دسترسی غیرمجاز به اطلاعات، آشنایی، پردازش، کپی، استفاده از ویروس‌های مختلف، از جمله ویروس‌هایی که محصولات نرم‌افزاری را از بین می‌برند، و همچنین اصلاح یا از بین بردن اطلاعات بر خلاف قوانین کنترل دسترسی تعیین‌شده، برنامه‌ریزی نشده است.

بنابراین، به نوبه خود محافظت از اطلاعات در برابر دسترسی غیرمجاز برای جلوگیری از دسترسی مهاجم به حامل اطلاعات طراحی شده است. سه حوزه اصلی برای محافظت از اطلاعات رایانه و شبکه در برابر دسترسی غیرمجاز وجود دارد:

- بر جلوگیری از دسترسی مزاحم به محیط محاسباتی تمرکز دارد و بر اساس خاص است وسایل فنی ah شناسه کاربر؛

- با حفاظت از محیط محاسباتی همراه است و بر اساس ایجاد یک ویژه است نرم افزار;

- مرتبط با استفاده وسایل خاصمحافظت از اطلاعات رایانه در برابر دسترسی غیرمجاز

باید در نظر داشت که برای حل هر یک از مشکلات از فناوری های مختلف و ابزارهای مختلف استفاده می شود. الزامات تجهیزات حفاظتی، ویژگی های آنها، عملکردهایی که انجام می دهند و طبقه بندی آنها، و همچنین شرایط و تعاریف حفاظت در برابر دسترسی غیرمجاز در اسناد حاکم کمیسیون فنی دولتی آمده است:

– «سیستم های خودکار. محافظت در برابر دسترسی غیرمجاز به اطلاعات. طبقه بندی AS و الزامات حفاظت از اطلاعات»؛

- "منابع مالی علوم کامپیوتر. محافظت در برابر دسترسی غیرمجاز به اطلاعات. شاخص های امنیت از دسترسی غیرمجاز به اطلاعات»؛

- «محافظت در برابر دسترسی غیرمجاز به اطلاعات. اصطلاحات و تعاریف". ابزارهای فنی برای اجرای عملکردهای حفاظتی را می توان به موارد زیر تقسیم کرد:

o داخلی؛

o خارجی

ابزار داخلی محافظت از رایانه شخصی و نرم افزار (شکل 3.12) شامل محافظت از رمز عبور برای BIOS، سیستم عامل و DBMS است. این ابزارها می توانند صراحتا ضعیف باشند - BIOS با رمز عبور سرپرست، حفاظت از رمز عبور Win95/98، اما می توانند بسیار قوی تر باشند - BIOS بدون رمز عبور سرپرست، محافظت از رمز عبور ویندوز NT، ORACLE DBMS. استفاده نقاط قوتاین ابزارها می توانند سیستم حفاظت از اطلاعات در برابر دسترسی غیرمجاز را به میزان قابل توجهی تقویت کنند.

ابزارهای خارجی برای جایگزینی ابزارهای داخلی به منظور افزایش حفاظت یا تکمیل آنها با عملکردهای از دست رفته طراحی شده اند.

این شامل:

- سخت افزار بوت قابل اعتماد؛

- مجتمع های سخت افزاری-نرم افزاری برای تقسیم حقوق دسترسی کاربران؛

- ابزاری برای احراز هویت قوی اتصالات شبکه.

سخت‌افزار راه‌انداز مورد اعتماد محصولی است که گاهی اوقات به آن «قفل الکترونیکی» می‌گویند، که وظایف آن شناسایی ایمن کاربر و همچنین تأیید صحت نرم‌افزار رایانه است. معمولاً این یک برد توسعه رایانه شخصی است که نرم افزار لازم را در حافظه فلش برد یا در هارد رایانه ذخیره می کند.

اصل عمل آنها ساده است. در طول فرآیند بوت، بایوس و بردهای محافظ ضد دستکاری شروع به کار می کنند. شناسه کاربری را می خواهد و آن را با شناسه ذخیره شده در فلش مموری کارت مقایسه می کند. شناسه علاوه بر این می تواند با یک رمز عبور محافظت شود. سپس سیستم عامل داخلی برد یا رایانه شروع می شود (اغلب این یک نوع MS-DOS است) ، پس از آن بررسی یکپارچگی نرم افزار شروع می شود. به عنوان یک قاعده، مناطق سیستم دیسک بوت، فایل های بوت و فایل های مشخص شده توسط کاربر برای تأیید بررسی می شوند. بررسی یا بر اساس درج تقلید الگوریتم GOST 28147-89 یا بر اساس تابع هش الگوریتم GOST R 34.11-34 یا الگوریتم دیگری انجام می شود. نتیجه آزمایش با آنچه که در حافظه فلش کارت ذخیره شده است مقایسه می شود. اگر در نتیجه مقایسه، هنگام بررسی شناسه یا یکپارچگی سیستم، تفاوتی با استاندارد آشکار شود، برد مسدود می شود. کار بیشترو پیام مربوطه را روی صفحه نمایش دهید. اگر بررسی ها مثبت باشد، برد کنترل را برای بارگذاری بیشتر سیستم عامل به رایانه شخصی منتقل می کند.

تمام بررسی های شناسایی و یکپارچگی ثبت شده است. مزایای دستگاه این کلاس- قابلیت اطمینان بالا، سادگی و قیمت پایین آنها. در صورت عدم کار چند کاربره روی رایانه، عملکردهای حفاظتی این ابزار معمولاً کافی است.

سیستم‌های سخت‌افزاری-نرم‌افزاری برای جداسازی حقوق دسترسی زمانی استفاده می‌شوند که چندین کاربر روی یک رایانه کار می‌کنند، اگر وظیفه جداسازی حقوق آنها برای دسترسی به داده‌های یکدیگر باشد. راه حل این مشکل بر این اساس است: 01 منع کاربران از راه اندازی برنامه ها و فرآیندهای خاص. Q به کاربران و برنامه‌هایی که اجرا می‌کنند فقط نوع خاصی از عملکرد داده‌ها اجازه می‌دهد.

اجرای ممنوعیت ها و مجوزها محقق می شود روش های مختلف. به عنوان یک قاعده، در روند راه اندازی سیستم عامل، برنامه محافظت در برابر دسترسی غیرمجاز نیز راه اندازی می شود. در حافظه کامپیوتر به عنوان یک ماژول ساکن وجود دارد و اقدامات کاربر را برای راه اندازی برنامه ها و دسترسی به داده ها کنترل می کند. تمام اقدامات کاربر در گزارشی ثبت می شود که فقط در اختیار مدیر امنیتی است. تحت ابزارهای این کلاس، آنها معمولاً ابزارهای محافظت در برابر دسترسی غیرمجاز را درک می کنند. آنها مجتمع‌های سخت‌افزاری-نرم‌افزاری متشکل از یک بخش سخت‌افزاری هستند - یک برد بوت رایانه قابل اعتماد، که اکنون علاوه بر این یکپارچگی نرم‌افزار خود سیستم ضد دستکاری را روی دیسک سخت و یک بخش نرم‌افزار - یک برنامه مدیر، یک مقیم بررسی می‌کند. مدول. این برنامه ها در یک دایرکتوری خاص قرار دارند و فقط در دسترس مدیر هستند. از این سیستم ها می توان در سیستم تک کاربره نیز استفاده کرد تا کاربر را از نصب و اجرای برنامه هایی که در کار خود به آنها نیاز ندارد محدود کند.

ابزارهای قوی تأیید اعتبار اتصال شبکه زمانی استفاده می شود که عملکرد ایستگاه های کاری در یک شبکه الزاماتی را برای محافظت از منابع ایستگاه کاری در برابر تهدید دسترسی غیرمجاز به ایستگاه کاری از شبکه و تغییرات در اطلاعات یا نرم افزار و همچنین راه اندازی یک فرآیند غیرمجاز اعمال می کند. . حفاظت در برابر دسترسی غیرمجاز از شبکه با استفاده از احراز هویت قوی به دست می آید اتصالات شبکه. این فناوری را فناوری شبکه خصوصی مجازی می نامند.

یکی از وظایف اصلی حفاظت در برابر دسترسی غیرمجاز، ارائه شناسایی قابل اعتماد کاربر (شکل 3.13) و توانایی احراز هویت هر کاربر شبکه است که می تواند به طور منحصر به فرد با این واقعیت شناسایی شود که:

- خود را نشان می دهد.

کاربر چه می داند؟ نام و رمز عبور شما طرح های احراز هویت رمز عبور بر اساس این دانش است. نقطه ضعف این طرح ها این است که او باید رمزهای عبور پیچیده را به خاطر بسپارد، که اغلب اتفاق نمی افتد: یا رمز عبور ضعیف انتخاب می شود، یا به سادگی در یک دفترچه یادداشت، روی یک تکه کاغذ و غیره نوشته می شود. تنها با استفاده از محافظت از رمز عبور، اقدامات مناسب برای اطمینان از مدیریت ایجاد رمز عبور، ذخیره سازی آنها، نظارت بر انقضای استفاده و حذف به موقع آنها انجام می شود. بستن رمزهای عبور رمزنگاری شده می تواند تا حد زیادی این مشکل را حل کند و دور زدن مکانیسم احراز هویت را برای مهاجم دشوارتر کند.

یک کاربر چه چیزی می تواند داشته باشد؟ البته یک کلید ویژه یک شناسه منحصر به فرد است، مانند تبلت حافظه لمسی (دکمه I)، رمز الکترونیکی، کارت هوشمند یا کلید رمزنگاری که ورود آن در پایگاه داده کاربران رمزگذاری شده است. چنین سیستمی پایدارترین است، با این حال، مستلزم آن است که کاربر همیشه یک شناسه همراه خود داشته باشد، که اغلب به جا کلیدی متصل می شود و یا اغلب در خانه فراموش می شود یا گم می شود. اگر مدیر صبح شناسه ها را صادر کند و در مورد آن در گزارشی بنویسد و بعدازظهر آنها را برای ذخیره سازی بازگرداند و دوباره یک ورودی ثبت کند، صحیح خواهد بود.

کاربر چیست؟ اینها ویژگی هایی هستند که فقط برای این کاربر ذاتی هستند و فقط برای او هستند و شناسایی بیومتریک را ارائه می دهند. یک شناسه می تواند اثر انگشت، الگوی عنبیه، اثر کف دست و غیره باشد. در حال حاضر، این امیدوارکننده ترین جهت در توسعه ابزارهای شناسایی است. آنها قابل اعتماد هستند و در عین حال کاربر را ملزم به داشتن دانش اضافی از چیزی یا داشتن دائمی چیزی ندارند. با پیشرفت تکنولوژی و هزینه این وجوه در اختیار هر سازمانی قرار می گیرد.

تایید تضمینی هویت کاربر وظیفه مکانیسم های مختلف شناسایی و احراز هویت است.

به هر کاربر (گروهی از کاربران) شبکه یک ویژگی متمایز خاص - یک شناسه اختصاص داده می شود و با لیست تایید شده مقایسه می شود. با این حال، تنها شناسه اعلام شده در شبکه نمی تواند بدون تأیید هویت کاربر، در برابر اتصال غیرمجاز محافظت کند.

فرآیند تایید هویت کاربر را احراز هویت می نامند. این با کمک یک ویژگی متمایز ویژه ارائه شده توسط کاربر - یک تأیید کننده، ذاتی در او رخ می دهد. اثربخشی احراز هویت، اول از همه، با ویژگی های متمایز هر کاربر تعیین می شود.

مکانیسم های خاصی برای شناسایی و احراز هویت در شبکه را می توان بر اساس ابزارها و رویه های امنیت اطلاعات زیر پیاده سازی کرد:

- رمزهای عبور؛

- وسایل فنی؛

- ابزار بیومتریک؛

- رمزنگاری با کلیدهای منحصر به فرد برای هر کاربر.

بسته به تهدیدات شناسایی شده، ویژگی های فنی شی محافظت شده، مسئله کاربرد یک یا ابزار دیگر تصمیم گیری می شود. نمی توان به صراحت گفت که استفاده از سخت افزار با استفاده از رمزنگاری به سیستم قابلیت اطمینان بیشتری نسبت به استفاده از نرم افزار می دهد.

تجزیه و تحلیل امنیت یک شی اطلاعاتی و شناسایی تهدیدات برای امنیت آن یک روش بسیار پیچیده است. یک روش به همان اندازه پیچیده، انتخاب فناوری ها و وسایل حفاظتی برای از بین بردن تهدیدهای شناسایی شده است. بهتر است حل این مشکلات را به متخصصانی با تجربه غنی بسپارید.

حفاظت در برابر دسترسی غیرمجاز (محافظت در برابر دسترسی غیرمجاز) جلوگیری یا مانع قابل توجه دسترسی غیرمجاز است.

ابزار محافظت از اطلاعات در برابر دسترسی غیرمجاز (ISZ از NSD) یک نرم افزار، سخت افزار یا نرم افزار و ابزار سخت افزاری است که برای جلوگیری یا جلوگیری از دسترسی غیرمجاز طراحی شده است.

قرار ملاقات و رده بندی کلی SZI.

IMS از NSD را می توان به راه حل های جهانی و تخصصی (با توجه به دامنه)، راه حل های خصوصی و پیچیده (با توجه به مجموعه وظایفی که باید حل شود)، ابزارهای سیستم داخلی و موارد اضافی (بر اساس روش اجرا) تقسیم کرد.

طبقه بندی بسیار مهم است، زیرا هنگام ساختن یک مرکز امنیت اطلاعات از هر نوع، توسعه دهندگان به طور مطلق فرموله می کنند و تصمیم می گیرند. وظایف مختلف(گاهی متناقض). بنابراین، مفهوم حفاظت از جهانی است ابزارهای سیستماصول گذاشته شده است اعتماد کاملبرای کاربر، حفاظت از آنها تا حد زیادی بی فایده است سیستم های شرکتیبه عنوان مثال، هنگام حل مشکلات مقابله با تهدیدات داخلی فناوری اطلاعات. در اکثریت قریب به اتفاق امروز، ابزارهای امنیت اطلاعات برای تقویت مکانیسم های حفاظتی ساخته شده در سیستم عامل های جهانی، در رابطه با استفاده در محیط شرکتی. اگر در مورد کلیت کارهایی که باید حل شوند صحبت می کنیم، در اینجا باید در مورد یکپارچگی مکانیسم ها، هم از نظر راه حل موثر وظیفه خاصحفاظت، و از نظر حل مجموعه ای از وظایف.

ویژگی های مصرف کننده (انتصاب) سیستم امنیت اطلاعات اضافی از NSD با میزانی که ابزار اضافی کاستی های معماری مکانیسم های حفاظتی تعبیه شده در سیستم عامل را در رابطه با حل وظایف مورد نیاز در برنامه های شرکتی و چقدر جامع از بین می برد تعیین می شود. (به طور مؤثر) این مجموعه از وظایف حفاظت از اطلاعات را حل می کند.

مسائل ارزیابی اثربخشی سیستم امنیت اطلاعات از NSD

اثربخشی سیستم امنیت اطلاعات در برابر UA را می توان با بررسی مسائل صحت اجرای مکانیسم های حفاظتی و کفایت مجموعه ای از مکانیسم های حفاظتی در رابطه با شرایط عملی استفاده ارزیابی کرد.

ارزیابی صحت اجرای مکانیزم های حفاظتی

در نگاه اول، انجام چنین ارزیابی آسان است، اما در عمل همیشه اینطور نیست. یک مثال: در فایل NTFSشی را می توان به روش های مختلفی شناسایی کرد: فایل کردن اشیاء داده شده توسط نام های طولانی، شما می توانید تماس بگیرید نام کوتاه(به عنوان مثال، فهرست "فایل های برنامه" را می توان با نام کوتاه "Progra~1" نام برد)، و برخی از برنامه ها به اشیاء فایل نه با نام، بلکه با شناسه اشاره می کنند. در صورتی که سیستم امنیت اطلاعات نصب شده در سیستم اطلاعاتی تنها یکی را رهگیری و تحلیل نکند روش مشابهدسترسی به یک شی فایل، سپس روی هم رفته، کاملاً بی فایده می شود (دیر یا زود، مهاجم این کار را خواهد کرد این کمبودتجهیزات حفاظتی و استفاده از آن). همچنین اشاره می‌کنیم که اشیاء فایلی که بین کاربران سیستم و برنامه‌ها به اشتراک گذاشته نمی‌شوند، می‌توانند به عنوان یک «کانال» برای کاهش رتبه یک سند عمل کنند، که حفاظت از اطلاعات محرمانه را نفی می‌کند. از این قبیل نمونه ها زیاد است.

الزامات صحت اجرای مکانیسم های حفاظتی در سند نظارتی "کمیسیون فنی دولتی روسیه" تعریف شده است. سند راهنما امکانات کامپیوتری. محافظت در برابر دسترسی غیرمجاز به اطلاعات. شاخص های امنیت از NSD تا اطلاعات "؛ در صدور گواهینامه امکانات امنیت اطلاعات از NSD استفاده می شود.

این الزامات تا حد لازم در سند وجود دارد، آنها صحیح هستند، اما به صورت کلی فرموله شده اند (چگونه می تواند غیر از این باشد، در غیر این صورت لازم است سند تنظیمی خود را برای هر خانواده سیستم عامل و احتمالاً برای هر سیستم عامل ایجاد کند. اجرای یک خانواده)، و برای تحقق یک الزام ممکن است نیاز به اجرای چندین مکانیسم حفاظتی باشد. پیامد این امر ابهام در تفسیر این الزامات (از لحاظ رویکردهای اجرای آنها) و امکان رویکردهای اساساً متفاوت برای اجرای مکانیسم های حفاظتی در سیستم امنیت اطلاعات از دسترسی غیرمجاز توسعه دهندگان است. نتیجه کارایی متفاوت سیستم امنیت اطلاعات از NSD برای سازندگانی است که الزامات رسمی یکسانی را اجرا می کنند. اما عدم رعایت هر یک از این الزامات ممکن است تمام تلاش‌ها برای اطمینان را باطل کند امنیت اطلاعات.

ارزیابی کفایت (کامل) مجموعه ای از مکانیسم های حفاظتی

الزامات کافی (کامل بودن، در رابطه با شرایط استفاده) مجموعه مکانیسم های حفاظتی توسط سند "کمیسیون فنی دولتی روسیه" تعریف شده است. سند راهنما سیستم های خودکار محافظت در برابر دسترسی غیرمجاز به اطلاعات. شاخص های امنیت از NSD تا اطلاعات "، که در صدور گواهینامه اشیاء اطلاعاتی، از جمله هنگام استفاده در AS IPS از NSD استفاده می شود. با این حال، در اینجا وضعیت تا حد زیادی شبیه به آنچه در بالا توضیح داده شد است.

بنابراین، توصیه می‌شود که فرمول الزامی برای کفایت مکانیسم‌ها در تسهیلات امنیت اطلاعات از NSD برای حفاظت از داده‌های محرمانه در اسناد نظارتی، که در آن ابهام در تعیین آنچه به منابع حفاظت شده نسبت داده می‌شود، گسترش یابد. به عنوان مثال به شرح زیر توصیه می شود: «ارتباط منابع باید کنترل شود، به ویژه دستگاه ها، مطابق با شرایط استفاده عملیحفاظت شده امکانات محاسباتیو کنترل دسترسی سوژه ها به منابع محافظت شده، به ویژه به دستگاه های مجاز برای اتصال».

توجه داشته باشید که مکانیسم های کنترل دسترسی به منابعی که همیشه در سیستم وجود دارند - اشیاء فایل، اشیاء رجیستری سیستم عامل و غیره. - به طور پیشینی محافظت می شوند و در هر صورت باید در مرکز امنیت اطلاعات از UA حضور داشته باشند و در مورد منابع خارجی، سپس با در نظر گرفتن هدف تسهیلات امنیت اطلاعات. اگر هدف سیستم امنیت اطلاعات محافظت از رایانه های موجود در شبکه باشد، باید مکانیسم هایی برای کنترل دسترسی به منابع شبکه داشته باشد. اگر برای محافظت از رایانه های مستقل عمل می کند، باید کنترل (ممنوعیت) اتصال منابع شبکه به رایانه را فراهم کند. این قانون، به نظر ما، بدون استثنا برای همه منابع مناسب است و می تواند به عنوان یک نیاز اساسی برای مجموعه ای از مکانیسم های حفاظتی هنگام تأیید اشیاء اطلاعاتی استفاده شود.

پرسش‌های مربوط به کفایت مکانیسم‌های حفاظتی نه تنها در رابطه با مجموعه منابع، بلکه در رابطه با وظایف حفاظت از اطلاعات در حال حل نیز باید در نظر گرفته شود. تنها دو وظیفه مشابه در تضمین امنیت رایانه وجود دارد - مقابله با تهدیدات داخلی و خارجی فناوری اطلاعات.

وظیفه کلی مقابله با تهدیدات داخلی فناوری اطلاعات اطمینان از تمایز دسترسی به منابع مطابق با الزامات پردازش داده های دسته های مختلف محرمانه است. ممکن است رویکردهای مختلفبه وظیفه تمایزها: بر اساس حساب ها، بر اساس فرآیندها، بر اساس دسته سند خوانده شده. هر یک از آنها الزامات خود را برای کفایت تعیین می کند. بنابراین، در مورد اول، باید کلیپ بورد را بین کاربران جدا کنید. در دوم - بین فرآیندها؛ برای مورد سوم، به طور کلی لازم است که کل سیاست تعیین محدودیت دسترسی به همه منابع را به طور اساسی مورد بازنگری قرار دهیم، زیرا یک کاربر با همان برنامه می تواند داده های دسته های مختلف محرمانه را پردازش کند.

ده ها روش برای تبادل بین فرآیندی (لوله های نامگذاری شده، بخش های حافظه و غیره) وجود دارد، بنابراین لازم است از بسته بودن محیط نرم افزار اطمینان حاصل شود - برای جلوگیری از امکان راه اندازی برنامه ای که چنین کانال تبادلی را اجرا می کند. همچنین مسائل مربوط به منابعی وجود دارد که توسط سیستم و برنامه های کاربردی به اشتراک گذاشته نمی شود، کنترل بر صحت شناسایی موضوع دسترسی، محافظت از خود IPS در برابر دسترسی غیرمجاز (لیست مکانیسم های حفاظتی لازم برای حل موثر این مشکل بسیار است. چشمگیر). بسیاری از آنها به صراحت در اسناد نظارتی مشخص نشده اند.

به نظر ما، وظیفه مقابله مؤثر با تهدیدهای خارجی فناوری اطلاعات تنها در صورتی قابل حل است که یک خط مشی تحدیدکننده برای موضوع «فرآیند» تنظیم شود (یعنی «فرآیند» باید به عنوان موضوع مستقل دسترسی به منابع در نظر گرفته شود). این به این دلیل است که این او است که تهدید را حمل می کند حمله خارجی. چنین الزامی به صراحت در اسناد نظارتی وجود ندارد، اما در این مورد، حل مشکل حفاظت از اطلاعات نیاز به تجدید نظر اساسی دارد. اصول اساسیاجرای سیاست محدود کننده دسترسی به منابع

اگر مسائل مربوط به کفایت مکانیسم‌های حفاظتی در رابطه با مجموعه منابع حفاظت‌شده هنوز به نوعی قابل رسمی‌سازی باشد، در رابطه با وظایف حفاظت از اطلاعات، امکان رسمی‌سازی چنین الزاماتی وجود ندارد.

در این مورد، SZI از NSD تولید کنندگان مختلفکه الزامات رسمی اسناد نظارتی را برآورده می کند می تواند هم در رویکردهای اجرا شده و هم تفاوت های اساسی داشته باشد راه حل های فنیو به طور کلی در اثربخشی این صندوق ها.

در پایان، ما یادآور می شویم که نباید اهمیت وظیفه انتخاب یک مرکز امنیت اطلاعات از UA را دست کم گرفت، زیرا این یک کلاس ویژه از ابزار فنی است که اثربخشی آن نمی تواند زیاد یا کم باشد. با در نظر گرفتن پیچیدگی ارزیابی اثربخشی واقعی سیستم امنیت اطلاعات از NSD، توصیه می کنیم مصرف کننده متخصصان (ترجیحا از بین توسعه دهندگانی که عملاً با این مشکلات روبرو هستند) را در مرحله انتخاب یک سیستم حفاظت اطلاعات از NSD درگیر کند.

محافظت در برابر دسترسی غیرمجاز به داده ها

دسترسی غیرمجاز (UAS) یک مهاجم به رایانه نه تنها به دلیل امکان خواندن و / یا اصلاح اسناد الکترونیکی در حال پردازش خطرناک است، بلکه همچنین با امکان معرفی یک نشانک نرم افزاری کنترل شده توسط یک مهاجم، که به او اجازه می دهد تا اقدامات زیر:

2. اطلاعات کلیدی مختلفی را که برای محافظت از اسناد الکترونیکی استفاده می شود، رهگیری کنید.

3. از رایانه ضبط شده به عنوان سکوی پرشی برای گرفتن رایانه های دیگر در شبکه محلی استفاده کنید.

4. اطلاعات ذخیره شده در رایانه را از بین ببرید یا با اجرای نرم افزارهای مخرب رایانه را غیرفعال کنید.

حفاظت از رایانه ها در برابر دسترسی غیرمجاز یکی از مشکلات اصلی امنیت اطلاعات است، بنابراین، در بیشتر موارد سیستم های عاملو بسته های نرم افزاری محبوب، زیرسیستم های مختلف حفاظتی ضد UAS تعبیه شده است. به عنوان مثال، انجام احراز هویت در کاربران هنگام ورود به سیستم عامل های خانواده ویندوز. با این حال، شکی نیست که ابزارهای داخلی سیستم عامل ها برای محافظت جدی در برابر دسترسی های غیرمجاز کافی نیستند. متأسفانه، پیاده‌سازی زیرسیستم‌های امنیتی در اکثر سیستم‌عامل‌ها اغلب به دلیل آسیب‌پذیری‌هایی که به طور مرتب کشف می‌شوند، انتقاداتی را به همراه دارد که امکان دسترسی به اشیاء محافظت شده را با دور زدن قوانین کنترل دسترسی فراهم می‌کند. بسته های خدمات و وصله های منتشر شده توسط فروشندگان نرم افزار به طور عینی از اطلاعات مربوط به آسیب پذیری های کشف شده عقب هستند. بنابراین، علاوه بر وسایل حفاظتی استاندارد، استفاده از ابزارهای خاصی برای محدود کردن یا محدود کردن دسترسی ضروری است.
این صندوق ها را می توان به دو دسته تقسیم کرد:

1. ابزار محدود کردن دسترسی فیزیکی.

2. ابزار محافظت در برابر دسترسی غیرمجاز از طریق شبکه.

ابزارهای محدود کردن دسترسی فیزیکی

اکثر راه حل قابل اعتمادمشکلات محدود کردن دسترسی فیزیکی به رایانه - استفاده از سخت افزار برای محافظت از اطلاعات در برابر دسترسی غیرمجاز که قبل از بارگیری سیستم عامل اجرا می شود. وسایل حفاظتی این دسته را «قفل الکترونیکی» می نامند. نمونه ای از قفل الکترونیکی در شکل نشان داده شده است. 5.3.

شکل 5.3 - قفل الکترونیکیبرای اتوبوس PCI

از نظر تئوری، هر ابزار کنترل دسترسی نرم افزاری می تواند در معرض مهاجم قرار گیرد تا الگوریتم چنین ابزاری را مخدوش کند و متعاقباً به سیستم دسترسی پیدا کند. درخواست دادن به روشی مشابهبا محافظت از سخت افزار تقریباً غیرممکن است: تمام اقدامات برای کنترل دسترسی کاربر توسط قفل الکترونیکی در محیط نرم افزاری مورد اعتماد خود انجام می شود که تحت تأثیرات خارجی قرار ندارد.
در مرحله مقدماتیبا استفاده از یک قفل الکترونیکی، نصب و پیکربندی می شود. راه‌اندازی شامل مراحل زیر است که معمولاً توسط شخص مسئول یعنی مدیر امنیت انجام می‌شود:

1. ایجاد لیستی از کاربرانی که اجازه دسترسی به رایانه محافظت شده را دارند. برای هر کاربر، یک حامل کلید (بسته به رابط های پشتیبانی شده توسط یک قفل خاص - یک فلاپی دیسک، یک تبلت الکترونیکی iButton یا یک کارت هوشمند) تولید می شود که برای احراز هویت کاربر در هنگام ورود استفاده می شود. لیست کاربران در حافظه غیر فرار قفل ذخیره می شود.

2. تشکیل لیستی از فایل ها که یکپارچگی آنها قبل از بارگیری سیستم عامل رایانه توسط قفل کنترل می شود. مشمول کنترل فایل های مهمسیستم عامل به عنوان مثال:

کتابخانه های سیستم پنجره ها;

ماژول های اجرایی برنامه های مورد استفاده؛

الگوهای سند مایکروسافت ورد و غیره.

کنترل یکپارچگی فایل، محاسبه مجموع بررسی مرجع آنها است، به عنوان مثال، هش کردن طبق الگوریتم GOST R 34.11-94، ذخیره مقادیر محاسبه شده در حافظه غیر فرار قفل و سپس محاسبه چک مجموع فایل های واقعی و مقایسه آنها. با موارد مرجع AT حالت عادیعملکرد قفل الکترونیکی کنترل را از بایوس کامپیوتر محافظت شده پس از روشن شدن دومی دریافت می کند. در این مرحله، تمام اقدامات برای کنترل دسترسی به رایانه انجام می شود (نمودار الگوریتم ساده شده را در شکل 5.4 ببینید)، یعنی:

شکل 5.4 - نمودار ساده شده الگوریتم عملکرد قفل الکترونیکی

1. قفل از کاربر یک حامل با اطلاعات کلیدی لازم برای احراز هویت درخواست می کند. اگر اطلاعات کلیدی با فرمت مورد نیاز ارائه نشود یا کاربر شناسایی شده توسط اطلاعات ارائه شده در لیست کاربران رایانه محافظت شده قرار نگیرد، قفل از راه اندازی رایانه جلوگیری می کند.

2. اگر احراز هویت کاربر موفقیت آمیز باشد، قفل محاسبه می شود چک جمع هافایل های موجود در لیست موارد نظارت شده و بررسی های دریافتی را با موارد مرجع مقایسه می کند. اگر یکپارچگی حداقل یک فایل از لیست نقض شود، رایانه از بارگیری مسدود می شود. برای ادامه کار بر روی این رایانه، مشکل باید توسط Administrator حل شود، که باید دلیل تغییر فایل مانیتور شده را پیدا کند و بسته به موقعیت، یکی از اقدامات زیر را انجام دهد تا کار بیشتر با کامپیوتر محافظت شده:

ایجاد مجدد فایل اصلی;

یک فایل را از لیست کنترل شده حذف کنید.

3. اگر همه بررسی ها با موفقیت انجام شود، قفل کنترل را به رایانه باز می گرداند تا سیستم عامل استاندارد بارگذاری شود.

از آنجایی که مراحل فوق قبل از بارگیری سیستم عامل رایانه انجام می شود، قفل معمولاً سیستم عامل خود را بارگیری می کند (که در حافظه غیر فرار خود قرار دارد - معمولاً MS-DOSیا مشابه سیستم عاملنیاز به منابع کم) که احراز هویت کاربر و بررسی یکپارچگی فایل را انجام می دهد. این از نقطه نظر امنیتی نیز منطقی است - سیستم عامل خود قفل تحت تأثیر هیچ گونه تأثیر خارجی نیست، که به مهاجم اجازه نمی دهد بر فرآیندهای کنترلی که در بالا توضیح داده شد تأثیر بگذارد. اطلاعات مربوط به ورود کاربران به رایانه و همچنین تلاش های غیرمجاز برای دسترسی، در گزارشی ذخیره می شود که در حافظه غیر فرار قفل قرار دارد. گزارش توسط مدیر قابل مشاهده است. هنگام استفاده از قفل های الکترونیکی، تعدادی از مشکلات وجود دارد، به ویژه:

1. BIOSبرخی از رایانه های مدرن را می توان به گونه ای پیکربندی کرد که کنترل در هنگام بوت به BIOS قفل منتقل نشود. برای مقابله با چنین تنظیماتی، قفل باید بتواند کامپیوتر را از بوت شدن (مثلاً با بستن مخاطبین) مسدود کند. تنظیم مجدد) اگر قفل در مدت زمان معینی پس از روشن شدن برق کنترل را دریافت نکرده باشد.

2. یک مهاجم می تواند به سادگی قفل را از رایانه بیرون بکشد. با این حال، تعدادی از اقدامات متقابل وجود دارد:

اقدامات سازمانی و فنی مختلف: آب بندی کیس کامپیوتر، اطمینان از عدم دسترسی فیزیکی کاربران به واحد سیستم کامپیوتری و غیره.

قفل های الکترونیکی وجود دارد که می تواند به دستور مدیر، قفل واحد سیستم رایانه را از داخل با یک قفل مخصوص قفل کند - در این حالت، قفل بدون آسیب قابل توجهی به رایانه قابل برداشتن نیست.

اغلب، قفل های الکترونیکی از نظر ساختاری با یک رمزگذار سخت افزاری ترکیب می شوند. در این مورد، اقدام امنیتی توصیه شده استفاده از قفل همراه با نرم افزار رمزگذاری شفاف (اتوماتیک) برای درایوهای منطقی کامپیوتر است. در این حالت، کلیدهای رمزگذاری را می توان از کلیدهایی استخراج کرد که برای احراز هویت کاربران استفاده می شود. قفل الکترونیکی، یا کلیدهای جداگانه، اما روی همان رسانه ای که کلیدهای کاربر برای ورود به رایانه ذخیره می شوند. چنین ابزار حفاظتی جامعی کاربر را ملزم به انجام هیچ گونه اقدام اضافی نخواهد کرد، اما به مهاجم اجازه نمی دهد حتی زمانی که تجهیزات قفل الکترونیکی برداشته شده است به اطلاعات دسترسی پیدا کند.

ابزار محافظت در برابر دسترسی غیرمجاز از طریق شبکه

اکثر روش های موثرحفاظت در برابر دسترسی غیرمجاز از طریق شبکه های کامپیوتری شبکه های خصوصی مجازی هستند ( VPN - شبکه خصوصی مجازی) و فایروال. بیایید آنها را با جزئیات در نظر بگیریم.

شبکه های خصوصی مجازی

VPN ها ارائه می دهند حفاظت خودکاریکپارچگی و محرمانه بودن پیام های ارسال شده از طریق شبکه های مختلف استفاده مشترکدر درجه اول از طریق اینترنت در حقیقت، VPNمجموعه ای از شبکه ها در محیط بیرونی آن است VPN-agents (شکل 5.5). VPN-agent یک برنامه (یا مجموعه نرم افزاری و سخت افزاری) است که در واقع با انجام عملیاتی که در زیر توضیح داده شده است، حفاظت از اطلاعات ارسالی را تضمین می کند.

برنج. 5.5 - طرح ساخت VPN

قبل از ارسال هر کدام IP-بسته VPN-نماینده کارهای زیر را انجام می دهد:

1. از سربرگ IP-اطلاعات بسته در مورد مخاطب آن تخصیص داده می شود. بر اساس این اطلاعات، بر اساس سیاست امنیتی این VPN-agent، الگوریتم های حفاظتی انتخاب می شوند (اگر VPN-agent از چندین الگوریتم) و کلیدهای رمزنگاری پشتیبانی می کند که با آنها این بسته محافظت می شود. اگر سیاست امنیتی VPN-عامل برای ارسال ارائه نشده است IP-بسته به این مخاطب یا IP-بسته با این مشخصات، ارسال IP- بسته مسدود شده است.

2. با استفاده از الگوریتم حفاظت از یکپارچگی انتخاب شده، شکل گرفته و به آن اضافه می شود IP- بسته الکترونیکی امضای دیجیتالی(EDS)، پیشوند تقلیدی یا جمع کنترلی مشابه.

3. رمزگذاری با استفاده از الگوریتم رمزگذاری انتخاب شده انجام می شود IP-بسته

4. استفاده از الگوریتم ایجاد شدهبسته بندی بسته رمزگذاری شده است IP- بسته در یک بسته IP آماده برای انتقال قرار می گیرد که هدر آن به جای اطلاعات اصلی در مورد مخاطب و فرستنده، به ترتیب حاوی اطلاعات مربوط به VPN- عامل مخاطب و VPNنماینده فرستنده آن ها ترجمه آدرس شبکه در حال انجام است.

5. بسته ارسال می شود VPNنماینده مخاطب در صورت لزوم تقسیم می شود و بسته های حاصل یکی یکی ارسال می شود.

وقتی دریافت می کنید IP-بسته VPN-نماینده کارهای زیر را انجام می دهد:

1. از سربرگ IPاطلاعات بسته در مورد فرستنده آن برجسته شده است. اگر فرستنده مجاز نباشد (طبق سیاست امنیتی) یا ناشناخته باشد (مثلاً هنگام دریافت بسته ای با هدر عمدی یا تصادفی آسیب دیده)، بسته پردازش نمی شود و دور انداخته نمی شود.

2. با توجه به سیاست امنیتی، الگوریتم های حفاظتی انتخاب می شوند این بستهو کلیدهایی که برای رمزگشایی بسته و بررسی یکپارچگی آن استفاده می شود.

3. بخش اطلاعاتی (کپسوله شده) بسته استخراج و رمزگشایی می شود.

4. یکپارچگی بسته بر اساس الگوریتم انتخاب شده بررسی می شود. اگر نقض یکپارچگی شناسایی شود، بسته حذف می شود.

5. بسته برای مخاطب ارسال می شود (توسط شبکه داخلی) با توجه به اطلاعات موجود در هدر اصلی آن.

VPN-عامل را می توان مستقیماً روی رایانه محافظت شده قرار داد (مثلاً رایانه های "کاربران راه دور" در شکل 5.5). در این مورد، با کمک آن، تنها تبادل اطلاعات رایانه ای که روی آن نصب شده است محافظت می شود، با این حال، اصول عملکرد آن که در بالا توضیح داده شد بدون تغییر باقی می ماند.
قانون اساسی ساخت و ساز VPN- ارتباط بین یک LAN امن و یک شبکه باز باید فقط از طریق انجام شود VPN-عامل ها قاطعانه نباید هیچ وسیله ارتباطی وجود داشته باشد که مانع محافظ در فرم را دور بزند VPN-عامل. آن ها یک محیط محافظت شده باید تعریف شود که ارتباط با آن فقط از طریق یک وسیله حفاظتی مناسب انجام شود. خط مشی امنیتی مجموعه قوانینی است که بر اساس آن کانال های ارتباطی امن بین مشترکین ایجاد می شود VPN. این کانال ها معمولا نامیده می شوند تونل ها، قیاسی با آن در موارد زیر قابل مشاهده است:

1. تمام اطلاعات منتقل شده در یک تونل از هر دو مشاهده و تغییر غیرمجاز محافظت می شود.

2. کپسولاسیون IPبسته ها به شما امکان می دهد توپولوژی شبکه داخلی داخلی را پنهان کنید: از اینترنت، تبادل اطلاعات بین دو شبکه محلی محافظت شده به عنوان تبادل اطلاعات فقط بین آنها قابل مشاهده است. VPNعوامل، از آنجایی که همه داخلی است IP-آدرس های ارسال شده از طریق اینترنت IP-بسته ها در این مورد ظاهر نمی شوند.

قوانین ایجاد تونل بسته به ویژگی های مختلف شکل می گیرد IP-بسته ها، به عنوان مثال، یکی از اصلی ترین در هنگام ساخت VPNپروتکل IPSec (معماری امنیتی برای IP)مجموعه بعدی داده های ورودی را تنظیم می کند که براساس آن پارامترهای تونل زنی انتخاب می شوند و هنگام فیلتر کردن یک خاص تصمیم گیری می شود. IP-بسته:

1. IPآدرس منبع. این می تواند نه تنها یک آدرس IP واحد، بلکه یک آدرس زیر شبکه یا طیفی از آدرس ها باشد.

2. IP- آدرس مقصد. همچنین می‌تواند طیفی از آدرس‌ها باشد که به صراحت با استفاده از ماسک زیر شبکه یا علامت عام مشخص شده‌اند.

3. شناسه کاربری (فرستنده یا گیرنده).

4. پروتکل لایه انتقال ( TCP/UDP).

5. شماره پورتی که بسته از آن یا به آن ارسال شده است.

فایروال قطعه ای از نرم افزار یا سیستم عامل است که محافظت می کند شبکه های محلیو کامپیوترهای فردی از دسترسی غیرمجاز توسط شبکه های خارجیبا فیلتر کردن جریان دو طرفه پیام ها هنگام تبادل اطلاعات. در واقع، فایروال "لکه شده است" VPN- عاملی که بسته ها را رمزگذاری نمی کند و یکپارچگی آنها را کنترل نمی کند، اما در برخی موارد تعدادی دارد ویژگی های اضافیکه رایج ترین آنها عبارتند از:

اسکن آنتی ویروس؛

بررسی صحت بسته ها؛

بررسی صحت اتصالات (به عنوان مثال، برقراری، استفاده و قطع شدن TCP-جلسات)؛

کنترل محتوا

فایروال هاکه توابع توضیح داده شده در بالا را ندارند و فقط فیلتر کردن بسته ها را انجام می دهند، فراخوانی می شوند فیلترهای بسته. به قیاس با VPNنمایندگان همچنین فایروال های شخصی دارند که فقط از رایانه ای که روی آن نصب شده اند محافظت می کند. فایروال ها نیز در محیط شبکه های محافظت شده قرار دارند و ترافیک شبکه را طبق سیاست امنیتی پیکربندی شده فیلتر می کنند.

یک قفل الکترونیکی را می توان بر اساس یک رمزگذار سخت افزاری توسعه داد. در این حالت، یک دستگاه به دست می آید که عملکردهای رمزگذاری، تولید اعداد تصادفی و محافظت در برابر دسترسی های غیرمجاز را انجام می دهد. چنین رمزگذار می‌تواند مرکز امنیتی کل رایانه باشد؛ بر اساس آن، می‌توانید یک سیستم حفاظت از داده‌های رمزنگاری با امکانات کامل بسازید که به عنوان مثال، احتمالات زیر:

1. محافظت از رایانه شما در برابر دسترسی فیزیکی.

2. محافظت از رایانه شما در برابر دسترسی غیرمجاز از طریق شبکه و سازمان VPN.

3. رمزگذاری فایل در صورت تقاضا.

4. رمزگذاری خودکار درایوهای منطقی کامپیوتر.

5. محاسبه/تأیید EDS.

6. حفاظت از پیام های ایمیل.

دسترسی غیرمجاز (UA) در اختیار داشتن غیرقانونی عمدی اطلاعات محرمانه توسط شخصی است که حق دسترسی به اطلاعات محافظت شده را ندارد. متداول ترین مسیرهای ND به اطلاعات عبارتند از:

• استفاده از دستگاه های شنود؛
• عکاسی از راه دور؛
• سرقت حامل های اطلاعات و ضایعات اسنادی؛
• خواندن اطلاعات باقیمانده در حافظه سیستم پس از اجرای درخواست های مجاز؛
• اتصال غیرقانونی به تجهیزات و خطوط ارتباطی سخت افزار ویژه طراحی شده که دسترسی به اطلاعات را فراهم می کند.
• ناتوانی مخرب مکانیسم های حفاظتی؛
• کپی برداری از حامل های اطلاعات با غلبه بر اقدامات حفاظتی؛
• مبدل به عنوان یک کاربر ثبت نام شده؛
• رمزگشایی اطلاعات رمزگذاری شده؛
• عفونت های اطلاعاتی و غیره

بعضی از راه های ذکر شده ND به دانش فنی نسبتاً بزرگ و توسعه‌های سخت‌افزاری یا نرم‌افزاری مناسب نیاز دارد، برخی دیگر نسبتاً ابتدایی هستند. صرف نظر از مسیر، نشت اطلاعات می تواند آسیب قابل توجهی به سازمان و کاربران وارد کند.

بسیاری از راه های فنی فهرست شده ND را می توان با یک سیستم امنیتی به درستی طراحی و پیاده سازی شده به طور قابل اعتماد مسدود کرد. با این حال، اغلب آسیب به دلیل "نیت مخرب" نیست، بلکه به دلیل خطاهای اولیه کاربر است که به طور تصادفی داده های حیاتی را خراب یا حذف می کند.

با وجود تفاوت قابل توجه در میزان خسارت مادی ایجاد شده، باید توجه داشت که مشکل امنیت اطلاعات نه تنها برای اشخاص حقوقی مطرح است. هر کاربر می تواند هم در محل کار و هم در خانه با آن روبرو شود. در این راستا تمامی کاربران باید نسبت به میزان مسئولیت آگاه بوده و رعایت کنند قوانین ابتداییپردازش، انتقال و استفاده از اطلاعات.

مکانیسم های حفاظتی با هدف حل مشکل ND به اطلاعات عبارتند از:

• کنترل دسترسی - روشهای حفاظت از اطلاعات با تنظیم استفاده از تمام منابع سیستم اطلاعاتی.
• ثبت و حسابداری - ثبت و آمار تماس با منابع حفاظت شده؛
• استفاده از مکانیزم های مختلف رمزگذاری (بسته شدن رمزنگاری اطلاعات) - این روش های حفاظتی به طور گسترده در پردازش و ذخیره سازی اطلاعات استفاده می شود. رسانه مغناطیسیو همچنین انتقال آن از طریق کانال های ارتباطی از راه دور.
• اقدامات قانونی - توسط اقدامات قانونی کشور تعیین می شود که قوانین استفاده، پردازش و انتقال اطلاعات را تنظیم می کند. دسترسی محدودو مجازات برای نقض این قوانین تعیین می شود.
• اقدامات فیزیکی - شامل انواع مختلف است دستگاه های مهندسیو ساختارهای جلوگیری از فیزیکی

نفوذ بدخواهان به اشیاء حفاظتی و انجام حفاظت از پرسنل، وسایل مادی، اطلاعات از اقدامات غیرقانونی.

کنترل دسترسی

سه مکانیسم کنترل دسترسی به داده های تعمیم یافته وجود دارد: شناسایی کاربر، حفاظت مستقیم (فیزیکی) داده ها و پشتیبانی از حقوق دسترسی کاربر به داده ها با امکان انتقال آنها.

شناسایی کاربر مقیاس دسترسی به آن را تعیین می کند پایه های مختلفداده ها یا بخش های پایگاه داده (روابط یا ویژگی ها). این در اصل یک جدول اطلاعاتی از رتبه ها است. حفاظت فیزیکیداده ها بیشتر به ترتیبات سازمانی، اگرچه برخی از سؤالات ممکن است مستقیماً به داده ها مرتبط باشد، مانند رمزگذاری آنها. و در نهایت، ابزار پشتیبانی و انتقال حقوق دسترسی باید ماهیت ارتباط متمایز با داده ها را به طور دقیق مشخص کند.

روش حفاظت با استفاده از رمزهای عبور نرم افزار. بر اساس این روش اجرا می شود ابزارهای نرم افزاری، رویه ارتباط کاربر با رایانه شخصی به گونه ای طراحی شده است که دسترسی به سیستم عامل یا فایل های خاصتا زمانی که رمز عبور وارد شود. رمز عبور توسط کاربر مخفی نگه داشته می شود و به صورت دوره ای تغییر می کند تا از استفاده غیرمجاز جلوگیری شود.

روش رمز عبور ساده ترین و ارزان ترین است، اما محافظت قابل اعتمادی را ارائه نمی دهد. بر کسی پوشیده نیست که می توان رمز عبور را با استفاده از روش آزمون و خطا یا برنامه های خاص جاسوسی یا برداشت کرد و به داده ها دسترسی داشت. علاوه بر این، آسیب پذیری اصلی روش رمز عبور این است که کاربران اغلب رمزهای عبور بسیار ساده و آسان برای به خاطر سپردن (و در نتیجه حدس زدن) را انتخاب می کنند که تغییر نمی کنند. مدت زمان طولانی، و اغلب هنگام تغییر کاربر یکسان می مانند. با وجود این کاستی ها، استفاده از روش رمز عبور را در بسیاری از موارد حتی با وجود سایر روش های حفاظتی سخت افزاری و نرم افزاری باید منطقی دانست. به طور معمول، روش رمز عبور نرم با روش های دیگر ترکیب می شود روش های نرم افزاری، تعریف محدودیت در انواع و اشیاء دسترسی.

مشکل محافظت از اطلاعات از دسترسی غیرمجاز به ویژه با استفاده گسترده از شبکه های کامپیوتری محلی و به ویژه جهانی حاد شده است. بنابراین، علاوه بر کنترل دسترسی، عنصر ضروریحفاظت از اطلاعات در شبکه های کامپیوترتمایز قدرت کاربر است.

در شبکه های کامپیوتری، هنگام سازماندهی کنترل دسترسی و تمایز قدرت کاربر، بیشتر از ابزارهای داخلی سیستم عامل شبکه (OS) استفاده می شود. استفاده از سیستم عامل های امن یکی از موارد است شرایط ضروریساختمان مدرن سیستم های اطلاعاتی. به عنوان مثال، سیستم عامل یونیکس به مالک فایل اجازه می دهد تا برای هر یک از فایل های خود، حقوق فقط خواندنی یا نوشتنی را به سایر کاربران اعطا کند. پرکاربردترین سیستم عامل در کشور ما ویندوز NT است که همه چیز در آن ظاهر می شود. امکانات بیشتربرای ساختن شبکه ای که واقعاً از ND تا اطلاعات محافظت می شود. سیستم عامل NetWare علاوه بر ابزارهای استاندارد برای محدود کردن دسترسی، مانند سیستم رمز عبور و تمایز قدرت ها، دارای تعدادی ویژگی جدید است که با ارائه درجه اول حفاظت از داده ها، امکان رمزگذاری داده ها مطابق با "عمومی" را فراهم می کند. اصل کلید"( الگوریتم RSA) با تشکیل امضای الکترونیکبرای بسته های ارسال شده از طریق شبکه

در عین حال، در چنین سیستمی از سازمان حفاظت، هنوز هم وجود دارد ضعف: سطح دسترسی و قابلیت ورود با رمز عبور تعیین می شود. برای حذف امکان ورود غیرمجاز به شبکه کامپیوتری در اخیرایک رویکرد ترکیبی استفاده می شود - رمز عبور + شناسایی کاربر توسط یک "کلید" شخصی. یک کارت پلاستیکی (مغناطیسی یا با یک ریزمدار تعبیه شده - کارت هوشمند) می تواند به عنوان "کلید" یا دستگاه های مختلفبرای شناسایی یک فرد با اطلاعات بیومتریک - از طریق عنبیه چشم یا اثر انگشت، اندازه دست و غیره.

کارت های پلاستیکی با نوار مغناطیسی را می توان به راحتی جعل کرد. درجه بالاتری از قابلیت اطمینان توسط کارت های هوشمند ارائه می شود - به اصطلاح کارت های ریزپردازنده (MP-card-point). قابلیت اطمینان آنها در درجه اول به دلیل عدم امکان کپی یا جعل به روش صنایع دستی است. علاوه بر این، در طول تولید کارت ها، هر تراشه وارد می شود کد منحصر به فرد، که قابل تکرار نیست. هنگام صدور کارت برای یک کاربر، یک یا چند رمز عبور برای آن اعمال می شود که فقط صاحب آن می شناسد. برای برخی از انواع کارت های MP، تلاش برای استفاده غیرمجاز با "بستن" خودکار آن به پایان می رسد. برای بازگرداندن عملکرد چنین کارتی باید به مرجع مربوطه ارائه شود. علاوه بر این، فناوری MP-card-check رمزگذاری داده های ثبت شده بر روی آن را مطابق با آن فراهم می کند استاندارد DES. نصب کارت های MP Reader ویژه نه تنها در ورودی محل قرارگیری رایانه ها، بلکه مستقیماً در ایستگاه های کاری و سرورهای شبکه امکان پذیر است.

این روش بسیار قابل اعتمادتر از استفاده از رمزهای عبور است، زیرا اگر رمز عبور جاسوسی شود، ممکن است کاربر از آن مطلع نباشد، اما اگر کارت گم شده باشد، می توانید بلافاصله اقدام کنید.

کارت‌های کنترل دسترسی هوشمند به شما امکان می‌دهند به ویژه عملکردهایی مانند کنترل دسترسی، دسترسی به دستگاه‌های رایانه شخصی، دسترسی به برنامه‌ها، فایل‌ها و دستورات را اجرا کنید. علاوه بر این، اجرای توابع کنترل، به ویژه، ثبت تلاش برای نقض دسترسی به منابع، استفاده از ابزارهای ممنوعه، برنامه ها، دستورات DOS نیز امکان پذیر است.

با گسترش شرکت ها، رشد تعداد پرسنل و ظهور شاخه های جدید، دسترسی کاربران راه دور (یا گروهی از کاربران) به محاسبات و محاسبات ضروری می شود. منابع اطلاعاتدفتر اصلی شرکت رایج ترین برای یک سازمان دسترسی از راه دوراز خطوط کابلی (تلفن معمولی یا اختصاصی) و کانال های رادیویی استفاده می شود. در این راستا، حفاظت از اطلاعات منتقل شده از طریق کانال های دسترسی از راه دور نیازمند رویکرد ویژه ای است.

به طور خاص، پل های دسترسی از راه دور و مسیریاب ها از تقسیم بندی بسته ها استفاده می کنند - جداسازی و انتقال آنها به صورت موازی از طریق دو خط - که باعث می شود زمانی که یک "هکر" به طور غیرقانونی به یکی از خطوط متصل می شود، "رهگیری" داده ها را غیرممکن می کند. علاوه بر این، روش فشرده سازی بسته های ارسالی که در طول انتقال داده استفاده می شود، تضمین می کند که داده های "رهگیری شده" قابل رمزگشایی نیستند. علاوه بر این، پل های دسترسی از راه دور و روترها را می توان طوری برنامه ریزی کرد که کاربران از راه دوردسترسی به برخی منابع شبکه ترمینال اصلی محدود خواهد شد.

روش تماس خودکار می تواند موارد بیشتری را ارائه دهد حفاظت قابل اعتمادسیستم ها از دسترسی غیرمجاز نسبت به ساده رمزهای عبور نرم افزار. در این صورت کاربر نیازی به به خاطر سپردن رمزهای عبور و نظارت بر محرمانه بودن آنها ندارد. ایده سیستم برگشت به تماس بسیار ساده است. کاربران از راه دور از پایگاه داده مرکزی نمی توانند مستقیماً به آن دسترسی داشته باشند. ابتدا به برنامه خاصی دسترسی پیدا می کنند که کدهای شناسایی مناسب به آن داده می شود. پس از آن اتصال قطع شده و کدهای شناسایی بررسی می شوند. اگر کد ارسال شده از طریق کانال ارتباطی صحیح باشد، کاربر با تثبیت همزمان تاریخ، ساعت و شماره تلفن تماس گرفته می شود. عیب این روش است سرعت کمتبادل - میانگین زمان تاخیر را می توان در ده ها ثانیه محاسبه کرد.

روش رمزگذاری داده ها

کلمه رمزنگاری که از یونانی ترجمه شده است به معنای نوشتن مخفی است. این یکی از بیشترین است روش های موثرحفاظت. این می تواند به ویژه برای پیچیده کردن رویه های دسترسی غیرمجاز مفید باشد، حتی اگر اقدامات امنیتی متعارف را بتوان دور زد. برخلاف روش‌های مورد بحث در بالا، رمزنگاری پنهان نمی‌شود پیام های ارسال شده، اما آنها را به شکلی غیرقابل درک برای افرادی تبدیل می کند که حقوق دسترسی به آنها را ندارند، یکپارچگی و صحت اطلاعات را در فرآیند تعامل اطلاعاتی تضمین می کند.

اطلاعات آماده برای انتقال با استفاده از برخی از الگوریتم های رمزگذاری و یک کلید رمزگذاری رمزگذاری می شود. در نتیجه این اقدامات، به یک متن رمزی تبدیل می شود، یعنی یک متن بسته یا تصویر گرافیکی، و در این شکل از طریق کانال ارتباطی منتقل می شود. خروجی رمزگذاری شده به‌جز صاحب کلید برای کسی قابل درک نیست.

رمز معمولاً به عنوان خانواده ای از تبدیل های برگشت پذیر شناخته می شود که هر کدام توسط پارامتری به نام کلید و همچنین ترتیب کاربرد تعیین می شود. تبدیل داده شده، حالت رمزگذاری نامیده می شود. معمولاً کلید تعدادی دنباله الفبایی یا عددی است.

هر تبدیل به طور منحصر به فرد توسط یک کلید تعریف شده و توسط برخی از الگوریتم های رمزگذاری توصیف می شود. به عنوان مثال، الگوریتم رمزگذاری ممکن است جایگزینی هر حرف الفبا با یک عدد را فراهم کند و ترتیب اعداد حروف این الفبا ممکن است کلید اصلی باشد. برای اینکه تبادل داده های رمزگذاری شده موفقیت آمیز باشد، فرستنده و گیرنده باید کلید صحیح را بدانند و آن را مخفی نگه دارند.

از همین الگوریتم می توان برای رمزگذاری در حالت های مختلف. هر حالت رمزگذاری هم مزایا و هم معایبی دارد. بنابراین، انتخاب حالت بستگی به موقعیت خاص دارد. رمزگشایی از یک الگوریتم رمزنگاری استفاده می کند که مورد کلیممکن است با الگوریتم مورد استفاده برای رمزگذاری متفاوت باشد، بنابراین، کلیدهای مربوطه نیز ممکن است متفاوت باشند. یک جفت الگوریتم رمزگذاری و رمزگشایی سیستم رمزگذاری (سیستم رمزگذاری) نامیده می شود و دستگاه هایی که آنها را پیاده سازی می کنند فناوری رمزگذاری نامیده می شوند.

سیستم های رمزنگاری متقارن و نامتقارن وجود دارد. سیستم های رمزنگاری متقارن از همان کد برای رمزگذاری و رمزگشایی استفاده می کنند. کلید خصوصی. در سیستم های رمزنگاری نامتقارن، کلیدهای رمزگذاری و رمزگشایی متفاوت است و یکی از آنها خصوصی و دیگری عمومی (عمومی) است.

چندین الگوریتم حفاظت از اطلاعات رمزنگاری متفاوت وجود دارد، به عنوان مثال، DES، RSA، GOST 28147-89، و غیره. انتخاب روش رمزگذاری به ویژگی های اطلاعات ارسال شده، حجم آن و سرعت انتقال مورد نیاز و همچنین بستگی دارد. توانایی های صاحبان (هزینه اعمال دستگاه های فنی، قابلیت اطمینان عملیاتی و غیره).

رمزگذاری داده ها به طور سنتی توسط ادارات دولتی و دفاعی استفاده می شده است، اما با تغییر نیازها، برخی از شرکت های معتبرتر شروع به استفاده از قدرت رمزگذاری برای حفظ خصوصی اطلاعات کرده اند. شرکت های خدمات مالی (عمدتاً در ایالات متحده) یک پایگاه کاربری مهم و بزرگ را نشان می دهند و اغلب الزامات خاصی بر روی الگوریتم مورد استفاده در فرآیند رمزگذاری قرار می گیرند.

سرگردان استاندارد رمزگذاری داده ها (DES) توسط IBM در اوایل دهه 1970 توسعه یافت. و در حال حاضر استاندارد دولتی برای رمزگذاری است اطلاعات دیجیتال. توسط انجمن بانکداران آمریکایی توصیه می شود. الگوریتم پیشرفته DES از یک کلید 56 بیتی با 8 بیت برابری استفاده می کند و به مهاجم نیاز دارد تا 72 کوادریلیون ترکیب کلید ممکن را امتحان کند و درجه بالایی از حفاظت را با هزینه کم ارائه دهد. با تغییرات مکرر کلید، الگوریتم به طور رضایت بخشی مشکل غیرقابل دسترس کردن اطلاعات محرمانه را حل می کند. در عین حال بازار سیستم های تجاریهمیشه به حفاظت سختگیرانه ای مانند دولت یا ادارات دفاعی نیاز ندارد، بنابراین می توان از انواع دیگر محصولات مانند PGP (Pretty Good Privacy) استفاده کرد. رمزگذاری داده ها را می توان در حالت On-line (با نرخ دریافت اطلاعات) و Off-line (خودکار) انجام داد.

الگوریتم RSA توسط R.L. Rivest، A. Shamir و L. Aldeman در سال 1978 و نشان دهنده یک گام مهم رو به جلو در رمزنگاری است. این الگوریتم به عنوان یک استاندارد توسط اداره ملی استاندارد نیز پذیرفته شده است.

DES از نظر فنی است الگوریتم متقارن، و RSA - نامتقارن - یک سیستم استفاده مشترک که در آن هر کاربر دارای دو کلید و فقط یک راز است. کلید عمومی برای رمزگذاری پیام توسط کاربر استفاده می شود، اما فقط یک گیرنده خاص می تواند آن را با کلید خصوصی خود رمزگشایی کند. کلید عمومی برای این کار بی فایده است. این امر باعث می شود قراردادهای انتقال کلید محرمانه بین خبرنگاران ضروری نباشد. DES طول داده و کلید را بر حسب بیت مشخص می کند، در حالی که RSA را می توان با هر طول کلیدی پیاده سازی کرد. هر چه کلید طولانی تر باشد، سطح امنیت بالاتر است (اما فرآیند رمزگذاری و رمزگشایی طولانی تر می شود). اگر کلیدهای DES را بتوان در میکروثانیه تولید کرد، زمان تقریبی برای تولید یک کلید RSA ده ها ثانیه است. از همین رو کلیدهای عمومی RSA توسط توسعه دهندگان نرم افزار ترجیح داده می شود، در حالی که کلیدهای مخفی DES توسط توسعه دهندگان سخت افزار ترجیح داده می شود.

هنگام مبادله اسناد الکترونیکی، یکی از طرفین ممکن است از تعهدات خود چشم پوشی کند (مصرف اختیار) و همچنین جعل پیام های دریافتی از فرستنده (انتساب نویسندگی). مکانیسم اصلی برای حل این مشکل ایجاد یک آنالوگ از امضای دست نویس - یک امضای دیجیتال الکترونیکی (DSC) است. دو الزام اصلی بر CPU تحمیل شده است: پیچیدگی بالای جعل و سهولت تأیید.

برای ایجاد CPU می توان از هر دو سیستم رمز متقارن و نامتقارن استفاده کرد. در حالت اول، خود پیام رمزگذاری شده با یک کلید مخفی می تواند به عنوان یک امضا عمل کند. اما پس از هر بررسی، کلید مخفی مشخص می شود. برای رهایی از این وضعیت، لازم است شخص ثالثی را معرفی کنید - یک واسطه مورد اعتماد هر طرف که پیام ها را از کلید یکی از مشترکان به کلید دیگری رمزگذاری می کند.

سیستم های رمز نامتقارن تمام ویژگی های مورد نیاز برای یک CPU را دارند. دو روش ممکن برای ساخت یک CPU وجود دارد.

• 1. تبدیل پیام به شکلی که از طریق آن می توان خود پیام را بازیابی کرد و از این طریق صحت خود امضا را تأیید کرد.
• 2. امضا به همراه پیام اصلی محاسبه و ارسال می شود.

بنابراین، برای رمزهای مختلف، وظیفه رمزگشایی - رمزگشایی یک پیام در صورت ناشناخته بودن کلید - پیچیدگی متفاوتی دارد. سطح پیچیدگی این کار ویژگی اصلی رمز را تعیین می کند - توانایی مقاومت در برابر تلاش های دشمن برای به دست آوردن اطلاعات محافظت شده. در این راستا، آنها در مورد قدرت رمزنگاری رمزنگاری صحبت می کنند و بین رمزهای امن تر و کمتر امن تر تمایز قائل می شوند. ویژگی های رایج ترین روش های رمزگذاری در جدول آورده شده است. 10.1.

جدول 10.1.ویژگی های رایج ترین روش های رمزگذاری

یک تمثیل در مورد وجود دارد راه قابل اعتمادذخیره سازی اطلاعات: اطلاعات باید در یک نسخه در رایانه ای که در یک گاوصندوق زرهی قرار دارد، از همه شبکه ها جدا شده و بدون برق باشد.

واضح است که کار با چنین اطلاعاتی، به بیان ملایم، ناخوشایند است. در همان زمان، من می خواهم از برنامه ها و داده ها در برابر دسترسی غیرمجاز (UAS) محافظت کنم. و برای اینکه دسترسی مجاز باشد، باید تصمیم بگیرید که چه کسی می تواند و چه کسی نمی تواند چه کاری را انجام دهد.

برای این شما نیاز دارید:

1. طبقه بندی اطلاعات ذخیره شده و پردازش شده در رایانه؛
2. طبقه بندی کاربران این اطلاعات؛
3. طبقات دریافتی اطلاعات و کاربران را در یک مکاتبات خاص با یکدیگر قرار دهید.

دسترسی کاربر به کلاس های مختلف اطلاعات باید بر اساس سیستم رمز عبور انجام شود که می تواند:

• رمزهای عبور معمولی؛
• قفل و کلید واقعی؛
• تست های ویژه شناسایی کاربر؛
• الگوریتم های ویژه برای شناسایی رایانه های شخصی، فلاپی دیسک، نرم افزار.

سیستم های امنیت اطلاعات در برابر دسترسی غیرمجاز عملکردهای زیر را ارائه می دهند:

1. شناسایی، یعنی تخصیص ویژگی های منحصر به فرد - شناسه هایی که سیستم متعاقباً احراز هویت را انجام می دهد.
2. احراز هویت، یعنی احراز هویت بر اساس مقایسه با شناسه های مرجع.
3. تمایز دسترسی کاربر به رایانه شخصی؛
4. تمایز دسترسی کاربر بر اساس عملیات روی منابع (برنامه ها، داده ها و غیره)؛
5. مدیریت:
   • تعریف حقوق دسترسی به منابع حفاظت شده،
   • پردازش سیاهههای مربوط،
   • نصب سیستم حفاظتی بر روی کامپیوتر،
   • حذف سیستم حفاظتی از رایانه شخصی؛
6. ثبت رویدادها:
   • ورود کاربر،
   • خروج کاربر،
   • نقض دسترسی؛
7. واکنش به تلاش های NSD؛
8. نظارت بر یکپارچگی و عملکرد سیستم های حفاظتی؛
9. تضمین امنیت اطلاعات در حین تعمیر و نگهداری
10. تضمین امنیت اطلاعات در شرایط اضطراری

حقوق کاربر برای دسترسی به برنامه‌ها و داده‌ها جداولی را توصیف می‌کند که بر اساس آنها کنترل و تمایز دسترسی به منابع انجام می‌شود. دسترسی باید توسط نرم افزار امنیتی کنترل شود. اگر دسترسی درخواستی با آنچه در جدول حقوق دسترسی وجود دارد مطابقت نداشته باشد، سیستم امنیتی واقعیت UA را ثبت کرده و پاسخ مناسب را آغاز می کند.

شناسایی و احراز هویت کاربر

قبل از دسترسی به منابع، کاربر باید فرآیند ارسال را طی کند سیستم کامپیوتریکه شامل دو مرحله است:

• شناسایی- کاربر به درخواست خود سیستم را از نام خود (شناسه) مطلع می کند.
• احراز هویت- کاربر با وارد کردن اطلاعات منحصر به فرد خود (به عنوان مثال رمز عبور) که برای سایر کاربران شناخته شده نیست، شناسایی را تأیید می کند.

برای انجام مراحل شناسایی و احراز هویت یک کاربر، لازم است:

• برنامه های احراز هویت؛
• اطلاعات منحصر به فرد در مورد کاربر

دو شکل ذخیره سازی اطلاعات کاربر وجود دارد: خارجی (مثلاً یک کارت پلاستیکی یا سر کاربر) و داخلی (مثلاً یک رکورد در پایگاه داده). طبیعتاً اطلاعات ذخیره شده در هد و اطلاعات پایگاه داده باید از نظر معنایی یکسان باشند. مشکل با قاسم برادر حریص علی بابا دقیقاً به دلیل عدم تطابق بین شکل بیرونی و درونی اتفاق افتاد: سیم سیم با نخود، برنج و غیره یکسان نیست.

ساختارهای داده و پروتکل های شناسایی و احراز هویت کاربر را در نظر بگیرید.

تقریباً هر حامل اطلاعات کلیدی که برای شناسایی استفاده می شود با ساختار داده های کاربر زیر مطابقت دارد:

• ID i - شناسه غیرقابل تغییر کاربر i-ام، که آنالوگ نام است و برای شناسایی کاربر استفاده می شود.
• K i - اطلاعات احراز هویت کاربر، که می تواند تغییر کند و برای احراز هویت استفاده می شود (به عنوان مثال، رمز عبور P i = K i).

بنابراین برای حامل از نوع کارت های پلاستیکیشناسه اطلاعات غیرقابل تغییر i و یک شی در ساختار فایل نقشه حاوی K i اختصاص داده شده است.

اطلاعات انبوه در حامل کلید را می توان اطلاعات احراز هویت اولیه کاربر i-ام نامید. بدیهی است که شیء احراز هویت داخلی نباید برای مدت طولانی (بیش از زمان یک کاربر خاص) در سیستم وجود داشته باشد. به عنوان مثال، شما رمز عبوری را وارد کرده اید که برنامه احراز هویت آن را در یک متغیر برای مقایسه با رمزهای ذخیره شده در پایگاه داده وارد کرده است. این متغیر باید حداکثر تا زمانی که جلسه خود را پایان می‌دهید بازنشانی شود. برای ذخیره سازی طولانی مدت، باید از داده ها به شکل ایمن استفاده شود.

دو طرح معمولی شناسایی و احراز هویت را در نظر بگیرید.

طرح 1.

در اینجا E i = F(ID i، Ki)، که در آن "بازیابی ناپذیری" Ki با مقداری پیچیدگی آستانه T 0 حل مشکل بازگرداندن K i از E i و ID i تخمین زده می شود. علاوه بر این، برای یک جفت K i و Kj، مقادیر متناظر E ممکن است منطبق باشند. در این راستا، احتمال احراز هویت کاذبکاربران نباید بیشتر از مقدار آستانه P 0 باشند. در عمل، T 0 = 10 20 ...10 30، P 0 = 10 -7 ...10 -9 را تنظیم کنید.

پروتکل شناسایی و احراز هویت (برای طرح 1).

1. مقدار E = F(ID، K) محاسبه می شود.

طرح 2 (اصلاح شده).سیستم کامپیوتری موارد زیر را ذخیره می کند:

در اینجا E i = F(S i، K i)، که در آن S یک بردار تصادفی است که هنگام ایجاد یک شناسه کاربر مشخص شده است. F تابعی است که دارای خاصیت "بازیابی ناپذیری" مقدار K i توسط E i و S i است.

پروتکل شناسایی و احراز هویت (برای طرح 2).

1. کاربر شناسه خود را ارائه می دهد.
2. اگر i = 1...n برای آن ID = ID i وجود داشته باشد، کاربر با موفقیت شناسایی شد. در غیر این صورت کاربر مجاز به کار نیست.
3. بردار S توسط ID اختصاص داده می شود.
4. ماژول احراز هویت از کاربر احراز هویت K خود را می خواهد.
5. مقدار E = F(S, K) محاسبه می شود.
6. اگر E = E i، احراز هویت موفقیت آمیز بود. در غیر این صورت کاربر مجاز به کار نیست.

دومین طرح احراز هویت در OC UNIX استفاده می شود. نام کاربری (درخواست شده توسط Login) به عنوان یک شناسه استفاده می شود، رمز عبور کاربر (درخواست شده توسط رمز عبور) به عنوان یک تأیید کننده استفاده می شود. تابع F الگوریتم رمزگذاری DES است. مراجع برای شناسایی و احراز هویت در فایل Etc/passwd موجود است.

لازم به ذکر است که نیاز ضروریپایداری طرح‌های شناسایی و احراز هویت برای بازیابی اطلاعات Ki یک انتخاب تصادفی هم‌احتمالی از Ki از مجموعه‌ای از مقادیر ممکن است.

ساده ترین روش اعمال رمز عبور بر اساس مقایسه رمز عبور ارائه شده با مقدار اصلی ذخیره شده در حافظه است. اگر مقادیر مطابقت داشته باشند، رمز عبور معتبر و کاربر قانونی در نظر گرفته می شود. رمز عبور باید قبل از ارسال از طریق یک کانال ناامن رمزگذاری شود. اگر مهاجم به نحوی رمز عبور و شماره شناسایی کاربر قانونی را پیدا کند، به سیستم دسترسی پیدا می کند.

به جای فرم باز رمز عبور P، بهتر است نگاشت آن را که با استفاده از تابع یک طرفه f(P) به دست آمده، فوروارد کنید. این تغییر باید تضمین کند که رمز عبور با نمایش آن آشکار نمی شود. بنابراین دشمن با یک مشکل عددی غیرقابل حل مواجه می شود.

به عنوان مثال، تابع f را می توان به صورت زیر تعریف کرد:

f(P) = E P (ID) ,
در جایی که P یک رمز عبور است، ID یک شناسه است، E P یک روش رمزگذاری است که با استفاده از رمز عبور به عنوان کلید انجام می شود.

در عمل رمز عبور از چند حرف تشکیل شده است. اما یک رمز عبور کوتاه در برابر حمله brute-force آسیب پذیر است. برای جلوگیری از چنین حمله ای، تابع f به صورت متفاوت تعریف می شود:

f(P) = E P + K (ID) ,
جایی که K یک کلید است (تبلت حافظه لمسی، کلید USB و غیره)

رویه‌های شناسایی و احراز هویت کاربر را می‌توان نه تنها بر اساس اطلاعات محرمانه‌ای که کاربر دارد (رمز عبور، کلید مخفی، شناسه شخصی و غیره) استوار باشد. اخیراً شناسایی و احراز هویت بیومتریک به طور فزاینده ای گسترش یافته است که این امکان را فراهم می کند تا با اندازه گیری پارامترهای فیزیولوژیکی و ویژگی های یک فرد و ویژگی های رفتار او بتوان با اطمینان یک کاربر بالقوه را شناسایی کرد.

مزایای اصلی روش های بیومتریک شناسایی و احراز هویت:

• درجه بالایی از قابلیت اطمینان شناسایی توسط ویژگی های بیومتریک به دلیل منحصر به فرد بودن آنها.
• جدایی ناپذیری ویژگی های بیومتریک از یک فرد توانمند؛
• دشواری جعل ویژگی های بیومتریک

به عنوان ویژگی های بیومتریک که می تواند برای شناسایی یک کاربر بالقوه مورد استفاده قرار گیرد، از موارد زیر استفاده می شود:

• الگوی عنبیه و شبکیه چشم؛
• اثر انگشت؛
• شکل هندسی دست؛
• شکل و اندازه صورت؛
• ترموگرام صورت؛
• شکل گوش؛
• ویژگی های صوتی؛
• ویژگی های بیومکانیکی یک امضای دست نویس؛
• ویژگی های بیومکانیکی "دست خط صفحه کلید".

هنگام ثبت نام، کاربر باید یک یا چند بار ویژگی های بیومتریک مشخص خود را نشان دهد. این علائم (معروف به معتبر) توسط سیستم به عنوان یک "تصویر" کنترلی کاربر قانونی ثبت می شود. این تصویر کاربر در فرم الکترونیکیو برای تأیید هویت هر کسی که هویت کاربر قانونی مربوطه را جعل می کند استفاده می شود.

سیستم های شناسایی بر اساس الگوی عنبیه و شبکیه چشمرا می توان به دو دسته تقسیم کرد:

• با استفاده از نقاشی عنبیه چشم؛
• با استفاده از کشیدن رگ های خونی شبکیه چشم.

از آنجایی که احتمال تکرار این پارامترها 78-10 است، این سیستم ها در بین تمام سیستم های بیومتریک قابل اعتمادترین هستند. از چنین ابزارهایی برای مثال در ایالات متحده در مناطق نظامی و تجهیزات دفاعی استفاده می شود.

سیستم های شناسایی اثر انگشترایج ترین هستند. یکی از دلایل اصلی استفاده گسترده از چنین سیستم هایی در دسترس بودن پایگاه داده های بزرگ داده های اثر انگشت است. کاربران اصلی چنین سیستم هایی در سراسر جهان پلیس، سازمان های مختلف دولتی و برخی بانک ها هستند.

سیستم های شناسایی بر اساس شکل هندسی دستاز اسکنرهای شکل دستی استفاده کنید که معمولاً روی دیوارها نصب می شوند. لازم به ذکر است که اکثریت قریب به اتفاق کاربران سیستم هایی از این نوع را ترجیح می دهند.

سیستم های تشخیص چهره و صدااز آنجایی که اکثر کامپیوترهای مدرن دارای امکانات صوتی و تصویری هستند، مقرون به صرفه ترین هستند، زیرا هزینه پایینی دارند. سیستم های این کلاس به طور گسترده برای شناسایی از راه دور در شبکه های مخابراتی استفاده می شود.

سیستم های شناسایی مبتنی بر دینامیک امضای دست نویسشدت هر تلاش امضاکننده، ویژگی‌های فرکانس نوشتن هر عنصر امضا و سبک امضا به‌طور کلی را در نظر بگیرید.

سیستم های شناسایی با ویژگی های بیومکانیکی "دست خط صفحه کلید"بر اساس این واقعیت است که لحظات فشار دادن و رها کردن کلیدها هنگام تایپ روی صفحه کلید برای کاربران مختلف به طور قابل توجهی متفاوت است. این ریتم تایپ پویا ("دستخط صفحه کلید") امکان ساخت ابزار شناسایی به اندازه کافی قابل اعتماد را فراهم می کند.

لازم به ذکر است که استفاده از پارامترهای بیومتریک در شناسایی موضوعات دسترسی به سیستم های خودکار هنوز از حمایت قانونی و قانونی کافی به ویژه در قالب استاندارد برخوردار نشده است. بنابراین، استفاده از سیستم های شناسایی بیومتریکفقط در سیستم‌هایی مجاز است که داده‌های شخصی را که اسرار تجاری و رسمی را تشکیل می‌دهند، پردازش و ذخیره می‌کنند.

احراز هویت متقابل کاربر

به طور معمول، طرفینی که وارد مبادله اطلاعات می شوند نیاز به احراز هویت متقابل دارند. این فرآیند در ابتدای یک جلسه ارتباطی انجام می شود.

روش های زیر برای احراز هویت استفاده می شود:

• مکانیزم درخواست-پاسخ؛
• مکانیسم تمبر زمان ("مهر زمانی").

مکانیزم درخواست-پاسخ. اگر کاربر A می خواهد مطمئن شود که پیام هایی که از کاربر B دریافت می کند نادرست نیستند، در پیام ارسال شده به B یک عنصر غیرقابل پیش بینی - درخواست X (مثلاً برخی از عدد تصادفی). هنگام پاسخ دادن، کاربر B باید برخی از عملیات از پیش تعیین شده را روی این عدد انجام دهد (مثلاً مقداری تابع f(X) را محاسبه کنید). این را نمی توان از قبل انجام داد، زیرا کاربر B نمی داند چه عدد تصادفی X در درخواست آمده است. پس از دریافت پاسخ با نتیجه اقدامات B، کاربر A می تواند مطمئن باشد که B واقعی است. عیب این روش امکان ایجاد الگویی بین درخواست و پاسخ است.

مکانیسم مهر زمانیشامل ثبت زمان برای هر پیام است. در این حالت، هر کاربر شبکه می‌تواند تعیین کند که پیام دریافتی چقدر قدیمی است و آن را نپذیرد، زیرا ممکن است نادرست باشد.

در هر دو مورد، رمزگذاری باید برای محافظت از مکانیسم کنترل استفاده شود تا اطمینان حاصل شود که پاسخ توسط مهاجم ارسال نمی شود.

هنگام استفاده از مهر زمانی مشکلی وجود دارد فاصله زمانی تاخیر مجازبرای احراز هویت جلسه از این گذشته ، پیامی با "مهر موقت" در اصل نمی تواند فوراً منتقل شود. علاوه بر این، ساعت های کامپیوتری گیرنده و فرستنده نمی توانند کاملاً همگام شوند.

معمولاً از احراز هویت متقابل استفاده می شود روش دست دادنکه مبتنی بر مکانیسم های فوق است و شامل تأیید متقابل کلیدهای مورد استفاده طرفین است. به عبارت دیگر، در صورتی که طرفین به یکدیگر ثابت کنند که کلیدهای صحیح را در اختیار دارند، یکدیگر را به عنوان شریک قانونی می شناسند. روش "دست دادن" در شبکه های کامپیوتری هنگام سازماندهی ارتباطات بین کاربران، کاربر و کامپیوتر میزبان، بین کامپیوترهای میزبان و غیره استفاده می شود.

به عنوان مثال، روش دست دادن را برای دو کاربر A و B در نظر بگیرید. اجازه دهید از یک سیستم رمزنگاری متقارن استفاده شود. کاربران A و B کلید مخفی یکسانی K AB دارند.

• کاربر A با ارسال شناسه A به کاربر B به صورت متن ساده، "دست دادن" را آغاز می کند.
• کاربر B با دریافت شناسه A، کلید مخفی K AB را در پایگاه داده پیدا کرده و آن را وارد سیستم رمزنگاری خود می کند.
• در همین حال، کاربر A یک دنباله تصادفی S را ایجاد می کند مولد شبه تصادفی PG و آن را به عنوان رمزنگاری E K AB (S) برای کاربر B ارسال می کند.
• کاربر B این رمزنگاری را رمزگشایی می کند و شکل اصلی دنباله S ​​را نشان می دهد.
• سپس هر دو کاربر با استفاده از تابع یک طرفه f، دنباله S ​​را تبدیل می کنند.
• کاربر B پیام f(S) را رمزگذاری می کند و رمزنگاری E K AB (f(S)) را برای کاربر A ارسال می کند.
• در نهایت کاربر A این رمزنگاری را رمزگشایی می کند و پیام دریافتی f "(S) را با f (S) اصلی مقایسه می کند. اگر این پیام ها برابر باشند کاربر A هویت کاربر B را تشخیص می دهد.

کاربر A به همین ترتیب کاربر B را احراز هویت می کند. هر دوی این رویه ها رویه «دست دادن» را تشکیل می دهند که معمولاً در همان ابتدای هر جلسه ارتباطی بین هر دو طرف در شبکه های رایانه ای انجام می شود.

مزیت مدل "handshake" این است که هیچ یک از شرکت کنندگان در ارتباط هیچ اطلاعات محرمانه ای را در طول فرآیند احراز هویت دریافت نمی کنند.

گاهی اوقات کاربران می‌خواهند در طول کل جلسه ارتباط، احراز هویت فرستنده مستمر داشته باشند. بیایید به یکی از ساده ترین روش های احراز هویت پیوسته نگاه کنیم.

برای ارسال پیام M، کاربر A یک رمزنگاری E K (ID A, M) ارسال می کند. گیرنده آن را رمزگشایی می کند و جفت را نشان می دهد (ID A, M). اگر شناسه A دریافتی با شناسه ذخیره شده مطابقت داشته باشد، گیرنده پیام را در نظر می گیرد.

به جای شناسه ها می توانید استفاده کنید رمزهای عبور مخفیکه از قبل تهیه شده و برای طرفین معلوم است. ادامه: پروتکل های شناسایی دانش صفر

ادبیات

1. Romanets Yu.V.، Timofeev P.A.، Shangin V.F. حفاظت از اطلاعات در سیستم ها و شبکه های کامپیوتری. اد. V.F. شانگین. - ویرایش دوم، تجدید نظر شده. و اضافی - م.: رادیو و ارتباطات، 1380. - 376 ص: بد.