Многофакторная аутентификация. Криптографические токены. Криптографические устройства. Биометрическая аутентификация

Парольная аутентификация
Одной из наиболее распространенных схем аутентификации является простая аутентификация, основанная на использовании традиционных множественных паролей. Простую процедуру аутентификации пользователя в сети можно представить следующим образом. Когда пользователь пытается использовать сеть, он вводит свой идентификатор и пароль на клавиатуре компьютера. Эта информация отправляется на сервер аутентификации для обработки. В базе данных находится ссылка для идентификатора пользователя, хранящегося на сервере аутентификации, с которого определяется пароль и сравнивается с паролем, введенным пользователем. Если они совпадают, аутентификация считается успешной, и пользователь получает правовой статус и доступ к правам и сетевым ресурсам, определенным для его статуса через систему авторизации.
Простая схема аутентификации с использованием пароля показана на рисунке 9.1.
Очевидно, что вариант аутентификации путем передачи пароля пользователя без шифрования не гарантирует даже минимального уровня безопасности. Чтобы защитить пароль, его необходимо зашифровать перед передачей по незащищенному каналу. Для этого в схему включены средства шифрования Single и дешифрования Dk.

Эти инструменты управляются общим секретным ключом K. Аутентификация пользователя основана на сравнении начального значения, хранящегося на сервере аутентификации, с паролем PA, отправленным пользователем. Если PA и значения совпадают, пароль PA действителен, а пользователь A действителен.
Простые схемы аутентификации различаются не только передачей паролей, но и видами их хранения и проверки. Самый распространенный метод - хранить пароли пользователей в системных файлах в открытом состоянии. Это устанавливает атрибуты защиты от чтения и записи для файлов (например, описывая соответствующие привилегии в контрольном списке использования операционной системы). Система сравнивает пароль, введенный пользователем, с записью, хранящейся в файле паролей. Этот метод не использует криптографические механизмы, такие как шифрование или односторонние функции. Недостатком этого метода является то, что злоумышленник имеет доступ к системным привилегиям, а также к системным файлам, включая файлы паролей.
Устойчивость простой системы аутентификации, основанной на нескольких паролях, невысока, поскольку информация для аутентификации собирается из относительно небольшого набора значащих слов. Срок действия нескольких паролей должен быть установлен в политике безопасности организации, и такие пароли следует регулярно менять. Пароли следует выбирать так, чтобы их не было в словаре и их было сложно найти.
Для каждого запроса используются разные пароли, которые используются для аутентификации на основе одноразовых паролей. Одноразовый динамический пароль действителен только для одноразового использования системы. Если, даже если кто-то его поймает, пароль не сработает. Обычно для проверки удаленных пользователей используется система аутентификации на основе одноразового пароля.
Генерация одноразовых паролей может производиться аппаратным или программным способом. Одноразовые пароли используют внешние микропроцессорные миниатюрные устройства, похожие на пластиковые платежные карты. Эти карты, обычно называемые клавишами, имеют клавиатуру и небольшое окно дисплея.
Вот несколько способов использования одноразовых паролей для аутентификации пользователей:
1. Используйте механизм отметок времени, основанный на единой системе времени.
2. Используйте список случайных паролей, общих для легального пользователя и программы проверки, и их надежный механизм синхронизации.
3. Используйте генератор псевдослучайных чисел с тем же начальным значением, которое является общим как для пользователя, так и для контроллера.
Примером первого метода является технология аутентификации SecurID. Технология была разработана Security Dynamics и внедрена на серверах ряда компаний, в том числе Cisco Systems.
Схема аутентификации с использованием временной синхронизации основана на алгоритме, который генерирует случайные числа через определенный период времени. Схема аутентификации использует следующие два параметра:
• уникальный 64-битный секретный ключ, назначаемый каждому пользователю и хранящийся на сервере аутентификации, а также в аппаратном ключе пользователя;
• Сервер отслеживает код, сгенерированный определенным аппаратным ключом, и при необходимости адаптируется к этому ключу.
Проблема с этой схемой аутентификации. Устройство представляет собой настоящий пароль на небольшой промежуток времени, генерируемый случайным количеством ключей. Поэтому, как правило, может возникнуть краткосрочная ситуация, когда хакер может перехватить PIN-код и использовать его для доступа к сети. Это самое слабое место в схеме аутентификации, основанной на временной синхронизации.
Биометрическая идентификация и аутентификация пользователей
В последнее время все большее распространение получает биометрическая аутентификация, которая позволяет надежно аутентифицировать пользователя путем измерения физиологических параметров и характеристик человека, поведенческих характеристик.
Методы биометрической аутентификации имеют следующие преимущества перед традиционными методами:
- высокий уровень надежности аутентификации за счет редкости биометрических характеристик;
- неотделимость биометрических знаков от здорового человека;
- Сложность подделки биометрических знаков.
Биометрические алгоритмы, которые активно используются при аутентификации пользователей:
• отпечатки пальцев;
• геометрическая форма кисти руки;
• форма и размер лица;
• звуковые особенности;
• Рисунок глазного яблока и сетчатки.
С точки зрения потребителя система биометрической аутентификации характеризуется двумя параметрами:
• коэффициент отклонения ошибок FRR (коэффициент ложного отклонения);
• FAR (частота ложных срабатываний).
Отказ от ошибки возникает, когда система не проверяет личность законного пользователя (обычно значение FRR составляет примерно один из 100). Подтверждение ошибки
происходит, когда система проверяет личность незаконного пользователя (обычно значение FAP составляет примерно один из 10 000). Эти два коэффициента связаны друг с другом: каждый из коэффициентов отрицания ошибки соответствует определенному коэффициенту подтверждения ошибки. В идеальной биометрической системе оба параметра обеих ошибок должны быть равны нулю. К сожалению, биометрическая система не идеальна, поэтому приходится чем-то жертвовать. Обычно параметры системы настраиваются таким образом, чтобы достичь желаемого коэффициента утверждения ошибок, который определяет соответствующий коэффициент отрицания ошибок.
Контрольные вопросы
1. Опишите аутентификацию, идентификацию и авторизацию и приведите примеры.
2. Каковы основания для подтверждения подлинности предмета?
3. Объясните типы процессов аутентификации?
4. Каковы основные атаки на протоколы аутентификации и как их устранить?
5. Аутентификация на основе пароля.
6. Как можно использовать одноразовые пароли для аутентификации?
7. Каковы преимущества методов биометрической аутентификации?