступа к данным и выбора режима их использования).
Аутентификация пользователя –процедура проверки прав пользователя на доступ к информации или на выполнение определенных действий.
Идентификация позволяет пользователю назвать себя (сообщить свое имя). Посредством аутентификации вторая сторона убеждается, что субъект действительно тот, за кого он себя выдает ("проверка подлинности").
Аутентификация бывает односторонней и двусторонней (взаимной). Пример односторонней аутентификации – процедура входа пользователя в систему.
3 группы способов аутентификации:
1) основанные на том, что пользователь знает некоторую подтверждающую его подлинность информацию. Это парольная аутентификация и аутентификация на основе модели «рукопожатия».
2) основанные на том, что пользователь имеет некоторый материальный объект, который может подтвердить его подлинность (пластиковая карта с идентифицирующей пользователя информацией и т п) – программно-аппаратные методы
3) основанные на таких данных, которые позволяют однозначно считать, что пользователь и есть тот самый субъект, за которого себя выдает (биометрические данные, особенности клавиатурного почерка и росписи мыши и т п)
Парольная аутентификация
Общая информация
При выборе пароля необходимо руководствоваться двумя взаимоисключающими правилами: пароль должен трудно подбираться и легко запоминаться. Сложность подбора пароля определяется мощностью множества символов (N) и минимально возможной длиной пароля (k). Число всех возможных вариантов паролей С=N^k.
Другие параметры политики учетных записей пользователей:
1) max срок действия пароля;
2) несовпадение пароля с логическим именем пользователя;
3) неповторяемость паролей одного пользователя.
Еще один аспект политики учетных записей пользователей – определение противодействия системы попыткам подбора паролей. Правила:
1) ограничение числа попыток входа в систему;
2) скрытие логического имени последнего работавшего пользователя;
3) учет всех попыток входа в систему.
Реакция системы на неудачную попытку входа:
1) блокировка учетной записи за превышение max возможных попыток
2) нарастающее увеличение временной задержки перед предоставлением пользователю следующей попытки входа (постоянная блокировка учетной записи нецелесообразна, так как позволит нарушителю заблокировать работу легального пользователя)
Для первоначального ввода или для смены паролей используются два правила:
1) символы не отображаются на экране;
2) ввод пароля повторяется дважды.
Хранение пароля в базе данных осуществляется, как правило, в зашифрованном виде. Минусы:
· поскольку при шифровании необходимо использовать ключ, необходимо обеспечить его защищенное хранение
· опасность расшифрования любого пароля и получения его в открытом виде.
Виды парольной аутентификации:
1) с использованием многоразовых паролей;
2) с использованием одноразовых паролей. Пользователь получает список паролей Р1, Р2, … РN. Каждый из паролей действует только на один сеанс входа. В этом случае знание уже использовавшегося пароля ничего не даст злоумышленнику.
Недостатки: организация защищенного хранения длинного списка паролей, неясность с номером следующего пароля, если при вводе предыдущего вход в систему был не осуществлен из-за сбоя в работе системы. Эти недостатки могут быть устранены, если список паролей генерировать на основе необратимой функции, например, хеширования. Пусть Р – начальный пароль пользователя, а F – необратимая функция. Функция F применяется последовательно i раз для получения Pi : F^i(P) = F(F(…F(P)…)). Тогда список одноразовых паролей создается следующим образом: P1 = F^n (P), P2 = F^(n-1)(P), … , Pn = F(P). При сбое в процессе входа пользователя в систему всегда осуществляется выбор последующего пароля из спсика, а система последовательно применяется функцию F к введенному паролю до совпадения с последним принятым от него паролем или до превышения длины списка.
В любом варианте парольной аутентификации подтверждение подлинности осуществляется на основе ввода некоторой конфиденциальной информации, которую можно выманить, подобрать и т п. Аутентификация на основе модели «рукопожатия» во многом свободна от этих недостатков.
Аутентификация на основе модели «рукопожатия»
Пользователь П и система С согласовывают при регистрации пользователей функцию f, известную только им. Протокол аутентификации пользователя в этом случае выглядит следующим образом:
1) С: генерация случайного значения х, вычисление у = f(х), вывод х.
2) П: вычисление у’ = f ‘ (x), ввод y’.
3) C: если y и y’ совпадают, то пользователь допускается к работе в системе, иначе попытка входа в систему отклоняется.
К функции f предъявляется требование, чтобы по известным x и f(x) нельзя было угадать f.
Преимущества: между пользователем и системой не передается никакой конфиденциальной информации, каждый последующий сеанс входа отличен от предыдущего. Может использоваться в случае необходимости взаимного подтверждения пользователей компьютерной сети.
Недостатки: большая длительность этой процедуры по сравнению с парольной.