Защита от несанкционированного доступа к компьютерной информации. (Лекция 4)

1. Лекция 4. Защита от несанкционированного доступа к компьютерной информации

1.
2.
3.
Способы несанкционированного доступа
к информации и защиты от него.
Аутентификации пользователей на
основе паролей.
Организация и хранение базы данных
учетных записей пользователей.

2. Основные способы несанкционированного доступа к информации в КС

непосредственное обращение к объекту с
конфиденциальной информацией (например, с
помощью управляемой пользователем программы,
читающей данные из файла или записывающей их
в него);
создание программных и технических средств,
выполняющих обращение к объекту в обход
средств защиты (например, с использованием
случайно или намеренно оставленных
разработчиком этих средств так называемых
«люков»);

3. Основные способы несанкционированного доступа к информации в КС

модификация средств защиты для
осуществления несанкционированного
доступа (например, внедрение
программных закладок);
внедрение в аппаратные средства КС
программных или аппаратных механизмов,
нарушающих структуру и функции этих
средств для осуществления
несанкционированного доступа (например,
путем загрузки на компьютере иной,
незащищенной операционной системы).

4. Вспомогательные способы НСД к информации в КС

«ручной» или программный подбор паролей путем
их полного перебора или при помощи
специального словаря («взлом» КС);
подключение к КС в момент кратковременного
прекращения работы легального пользователя,
работающего в интерактивном режиме и не
заблокировавшего свой терминал;
подключение к линии связи и перехват доступа к
КС после отправки пакета завершения сеанса
легального пользователя, работающего в
удаленном режиме;

5. Вспомогательные способы НСД к информации в КС

выдача себя за легального пользователя с
применением похищенной у него или
полученной обманным путем (с помощью
так называемой «социальной инженерии»)
идентифицирующей информации
(«маскарад»);
создание условий для связи по
компьютерной сети легального
пользователя с терминалом нарушителя,
выдающего себя за легального объекта КС
(например, один из ее серверов),
«мистификация»;

6. Вспомогательные способы НСД к информации в КС

создание условий для возникновения в
работе КС сбоев, которые могут повлечь за
собой отключение средств защиты
информации или нарушение правил
политики безопасности;
тщательное изучение подсистемы защиты
КС и используемой в ней политики
безопасности, выявление уязвимостей в
программных средствах защиты
информации в КС, внедрение программных
закладок, разрешающих доступ
нарушителю.

7. Основные способы защиты от НСД к компьютерной информации

Аутентификация субъектов КС
(пользователей и процессов);
авторизация субъектов (наделение их
индивидуальным набором прав и
привилегий в КС, включая права доступа к
объектам с конфиденциальной
информацией);
аудит всех потенциально опасных действий
субъектов в КС (их учет и регистрация в
специальном журнале).

8. Способы аутентификации пользователей в КС

1.
К первой группе относятся способы
аутентификации, основанные на том, что
пользователь знает некоторую
подтверждающую его подлинность
информацию. К таким способам относятся
парольная аутентификация и
аутентификация на основе модели
«рукопожатия» (знания алгоритма
вычисления отклика на случайный
запрос).

9. Способы аутентификации пользователей в КС

2.
Вторую группы способов аутентификации
образуют способы, основанные на том,
что пользователь имеет некоторый
материальный объект, который может
подтвердить его подлинность (например,
пластиковую карту или элемент Touch
Memory с идентифицирующей
пользователя информацией, смарт-карту с
микропроцессором и оперативной
памятью, позволяющими участвовать в
выполнении сложного протокола
идентификации).

10. Элементы и считыватели TouchMemory

11. Карты Proximity, программатор и считыватели для них

12. Смарт-карты и считыватели для них

13. Токены

14. Генераторы одноразовых паролей

15. Способы аутентификации пользователей в КС

К третьей группе способов аутентификации
относятся способы, основанные на таких
данных, которые позволяют однозначно
считать, что пользователь и есть тот самый
субъект, за которого себя выдает
(физические (постоянные) и поведенческие
(динамические) биометрические данные).

16. Протокол идентификации пользователя при его входе в КС

Под протоколом в общем случае понимают
конечную последовательность однозначно
и точно определенных действий,
выполняемых двумя или более сторонами
для достижения желаемого результата за
конечное время.

17. Протокол идентификации пользователя при его входе в КС

1.
2.
3.
4.
5.
Система S: запрос имени, под которым
пользователь U зарегистрирован в базе данных
учетных записей КС SADB (идентификатора
пользователя или так называемого «логина»).
U: ввод идентификатора (ID).
S: проверка наличия ID в SADB. Если
пользователь с таким именем зарегистрирован,
то запрос его аутентифицирующей информации.
Иначе возврат к п. 1.
U: ввод аутентифицирующей информации (P).
S: проверка совпадения P с аутентифицирующей
информацией для пользователя ID в SADB. Если
совпадение есть, то авторизация пользователя в
КС. Иначе возврат к п. 3.

18. Аутентификация пользователей на основе паролей

При выборе паролей пользователи КС
должны руководствоваться двумя, по сути
взаимоисключающими правилами – пароли
должны трудно подбираться и легко
запоминаться (поскольку пароль ни при
каких условиях не должен нигде
записываться, так как в этом случае
необходимо будет дополнительно решать
задачу защиты носителя пароля).

19. Оценка сложности подбора паролей

Сложность подбора пароля определяется, в первую
очередь, мощностью множества символов,
используемого при выборе пароля (N), и
минимально возможной длиной пароля (k). В этом
случае количество различных паролей может быть
оценено снизу как Cp=Nk. Например, если
множество символов пароля образуют строчные
латинские буквы, а минимальная длина пароля
равна 3, то Cp=263= 17 576 (что совсем немного
для программного подбора). Если же множество
символов пароля состоит из строчных и прописных
латинских букв, а также цифр, и минимальная
длина пароля равна 6, то Cp=626= 56 800 235 584.

20. Другие требования к паролям

максимальный срок действия пароля
(любой секрет не может сохраняться в
тайне вечно);
несовпадение пароля с идентификатором
пользователя, под которым он
зарегистрирован в КС;
неповторяемость паролей одного
пользователя.

21. Неповторяемость паролей

Требование неповторяемости паролей
может быть реализовано сочетанием двух
мер. Во-первых, можно установить
минимальный срок действия пароля (в
противном случае пользователь,
вынужденный после истечения срока
действия своего пароля поменять его,
сможет тут же сменить пароль на старый).
Во-вторых, можно вести список уже
использовавшихся данным пользователем
паролей (максимальная длина списка при
этом может устанавливаться
администратором).

22. Назначение и смена пароля

Наиболее целесообразным является выбор
пароля пользователем на основе
установленных администратором правил с
возможностью администратора задать
новый пароль пользователя в случае, если
тот забыл свой пароль (поскольку
администратору неизвестен старый пароль
пользователя, он не может злоупотребить
этой возможностью).

23. Противодействие попыткам подбора паролей

ограничение числа попыток входа в систему
(ведение специального счетчика с его
автоматическим обнулением через
заданный промежуток времени);
скрытие имени последнего работавшего
пользователя (знание имени может помочь
нарушителю подобрать или угадать его
пароль);
учет всех попыток (успешных и неудачных)
входа в систему в журнале аудита.

24. Реакция на попытки подбора паролей

блокировка учетной записи, под которой
осуществляется попытка входа, при
превышении максимально возможного
количества попыток (на заданное время
или до «ручного» снятия блокировки
администратором);
нарастающее увеличение временной
задержки перед предоставлением
пользователю следующей попытки входа.

25. Реакция на попытки подбора паролей

Постоянная блокировка учетной записи при
обнаружении попытки подбора пароля (до
снятия блокировки администратором) менее
целесообразно, поскольку позволит
нарушителю намеренно заблокировать
работу в КС легального пользователя
(реализовать угрозу нарушения
доступности информации).

26. Правила ввода пароля

1.
2.
Символы вводимого пароля не
отображаются на экране.
Для подтверждения правильности ввода
пароля при его назначении или смене (с
учетом первого правила) этот ввод
повторяется дважды.

27. Хранение паролей в регистрационной базе данных

Очевидно, что в базе данных учетных записей
пользователей КС пароли не могут храниться в
открытом виде (иначе к ним может получить доступ
как минимум администратор системы).
Наиболее безопасным является хранение паролей
в хешированном виде. Хеширование является
необратимым преобразованием и знание хешзначения пароля не даст нарушителю возможности
его получения в открытом виде (он сможет только
пытаться подобрать пароль при известной функции
хеширования).

28. Недостатки парольной аутентификации

Сложно обеспечить реальную уникальность
и сложность каждого вновь выбираемого
пользователем пароля (например, можно
выбирать пароли «А1», «А2» и т.д., где А –
первый пароль пользователя,
удовлетворяющий требованиям сложности).
Возможность перехвата пароля в открытом
виде или его подбора по хеш-значению.
Возможность получения или смены пароля в
результате обмана.

29. Необходимость ведения регистрационной базы данных

Присвоение каждому пользователю КС
уникального имени, под которым он
регистрируется в базе данных учетных
записей, не только позволяет предоставить
разным пользователям КС различный
уровень прав в ней, но и дает возможность
полного учета всех действий пользователя
в системе в журнале аудита.

30. Типичная структура учетной записи i в регистрационной базе данных

имя (идентификатор) пользователя IDi;
полное имя пользователя и его должность в
организации Di;
случайное значение, генерируемое при
регистрации пользователя в КС, Si, или
относительный номер учетной записи RIDi;
аутентифицирующая пользователя
информация Pi (например, хеш-значение
его пароля);
информация о правах пользователя в КС Gi.

31. Причины использования Si (RIDi)

Применяются при вычислении хеш-значения
пароля пользователя для:
усложнения подбора пароля по его хешзначению (исключения возможности
использования нарушителем заранее
составленного словаря хеш-значений
популярных или вероятных паролей)
предотвращения возможности одному
пользователю получить полномочия
другого при случайном совпадении их
паролей, т.к. хеш-значения одинаковых
паролей будут разными.

32. Учетные записи групп

Для удобства назначения полномочий
пользователям КС они могут объединяться в
группы в соответствии с должностным
положением пользователей в организации и
(или) их принадлежностью одному из ее
структурных подразделений.
Информация о группах пользователей
также может размещаться в
регистрационной базе данных КС.

33. Предопределенные учетные записи

Создаются автоматически при установке
системы (их имена фиксированы, но в
некоторых системах могу быть изменены).
Примерами являются учетные записи
администратора (суперпользователя),
группы администраторов, гостя (анонимного
пользователя), а также учетные записи
псевдопользователей.

34. Псевдопользователи

Учетные записи могут создаваться и для
компонентов самой системы (ее ядра или
отдельных служб)
Такие учетные записи, которым не
соответствуют пользователи-физические
лица или их группы, принято называть
псевдопользователями.

35. Доступ к регистрационной базе данных

Доступ к базе данных учетных записей КС
как по чтению, так и по записи должен
быть разрешен только привилегированному
пользователю (администратору).

36. Доступ к регистрационной базе данных

Если разрешен доступ по записи (без права
добавления данных), то тогда возможна такая
ситуация. Пользователь i после входа в КС
изменяет аутентифицирующую информацию в
учетной записи пользователя j на
аутентифицирующую информацию из своей
учетной записи, сохраняя при этом «старую»
информацию из учетной записи j, после чего
завершает сеанс работы с КС и возобновляет его
уже как пользователь j. Применив полномочия
другого пользователя, нарушитель
восстанавливает аутентифицирующую информацию
в учетной записи j, после чего завершает сеанс
работы с КС.

37. Доступ к регистрационной базе данных

Если к регистрационной базе данных КС
разрешен доступ по чтению, то
пользователь-нарушитель сможет
скопировать ее на собственный носитель
или просто в другой файл и осуществить
попытку подбора аутентифицирующей
информации (например, пароля)
привилегированного пользователя для
осуществления несанкционированного
доступа с помощью «маскарада».