13.2. Средства опознания и разграничения доступа к информации

Для того чтобы обеспечить безопасность информационных ресурсов, устранить возможность несанкционированного доступа, усилить контроль за санкционированным доступом к конфиденциальной либо к подлежащей засекречиванию информации, внедряются различные системы опознавания, установления подлинности субъекта (объекта) и разграничения доступа. В основу построения подобных систем закладывается принцип допуска и выполнения только таких обращений к информации, в которых присутствуют соответствующие признаки разрешенных полномочий.

Одним из механизмов обеспечения безопасности информации в информационных системах является механизм контроля доступа, осуществляющий проверку полномочий объектов информационной системы (программ и пользователей) на доступ к ресурсам сети. В основе контроля доступа к данным лежит система разграничения доступа специалистов к защищаемой информации.

Реализация систем разграничения доступа представляет собой программу, которая должна закрыть все входы в операционную систему, как стандартные, так и всевозможные нестандартные. Запуск системы разграничения доступа осуществляется на стадии загрузки операционной системы, после чего вход в систему и доступ к ресурсам возможен только через систему разграничения доступа. Кроме этого, система разграничения доступа содержит ряд автономных утилит, которые позволяют настраивать систему и управлять процессом разграничения доступа.

Система разграничения доступа контролирует действия субъектов доступа по отношению к объектам доступа и, на основании правил разграничения доступа, может разрешать и запрещать требуемые действия.

Для успешного функционирования системы разграничения доступа в информационных технологиях решаются следующие задачи:

• невозможность обхода системы разграничения доступа действиями, находящимися в рамках выбранной модели;

• гарантированная идентификация специалиста информационной технологии, осуществляющего доступ к данным (аутентификация пользователя).

Основными понятиями в этой системе являются идентификация и аутентификация.

Идентификация – это присвоение какому-либо объекту или субъекту уникального имени или образа.

Аутентификация – это установление подлинности, т.е. проверка, является ли объект (субъект) действительно тем, за кого себя выдает. Механизмы аутентификации подразделяются на одностороннюю и взаимную аутентификацию. При использовании односторонней аутентификации один из взаимодействующих объектов проверяет подлинность другого. Во втором случае – проверка является взаимной.

К объектам идентификации и аутентификации относятся:

• люди (пользователи, операторы и др.);

• технические средства (мониторы, рабочие станции, абонентские пункты);

• документы (распечатки, рукописные и др.);

• внешние магнитные носители информации;

• внутрикомпьютерные информационные ресурсы и др.

Конечная цель процедур идентификации и аутентификации объекта (субъекта) – допуск его к информации в случае положительного результата проверки либо отказ в допуске в случае отрицательного исхода проверки.

Можно выделить следующие методы аутентификации:

• метод вопрос-ответ. Пользователь при входе отвечает на m ориентированных и n стандартных вопросов. Стандартные вопросы не касаются пользователя и вводятся в систему заранее;

• метод секретного алгоритма. Система выдает случайное число. Пользователь, зная секретный алгоритм, сообщает системе результаты вычислений по алгоритму;

• метод пароля и его модификация. Это один из наиболее распространенных методов аутентификации – присвоение лицу или другому имени пароля и хранение его значения в вычислительной системе.

Пароль – это совокупность символов, определяющих объект (субъект).

Пароль вводится пользователем в начале работы с компьютерной системой, а иногда в конце сеанса (в особо ответственных случаях пароль нормального выхода может отличаться от входного). Для усиления подтверждения правомочности пользователя можно предусмотреть ввод пароля через определенные промежутки времени.

При выборе пароля возникают вопросы о его размере, стойкости к несанкционированному подбору, способам применения. Чем больше длина пароля, тем сложнее его угадать. Выбор длины пароля во многом зависит от возможностей технических средств (их элементной базы и быстродействия). Например: для распознавания четырехзначного десятичного числа, компьютеру нужно перебрать числа от 0000 до 9999, т.е. 9999 комбинаций. Четырехзначный пароль, в котором применяются цифровые символы и 26 букв латинского алфавита (т. е. всего 36 возможных знаков), требует более трудоемкого процесса распознавания, потому что он допускает 364 уникальных комбинаций. Увеличивая длину пароля и число используемых символов, можно увеличить число возможных комбинаций, повысив время, которое потребуется на взлом пароля. Для усиления подтверждения правомочности пользователя можно предусмотреть ввод пароля через определенные промежутки времени. Надежность пароля значительно повышается, если разделить пароль на две части: одна состоит из комбинации чисел, легко запоминаемой пользователем, другая содержит количество знаков, определяемое требованиями к защите и возможностями технической реализации системы. Вторая часть хранится на специальном физическом носителе, устанавливаемом пользователем в считывающее устройство.

Учитывая важность пароля, рекомендуется соблюдать следующие меры предосторожности:

• периодически менять пароль;

• применять сочетание символов верхнего и нижнего регистров клавиатуры;

• использовать комбинации из двух простых слов, соединенных специальными символами, например, "+";

• не хранить пароли в вычислительной системе в незашифрованном виде;

• не печатать и не отображать пароли в явном виде на мониторе;

• не использовать в качестве пароля личную информацию (свое имя или имена родственников, дату рождения, номер телефона, номер машины и др.).

Для идентификации пользователей применяются сложные системы, обеспечивающие установление подлинности пользователя на основе анализа его индивидуальных параметров: отпечатков пальцев, геометрии руки, радужной оболочки глаз, особенностям речи, тембра голоса, ритму работы на клавиатуре и др.

Широкое распространение получили физические методы идентификации с использованием носителей кодов паролей: пропусков; пластиковых карточек с кодом владельца и подписью; пластиковых карточек с магнитной полосой, содержащей информацию, которая считывается специальным считывающим устройством (карточки для банкоматов и пр.); пластиковых карточек со встроенной микросхемой и др.

Одно из современных направлений обеспечения безопасности информации – идентификация и установление подлинности документов на основе электронной цифровой подписи.