Парольные системы аутентификации

ВВЕДЕНИЕ

Пароли традиционно являются наиболее распространенным и
доступным средством аутентификации. Современные веб-ресурсы содержат
в себе множество функционала, который по-разному доступен различным
пользователям. Основной вопрос заключается в следующем: как обеспечить,
чтобы система узнавала пользователей и в соответствии с результатом
распознавания – предоставляла им тот или иной функционал. Для
пользователей это один из самых удобных вариантов, который, к тому же, не
требует наличия какого-либо дополнительного оборудования или
специальных навыков. Все что требуется - это придумать и запомнить
стойкий пароль (или несколько паролей).
Кажется, это совсем не сложно, но, к сожалению, суровая реальность
вносит свои коррективы в этот процесс. Безопасность процедуры входа для
пользователей во многом определяет защищенность информационной
системы в целом.

1 Сущность и способы парольной системы

Аутентификация – процедура проверки подлинности входящего в
систему субъекта, предъявившего свой идентификатор. В любой системе
аутентификации обычно можно выделить элементы:
 субъект, проходящий процедуру аутентификации
 характеристика субъекта — отличительная черта
 хозяин системы аутентификации, несущий ответственность и
контролирующий её работу
 сам механизм аутентификации, то есть принцип работы системы
 механизм, предоставляющий или лишающий субъекта
определенных прав доступа.
Субъект может подтвердить свою подлинность, предъявив, один из
следующих аутентификаторов:
1. аутентификация на основе «субъект знает» –претендент обладает
информацией, которой нет y других объектов компьютерной системы
(пароль, персональный идентификационный номер, секретный ключ). Эту
информацию субъект демонстрирует в протоколах типа «запрос – ответ».
2. аутентификация на основе «субъект обладает» – претендент
имеет некий физический предмет (магнитную карту, интеллектуальную
карту, генератор паролей), который выполняет для него криптографические
преобразования информации;
3. Аутентификация на основе «субъект есть» – проверяются
некоторые биометрические данные человека – голос, радужная оболочка
глаза, отпечатки пальцев и др.). Фактор аутентификации – определенный вид
информации, предоставляемый субъектом системе пр его аутентификации.
Если в процессе аутентификации используется только один способ
аутентификации, то она называется однофакторной аутентификацией, а если
несколько – то многофакторной.

Для идентификации средствами криптографии все эти три метода
аутентификации могут быть сведены к одному – к аутентификации на основе
владения какой-либо информацией. Действительно, любые биометрические
данные или информация, заключенная на физическом носителе, могут быть
преобразованы в уникальный ключ (при идентификации при помощи
криптографической системы или протокола) или пароль (при
аутентификации или идентификации парольными схемами), который будет
однозначно определять субъекта.
Протокол аутентификации – криптографический протокол, в ходе
которого одна сторона убеждается:
1. в идентичности другой стороны, вовлеченной в протокол и
2. в активности другой стороны вовремя или непосредственно перед
моментом приобретения доказательства.
Аутентификация может быть односторонней (когда клиент доказывает
свою подлинность серверу) и двусторонней или взаимной (это обоюдная
аутентификация между сторонами обмена информацией).
Пример односторонней аутентификации – процедура входа в систему
(WINDOWS NT). Пример двусторонней – использование протокола
KERBEROS (WINDOWS 2000).
Характеристики протоколов аутентификации:
 вычислительная эффективность – количество операций,
необходимых для выполнения протокола;
 коммуникационная эффективность – данное свойство отражает
количество сообщений и их длину, необходимую для осуществления
аутентификации;
 наличие третьей стороны – примером третьей стороны может
служить доверенный сервер распределения симметричных ключей или
сервер, реализующий дерево сертификатов открытых ключей;
 основа гарантий безопасности – примером могут служить
протоколы, обладающие свойством доказательства с нулевым знанием;