Ж у р н а л   о   к о м п ь ю т е р н ы х   с е т я х   и   т е л е к о м м у н и к а ц и о н н ы х   т е х н о л о г и я х
СЕТИ И СИСТЕМЫ СВЯЗИ on-line
  ПОИСК: ПОДПИСКА НА НОВОСТИ: НОМЕР:
    ДОМОЙ • Архив: Новостей | Конференций | НомеровПодписка
 
   
 
   
    
РЕДАКЦИЯ
 
Все о журнале
Подписка
Как проехать
Где купить
Отдел рекламы
График выхода журнала
Адреса в Интернет

РУБРИКАТОР
   
• Инфраструктура
• Информационные
   системы

• Сети связи
• Защита данных
• Кабельные системы
• Бизнес
• Колонка редактора
• Электронная
   коммерция

• Только на сервере
• Системы
   учрежденческой
   связи

• Новые продукты


Rambler's Top100

  

Аутентификация - основа безопасности

Майк Фратто

Вечером выйдя с работы, вы находите свою машину там, где оставили ее утром. Вы даже не подозреваете о том, что ваши друзья в шутку перекатили было ее на другое место, но, вспомнив вашу реакцию на последний розыгрыш, поспешили вернуть туда, где она стояла. И вот вы подходите к своей машине, и видите, что вроде бы все в порядке, — в конце концов, что могло случиться, ведь ключи от нее весь день были у вас. Привычные ожидания не обманули вас, и вы спокойненько катите к себе домой. Вот вам пример того, как мы воспринимаем действительность.

Теперь давайте выберем наугад какую-нибудь учетную запись пользователя из вашего домена Windows NT или справочника Active Directory и посмотрим, когда этот пользователь последний раз регистрировался в системе (если вы не ведете журнал регистраций, отложите статью в сторону и немедленно займитесь этим). Попытайтесь, не сходя с рабочего места, выяснить, был ли данный идентификатор (ID) использован именно тем человеком, которому он присвоен. А вы вообще уверены в том, что именно Джо Боб пользуется идентификатором jbob?

Если этот Джо Боб — пользователь, не имеющий прав доступа к конфиденциальной информации, например к такой, как содержимое бизнес-планов, базы данных (БД) финансового и кадрового учетов и т. п., вопрос, действительно ли пользователь jbob — тот самый Джо Боб, должен не слишком волновать вас. Но, если м-р Боб имеет права на внесение изменений в корпоративные данные, на доступ к записям БД отдела кадров или на управление финансами, — дело уже совсем другое. Уверенность в том, что ваши пользователи — именно те, за кого они себя выдают, — вот в чем заключена цель аутентификации.

Полную версию данной статьи смотрите в 13-ом номере журнала за 2002 год.

Триптих AAA

Мы уже не раз говорили и повторяем вновь: вам никогда не достичь абсолютной безопасности вашей сети. Лучшее, на что вы можете рассчитывать, так это на то, что ваша стратегия безопасности минимизирует риск атаки, а при нанесении удара ущерб будет не слишком велик. Существует масса специализированных продуктов, ставящих преграды на пути возможных направлений атаки. Межсетевые экраны, виртуальные частные сети, SSL-шифрование, системы обнаружения вторжений, антивирусные сканеры — все они призваны перекрывать подступы к сети. В частности, шифрование защищает данные в процессе их хранения и при передаче. Но ни одна из этих технологий не гарантирует вам пропуск только авторизованных пользователей и только туда, куда их следует пропускать. Сначала должна осуществляться аутентификация (Authentication), а чтобы, так сказать, замкнуть круг, потребуются еще управление доступом (Access Control) и учет использования ресурсов (Accounting).

Управление доступом и учет использования ресурсов возможны только при условии обеспечения аутентификации. Но если нет в наличии всех трех составляющих, то невозможно реализовать политику безопасности, устанавливающую правила разграничения доступа. Аутентификация, т. е. соотнесение идентификатора пользователя с конкретным человеком, — это базовая составляющая политики безопасности. Если вы не будете уверены в том, что пользователь действительно является тем, за кого себя выдает, все ваши усилия по управлению доступом и учету использования ресурсов теряют смысл.

Вот примеры трех базовых атрибутов, в той или иной мере достаточных для аутентификации пользователя:

· нечто, известное пользователю, например пароль или PIN-код;

· нечто, имеющееся у пользователя, например жетон или смарт-карта;

· нечто, присущее пользователю, т. е. какие-то его биометрические характеристики.

Без аутентификации управление доступом даст вам ответы только на следующие вопросы: куда направляется и откуда приходит пользователь? к каким службам пытается получить доступ? Но вы не получите ответа на вопрос: кто он такой? Управление доступом на базе аутентификации пользователей восполняет этот пробел и ужесточает режим доступа к ресурсам и опциям управляющих приложений, учитывая, в частности, должность данного пользователя или его принадлежность к той или иной группе.

В процессе учета использования ресурсов генерируется ретроспективный листинг, в котором отмечается, кто и когда прошел аутентификацию, а в некоторых случаях указывается и продолжительность сеанса. Учету подлежат также и неудачные попытки регистрации. Термины “аудит” и “учет”, которые часто путают, имеют разное значение. При учете идет простое фиксирование информации о входе пользователя в систему (login), тогда как при аудите к этой информации добавляются данные о том, что пользователь делал на протяжении всего сеанса работы в системе, т. е. как бы фиксируется оставленный им “след”, который затем может быть реконструирован. Можно организовать учет использования ресурсов без аудита, но не наоборот.

Все дело в риске

У всех трех перечисленных выше главных атрибутов аутентификации (Authenticators) есть свои сильные и слабые стороны. Попробуем сделать некое обобщение о надежности каждого из них, исходя из сложности имитации легального пользователя. Чем больше гарантий дает нам система аутентификации, тем меньше риск взлома учетной записи пользователя, что, в свою очередь, снижает совокупный риск атаки. Обеспечение таких гарантий требует надлежащего применения технологии, а также тщательной разработки правил аутентификации и их неукоснительного соблюдения.

Давайте рассмотрим в этом смысле методы аутентификации с применением паролей, биометрики и жетонов. Каждый из этих методов обладает своим уровнем защиты. Пароли считаются слабой защитой, так как ими можно обмениваться и их можно украсть; сложные правила их создания практически не поддаются принудительному воспроизведению, а современные браузеры снабжены таким “удобством”, как опция запоминания паролей пользователей.

И хотя делаются попытки усилить парольную защиту, запрещая использование в качестве паролей обычных слов, пользователи проявляют завидную изобретательность в поисках “обходных” путей.

В процессе взлома атакующий может “перебирать” все пространство паролей (password space), но ему гораздо эффективнее воспользоваться для этого словарем, ведь число слов в нем и число их вариаций ограниченны. Например, если вы требуете, чтобы пользователи помимо букв вставляли в свои пароли цифры и специальные символы, то можете быть уверены в том, что многие пароли будут представлять собой словарные слова, в которых вместо букв “I” и “L” вставлены “1” или “!”, а вместо буквы “a” — символ “@”. Программы — взломщики паролей, такие, как Crack или John the Ripper, эффективно взламывают пароли, используя проверку самых распространенных буквенных подстановок.

Имейте в виду, что, требуя от пользователей применения более сложных паролей, вы необязательно делаете парольную защиту надежнее. Как показывает опыт, такое требование только вызовет недовольство пользователей, и они быстренько запишут все эти “неудобоваримые” пароли в свои блокноты. Вам следует искать компромисс между сложностью самих паролей и удобством их использования вашими пользователями. А вообще говоря, зачем стараться подбирать пароли, куда как проще перехватить их из трафика, выудить из кэша браузера и, наконец, просто подглядеть где-нибудь.

Биометрика может обеспечить более надежную аутентификацию, ведь биометрические характеристики неотчуждаемы, если только вы не получите серьезного телесного повреждения, их нельзя украсть или воспользоваться ими без вашего согласия. Однако качество биометрической аутентификации зависит от аппаратуры — ведь считыватели биометрики можно обмануть с помощью подделок и муляжей. Кроме того, биометрическая аутентификация часто применяется только для локального доступа, например для регистрации на рабочей станции или сервере.

Жетоны гарантируют более надежную защиту за счет того, что при аутентификации пользователь не только должен иметь при себе жетон, но обязан знать еще и PIN-код, чтобы иметь возможность зарегистрироваться в системе. Поэтому жетоны часто называют “двухфакторной” защитой. И хотя PIN-код тоже можно перехватить (например, подглядеть), без жетона он бесполезен. Поскольку жетоны пользователям приходится носить с собой, они могут быть утеряны или украдены, но их можно достаточно быстро заблокировать на сервере аутентификации.

Имеются и другие устройства аутентификации. Это радиосистемы ближнего действия (Proximity Radio Systems), способные обнаружить наличие идентификационного жетона (badge) в определенном месте и произвести аутентификацию пользователя; пакеты аутентификации, использующие “картинки” вместо паролей, например Passface компании Real User, цифровые сертификаты, подпадающие под категорию “нечто, имеющееся у вас”. Проблема в том, что любую из этих систем можно взломать без особых усилий (и для этого не нужно “бороться” с технологией, достаточно задействовать человеческий фактор), следовательно, требования аутентификации для каждого пользователя должны зависеть от степени конфиденциальности или ценности доступных ему ресурсов.

Процедуру регистрации в системе можно ужесточить, потребовав многофакторную аутентификацию. Это повысит уверенность в том, что пользователь является действительно тем, за кого себя выдает, увеличит стоимость и сложность потенциальной сетевой атаки. Сильные стороны разных методов аутентификации могут дополнять друг друга, при этом любые два метода не должны использовать одни и те же данные. Например, применение комбинации паролей с жетонами означает, что взломщик, пытающийся выдать себя за легального пользователя, должен заполучить пароль, жетон и PIN-код к жетону, а это сделать значительно труднее, чем просто перехватить пароль. Однако если у пользователя пароль совпадает с PIN-кодом жетона, то надежность комбинированной аутентификации значительно ослабляется. Если же взломщик украл жетон пользователя, он может успеть воспользоваться им до того, как правомочный владелец обнаружит пропажу и заблокирует жетон.

Управляем рисками

Политика безопасности определяет допустимые формы аутентификации в зависимости от множества факторов, включая профиль пользователя, ресурсы, их местоположение и время суток. При многоуровневой аутентификации могут быть затребованы разные данные, удостоверяющие личность данного пользователя, все зависит от того, кем является последний и к чему пытается получить доступ. Для проверки пользователем содержимого своего почтового ящика, в том числе и в удаленном режиме, может быть вполне достаточно и пароля, но прежде чем администратор начнет переконфигурировать сеть, ему придется предъявить более надежные доказательства своих полномочий, например жетон SafeWord компании Secure Computing или жетон SecurID компании RSA Security.

Если вы хотите реализовать многоуровневую аутентификацию, то для этого вам потребуются унифицированные правила. Поскольку соблюдение единой политики на всех системах без исключения жизненно важно, унифицировав ее, вы упростите управление ею — ведь из правил такой политики не будет исключений или их будет немного. И уже, исходя из этой политики, вам надо будет приобретать продукты и заказывать разработки. Если правилами вашей политики предписано, что пароли должны содержать более восьми символов и состоять как из строчных, так и из прописных букв, знаков препинания и цифр, то приобретаемые или разрабатываемые продукты обязаны соответствовать этим требованиям.

Вы диктуете политику...

Само собой разумеется, что вы должны защитить свои системы аутентификации от взлома и саботажа. Хотя это и очевидно, но пренебрежение прописными истинами часто приводит к катастрофам. При выработке политики аутентификации необходимо исходить из особенностей не только хранящихся у вас данных, но и учитывать должностные функции работающих у вас людей.

Начните с определения ценности тех ресурсов, к которым будут иметь доступ пользователи. При их оценке учтите потенциальные денежные потери и иные убытки, возникающие в случае доступа к данным неавторизованных лиц. Чем выше ценность ресурсов и чем больше вероятность успеха атаки посредством имитации легального пользователя, тем строже должна быть процедура аутентификации.

Следует оценить и человеческий фактор, т. е. кому и к какой информации бывает нужен доступ, а также когда именно? Разбейте пользователей на группы, либо назначьте им роли, предусматривающие общие требования аутентификации. Не должно быть ни одного человека, который имел бы уникальные требования аутентификации. В каждой группе должно находиться не менее двух пользователей. Разбив пользователей на группы, можно начинать выстраивать политику аутентификации, исходя из того, кто и к чему именно должен иметь доступ.

...а они ее нарушают!

Одно дело — выработка политики аутентификации, и совсем другое — ее реализация и управление ею.

Многие организации довольствуются механизмами аутентификации, входящими в их операционные системы и приложения. В некоторых случаях эти механизмы консолидируются посредством метасправочников (metadirectories) или ПО единой регистрации (Single Sign-On — SSO), либо посредством приложений, использующих существующие справочники (user directories). Однако для интеграции разнообразных продуктов со службами справочника требуется слишком много усилий.

Самым распространенным механизмом аутентификации являются пароли, поскольку они дешевы, привычны и доступны. Но сложность паролей сильно варьируется от приложения к приложению. Более надежная аутентификация достигается при использовании жетонов или биометрических методов, либо при комбинировании разных методов.

Хорошо известно, что, чем, надежнее система аутентификации, тем лучше, и что инвестирование в безопасность приносит свои плоды. Например, внедрение надежной аутентификации создает прочный фундамент для построения систем управления доступом к вашим ресурсам как внешних, так и внутренних пользователей. Однако вряд ли вы сможете ратовать за улучшение системы аутентификации, оперируя коэффициентом окупаемости инвестиций. Окупаемость в денежном выражении можно определить только в случае предотвращения кражи. Протестированные нами специализированные средства (см. статью “PremierAccess впереди всех” в этом же номере) гарантируют вам, что пользователи всех уровней допуска будут должным образом аутентифицированы. Только в этом случае вам удастся уменьшить вероятность неавторизованного доступа к закрытым корпоративным ресурсам.





  
13 '2002
СОДЕРЖАНИЕ

бизнес

• Большая сеть и большие перемены

• Интеграция с неограниченной расширяемостью

локальные сети

• Маркировать СКС становится проще

• Кабельные системы категории 6 и оборудование Gigabit Ethernet

• Оптические сети - это доступно всем

• Сетевые адаптеры Gigabit Ethernet с обработкой трафика TCP/IP

корпоративные сети

• XML приручает информационный хаос

• Радиосистемы типа “точка—точка”

• SAN против NAS - следующий раунд

услуги сетей связи

• Прольем свет на оптические сети

• Как нести бродбэнд в массы?

защита данных

• Защитите свой IP-телефон

• Аутентификация - основа безопасности

• PremierAccess впереди всех

• ИБП-гиганты

новые продукты

• Новые коммутаторы HardLink -- менее 9 долл. за порт!; Радиорелейные станции Altium MX


• Калейдоскоп



 Copyright © 1997-2007 ООО "Сети и Системы Связи". Тел. (495) 234-53-21. Факс (495) 974-7110. вверх