logo
Лекции / Малов / Другие сети от другого Малова / 09) аутентификация

1.6. Метод «запрос-ответ»

Решение многих задач разграничения доступа основано на методе «запрос-ответ».

Смысл метода заключается в следующем.

Запрашивающий генерирует некоторое слу-

чайное число и передает его противополож-

ной стороне. Ответ в виде криптографиче-

ского преобразования заданного числа ис-

пользуется для принятия решения о пре-

доставлении доступа. Например, управле-

Рис. IX.7.

ние доступом в компьютер может осуще-

ствляться следующим образом. На первом

шаге в ответ на запрос компьютера (login)

пользователь вводит свое имя, далее ком-

пьютер. проверив полномочия доступа на

уровне списка имен, выдает запрос в виде

семизначного числа. На втором шаге пользователь вводит запрос и секретный PIN-код в

персональное устройство. Преобразование сводится к конкатенации запроса и PIN-кода с по-

следующим шифрованием на секретном ключе устройства. На третьем шаге в ответ на запрос

компьютера (password) пользователь вводит первые семь цифр результата шифрования.

Критерием для при­нятия решения о предоставлении доступа явля­ется совпадение введен­ного семизначного паро­ля и числа, хранящегося в таблицах доступа ком­пьютера.

Метод «запрос-ответ» гарантирует надежную защиту от несанкциони­рованного воспроизведе­ния. Недостаток мето­да — усложнение протокола обмена между ле­гальным пользователем и проверяющим.

Еще раз обратимся к

схеме защиты от несанкционированного воспроизведения (рис. IX.5). При реализации схемы возникает две важные проблемы. Первая связана с синхронизацией одноразовых чисел t, вто­рая — с проверкой уникальности одноразовых чисел. Метод «запрос-ответ» позволяет решить обе проблемы. Смысл в том, что запрос в виде уникального значения формируется проверя­ющим и затем передается легальному пользователю. Логика протокола проиллюстрирована на рис. IX.7.

Функции пользователя также могут быть реализованы на основе персонального вычисли­тельного устройства. Аналогично схеме на рис. IX.6 дополнительный уровень безопасности может быть обеспечен за счет секретного ключа key.

В результате схема управления доступом по методу «запрос-ответ» совпадает со схемой на рис. IX.6, отличие лишь в том, что вместо одноразового числа t на вход из подается за­прос chall от проверяющего (рис. IX.8). После ввода пароля р' и запроса cha.ll портативное устройство вычисляет и выводит на дисплей значение г', которое затем передается проверя­ющему. Таким образом, механизм генерирования запросов chall (по сути одноразовых чисел) в подобных схемах находится в руках проверяющего и полностью им контролируется.