1.6. Метод «запрос-ответ»
Решение многих задач разграничения доступа основано на методе «запрос-ответ».
Запрашивающий генерирует некоторое слу-
чайное число и передает его противополож-
ной стороне. Ответ в виде криптографиче-
ского преобразования заданного числа ис-
пользуется для принятия решения о пре-
доставлении доступа. Например, управле-
Рис. IX.7.
шаге в ответ на запрос компьютера (login)
пользователь вводит свое имя, далее ком-
пьютер. проверив полномочия доступа на
уровне списка имен, выдает запрос в виде
семизначного числа. На втором шаге пользователь вводит запрос и секретный PIN-код в
персональное устройство. Преобразование сводится к конкатенации запроса и PIN-кода с по-
следующим шифрованием на секретном ключе устройства. На третьем шаге в ответ на запрос
компьютера (password) пользователь вводит первые семь цифр результата шифрования.
Метод «запрос-ответ» гарантирует надежную защиту от несанкционированного воспроизведения. Недостаток метода — усложнение протокола обмена между легальным пользователем и проверяющим.
Еще раз обратимся к
схеме защиты от несанкционированного воспроизведения (рис. IX.5). При реализации схемы возникает две важные проблемы. Первая связана с синхронизацией одноразовых чисел t, вторая — с проверкой уникальности одноразовых чисел. Метод «запрос-ответ» позволяет решить обе проблемы. Смысл в том, что запрос в виде уникального значения формируется проверяющим и затем передается легальному пользователю. Логика протокола проиллюстрирована на рис. IX.7.
Функции пользователя также могут быть реализованы на основе персонального вычислительного устройства. Аналогично схеме на рис. IX.6 дополнительный уровень безопасности может быть обеспечен за счет секретного ключа key.
В результате схема управления доступом по методу «запрос-ответ» совпадает со схемой на рис. IX.6, отличие лишь в том, что вместо одноразового числа t на вход из подается запрос chall от проверяющего (рис. IX.8). После ввода пароля р' и запроса cha.ll портативное устройство вычисляет и выводит на дисплей значение г', которое затем передается проверяющему. Таким образом, механизм генерирования запросов chall (по сути одноразовых чисел) в подобных схемах находится в руках проверяющего и полностью им контролируется.
- 1. Пароли
- 1.1. Противодействие раскрытию и угадыванию пароля
- 1.2. Противодействие пассивному перехвату
- 1.3. Защита при компрометации проверяющего
- 1.4. Противодействие несанкционированному воспроизведению
- 1.5. Одноразовые пароли
- 1.6. Метод «запрос-ответ»
- 2. Биометрические методы
- 3. Криптографические методы аутентификации
- 3.1. Аутентификация в режиме on-line
- 3.1.1. Протокол 1. Симметричная криптосистема
- 3.1.2. Протокол 2. Асимметричная криптосистема
- 3.2. Аутентификация при участии нескольких серверов
- 3.3. Организация серверов аутентификации
- 3.4. Аутентификация в режиме off-line
- 3.4.1. Протокол на основе симметричной криптосистемы
- 3.4.2. Протокол на основе асимметричной криптосистемы
- 3.5. Аутентификация с привлечением арбитра
- 3.5.1. Протокол 3. Симметричная криптосистема
- 3.5.2. Протокол 4. Асимметричная криптосистема
- 4. Анализ протоколов аутентификации
- 4.1. Протокол с сервером аутентификации
- 4.2. Протокол «запрос-ответ»
- 4.3. Протоколы на основе асимметричных криптосистем
- 4.4. Протокол с «двуликим Янусом»
- 4.5. Протокол стандарта х.509
- 4.6. Протокол для сетей подвижной радиосвязи
- 4.7. Анализ протоколов ssh и ака
- 5. В an-логика
- 6. Протокол Kerberos
- 6.1. Модель Kerberos
- 6.2. Этапы протокола Kerberos
- 6.3. Атрибуты
- 6.4. Сообщения Kerberos версии 5
- 6.5. Получение первоначального мандата
- 6.6. Получение мандатов прикладных серверов
- 6.7. Запрос услуги
- 6.8. Kerberos версии 4
- 6.9. Безопасность Kerberos