Идентификация пользователей КС-субъектов доступа к данным

Содержание TOC \o "1-3" \h \z \u ВВЕДЕНИЕ PAGEREF _Toc89898033 \h 21.Идентификация пользователей КС-субъектов доступа к данным PAGEREF _Toc89898034 \h 31.1.Основные понятия и концепции PAGEREF _Toc89898035 \h 31.2.Идентификация и аутентификация пользователя PAGEREF _Toc89898036 \h 41.3.Особенности применения пароля для аутентификации пользователя PAGEREF _Toc89898037 \h 51.4.Биометрическая идентификация и аутентификация пользователя PAGEREF _Toc89898038 \h 71.5.Взаимная проверка подлинности пользователей PAGEREF _Toc89898039 \h 102.Задача идентификации пользователя PAGEREF _Toc89898040 \h 142.1.Идентификация и аутентификации пользователя при запросах на доступ PAGEREF _Toc89898041 \h 142.2.Ограничения возможности корректного решения задачи PAGEREF _Toc89898042 \h 163.Понятие протокола идентификации. PAGEREF _Toc89898043 \h 174.Локальная и удаленная идентификация PAGEREF _Toc89898044 \h 19ЗАКЛЮЧЕНИЕ PAGEREF _Toc89898045 \h 22СПИСОК ИСПОЛЬЗАННОЙ ЛИТЕРАТУРЫ PAGEREF _Toc89898046 \h 23ВВЕДЕНИЕИдентификацию и аутентификацию можно считать основой программно-технических средств безопасности, именно поэтому ей уделяется большое внимание при построении защищенных систем. Именно на этой стадии происходит большинство атак на системы, связанных с нарушением целостности, доступности и конфиденциальности информации. Вторым барьером защиты информации является контроль доступа, разграничивающий права пользователей на доступ к той или иной информации. В совокупности средства идентификации, аутентификации и управления доступом позволяют создать защищенную на высоком уровне информационную систему, однако степень защищенности будет завесить от выбранных типов компонентов. Цель данной курсовой работы – рассмотреть понятия идентификации и задачи. Идентификация пользователей КС-субъектов доступа к даннымОсновные понятия и концепцииС каждым объектом компьютерной системы (КС) связана некоторая информация, однозначно идентифицирующая его. Это может быть число, строка символов, алгоритм, определяющий данный объект. Эту информацию называют идентификатором объекта. Если объект имеет некоторый идентификатор, зарегистрированный в сети, он называется законным (легальным) объектом; остальные объекты относятся к незаконным (нелегальным).Идентификация объекта - одна из функций подсистемы защиты. Эта функция выполняется в первую очередь, когда объект делает попытку войти в сеть. Если процедура идентификации завершается успешно, данный объект считается законным для данной сети.Следующий шаг-аутентификация объекта (проверка подлинности объекта). Эта процедура устанавливает, является ли данный объект именно таким, каким он себя объявляет.После того как объект идентифицирован и подтверждена его подлинность, можно установить сферу его действия и доступные ему ресурсы КС. Такую процедуру называют предоставлением полномочий (авторизацией).Перечисленные три процедуры инициализации являются процедурами защиты и относятся к одному объекту КС.При защите каналов передачи данных подтверждение подлинности (аутентификация) объектов означает взаимное установление подлинности объектов, связывающихся между собой по линиям связи. Процедура подтверждения подлинности выполняется обычно в начале сеанса в процессе установления соединения абонентов. (Термин "соединение" указывает на логическую связь (потенциально двустороннюю) между двумя объектами сети.Цель данной процедуры - обеспечить уверенность, что соединение установлено с законным объектом и вся информация дойдет до места назначения.После того как соединение установлено, необходимо обеспечить выполнение требований защиты при обмене сообщениями:(а) получатель должен быть уверен в подлинности источника данных;(б) получатель должен быть уверен в подлинности передаваемых данных; (в) отправитель должен быть уверен в доставке данных получателю;(г) отправитель должен быть уверен в подлинности доставленных данных.Для выполнения требований (а) и (б) средством защиты является цифровая подпись. Для выполнения требований (в) и (г) отправитель должен получить уведомление о вручении с помощью удостоверяющей почты (certified mail). Средством защиты в такой процедуре является цифровая подпись подтверждающего ответного сообщения, которое в свою очередь является доказательством пересылки исходного сообщения.Если эти четыре требования реализованы в КС, то гарантируется защита данных при их передаче по каналу связи и обеспечивается функция защиты, называемая функцией подтверждения (неоспоримости) передачи. В этом случае отправитель не может отрицать ни факта посылки сообщения, ни его содержания, а получатель не может отрицать ни факта получения сообщения, ни подлинности его содержания.Идентификация и аутентификация пользователяПрежде чем получить доступ к ресурсам компьютерной системы, пользователь должен пройти процесс представления компьютерной системе, который включает две стадии:идентификацию - пользователь сообщает системе по ее запросу свое имя (идентификатор);аутентификацию - пользователь подтверждает идентификацию, вводя в систему уникальную, не известную другим пользователям информацию о себе (например, пароль).Для проведения процедур идентификации и аутентификации пользователя необходимы:наличие соответствующего субъекта (модуля) аутентификации;наличие аутентифицирующего объекта, хранящего уникальную информацию для аутентификации пользователя.Различают две формы представления объектов, аутентифицирующих пользователя:внешний аутентифицирующий объект, не принадлежащий системе;внутренний объект, принадлежащий системе, в который переносится информация из внешнего объекта.Внешние объекты могут быть технически реализованы на различных носителях информации - магнитных дисках, пластиковых картах и т. п. Естественно, что внешняя и внутренняя формы представления аутентифицирующего объекта должны быть семантически тождественны.Особенности применения пароля для аутентификации пользователяТрадиционно каждый законный пользователь компьютерной системы получает идентификатор и/или пароль. В начале сеанса работы пользователь предъявляет свой идентификатор системе, которая затем запрашивает у пользователя пароль.Простейший метод подтверждения подлинности с использованием пароля основан на сравнении представляемого пользователем пароля РА С исходным значением РА', хранящимся в компьютерном центре (рис. 1). Поскольку пароль должен храниться в тайне, он должен шифроваться перед пересылкой по незащищенному каналу. Если значения РА и РА' совпадают, то пароль РА считается подлинным, а пользователь - законным.Рисунок 1 – Схема простой аутентификации с помощью пароля Если кто-нибудь, не имеющий полномочий для входа в систему, узнаеткаким-либо образам пароль и идентификационный номер законного пользователя, он получает доступ в систему.Иногда получатель не должен раскрывать исходную открытую форму пароля. В этом случае отправитель должен пересылать вместо открытой формы пароля отображение пароля, получаемое с использованием односторонней функции a(.) пароля. Это преобразование должно гарантировать невозможность раскрытия противником пароля по его отображению, так как противник наталкивается на неразрешимую числовую задачу.Например, функция a(.) может быть определена следующим образом:a(P)Ep(ID),где Р - пароль отправителя; ID-идентификатор отправителя; ЕР - процедура шифрования, выполняемая с использованием пароля Р в качестве ключа.Такие функции особенно удобны, если длина пароля и ключа одинаковы. В этом случае подтверждение подлинности с помощью пароля состоит из пересылки получателю отображения a(Р) и сравнения его с предварительно вычисленным и хранимым эквивалентом a'(Р).На практике пароли состоят только из нескольких букв, чтобы дать возможность пользователям запомнить их. Короткие пароли уязвимы к атаке полного перебора всех вариантов. Для того чтобы предотвратить такую атаку, функцию а(Р) определяют иначе, а именно:а(Р)=Ерр+к(ID),где К и ID-соответственно ключ и идентификатор отправителя.Очевидно, значение а(Р) вычисляется заранее и хранится в виде a'(Р) в идентификационной таблице у получателя (рис. 2). Подтверждение подлинности состоит из сравнения двух отображений пароля, а(РА) и а'(РА) и признания пароля РА, если эти отображения равны.Рисунок 2 – Схема аутентификации с помощью пароля с использованием идентификационной таблицыКонечно, любой, кто получит доступ к идентификационной таблице, может незаконно изменить ее содержимое, не опасаясь, что эти действия будут обнаружены.Биометрическая идентификация и аутентификация пользователяПроцедуры идентификации и аутентификации пользователя могут базироваться не только на секретной информации, которой обладает пользователь (пароль, секретный ключ, персональный идентификатор и т.п.). В последнее время все большее распространение получает биометрическая идентификация и аутентификация пользователя, позволяющая уверенно идентифицировать потенциального пользователя путем измерения физиологических параметров и характеристик человека, особенностей его поведения.Отметим основные достоинства биометрических методов идентификации и аутентификации пользователя по сравнению с традиционными:высокая степень достоверности идентификации по биометрическим признакам из-за их уникальности;неотделимостьбиометрическихпризнаковотдееспособной личности;трудность фальсификации биометрических признаков.В качестве биометрических признаков, которые могут быть использованы при идентификации потенциального пользователя, можно выделить следующие:узор радужной оболочки и сетчатки глаз;отпечатки пальцев;геометрическая форма руки;форма и размеры лица;особенности голоса;биомеханические характеристики рукописной подписи;биомеханические характеристики "клавиатурного почерка".При регистрации пользователь должен продемонстрировать один или несколько раз свои характерные биометрические признаки. Эти признаки (известные как подлинные) регистрируются системой как контрольный "образ" законного пользователя. Этот образ пользователя хранится в электронной форме и используется для проверки идентичности каждого, кто выдает себя за соответствующего законного пользователя. В зависимости от совпадения или несовпадения совокупности предъявленных признаков с зарегистрированными в контрольном образе их предъявивший признается законным пользователем (при совпадении) или нет (при несовпадении).Системы идентификации по узору радужной оболочки и сетчатки глазмогут быть разделены на два класса:использующие рисунок радужной оболочки глаза,использующие рисунок кровеносных сосудов сетчатки глаза.Поскольку вероятность повторения данных параметров равна 10-78, эти системы являются наиболее надежными среди всех биометрических систем. Такие средства идентификации применяются там, где требуется высокий уровень безопасности (например, в США в зонах военных и оборонных объектов).Системы идентификации по отпечаткам пальцев являются самыми распространенными. Одна из основных причин широкого распространения таких систем заключается в наличии больших банков данных по отпечаткам пальцев. Основными пользователями подобных систем во всем мире являются полиция, различные государственные и некоторые банковские организации.Системы идентификации по геометрической форме руки используют сканеры формы руки, обычно устанавливаемые на стенах. Следует отметить,что подавляющее большинство пользователей предпочитают системы именно этого типа, а не описанные выше.Системы идентификации по лицу и голосу являются наиболее доступными из-за их дешевизны, поскольку большинство современных компьютеров имеют видео- и аудиосредства. Системы данного класса широко применяются при удаленной идентификации субъекта доступа в телекоммуникационных сетях.Системы идентификации личностей по динамике рукописной подписи учитывают интенсивность каждого усилия подписывающего, частотные характеристики написания каждого элемента подписи и начертание подписи в целом.Системы идентификации по биомеханическим характеристикам "клавиатурного почерка" основываются на том, что моменты нажатия и отпускания клавиш при наборе текста на клавиатуре существенно различаются у разных пользователей. Этот динамический ритм набора ("клавиатурный почерк") позволяет построить достаточно надежные средства идентификации. В случае обнаружения изменения клавиатурного почерка пользователя ему автоматически запрещается работа на ЭВМ.Следует отметить, что применение биометрических параметров при идентификации субъектов доступа автоматизированных систем пока не получило надлежащего нормативно-правового обеспечения, в частности в виде стандартов. Поэтому применение систем биометрической идентификации допускается только в автоматизированных системах, обрабатывающих и хранящих персональные данные, составляющие коммерческую и служебную тайну.Взаимная проверка подлинности пользователейОбычно стороны, вступающие в информационный обмен, нуждаются во взаимной проверке подлинности (аутентификации) друг друга. Этот процесс взаимной аутентификации выполняют в начале сеанса связи.Для проверки подлинности применяют следующие способы:механизм запроса-ответа;механизм отметки времени ("временной штемпель").Механизм запроса-ответа состоит в следующем. Если пользователь А хочет быть уверенным, что сообщения, получаемые им от пользователя В, не являются ложными, он включает в посылаемое для В сообщение непредсказуемый элемент-запрос X (например, некоторое случайное число). При ответе пользователь В должен выполнить над этим элементом некоторую операцию (например, вычислить некоторую функцию f(X)). Это невозможно осуществить заранее, так как пользователю В неизвестно, какое случайное число X придет в запросе. Получив ответ с результатом действий В, пользователь может быть уверен, что В - подлинный. Недостаток этого метода- возможность установления закономерности между запросом и ответом.Механизм отметки времени подразумевает регистрацию времени для каждого сообщения. В этом случае каждый пользователь сети может определить, насколько "устарело" пришедшее сообщение, и решить не принимать его, поскольку оно может быть ложным.В обоих случаях для защиты механизма контроля следует применять шифрование, чтобы быть уверенным, что ответ послан не злоумышленником.При использовании отметок времени возникает проблема допустимого временного интервала задержки для подтверждения подлинности сеанса. Ведь сообщение с "временным штемпелем" в принципе не может быть передано мгновенно. Кроме того, компьютерные часы получателя и отправителя не могут быть абсолютно синхронизированы. Какое запаздывание "штемпеля" является подозрительным?Для взаимной проверки подлинности обычно используют процедуру "рукопожатия". Эта процедура базируется на указанных выше механизмах контроля и заключается во взаимной проверке ключей, используемых сторонами. Иначе говоря, стороны признают друг друга законными партнерами, если докажут друг другу, что обладают правильными ключами.Процедуру рукопожатия обычно применяют в компьютерных сетях при организации сеанса связи между пользователями, пользователем и хост - компьютером, между хост - компьютерами и т.д.Рассмотрим в качестве примера процедуру рукопожатия для двух пользователей А и В. (Это допущение не влияет на общность рассмотрения.Рисунок 3 – Схема процедуры рукопожатия (пользователь А проверяет подлинность пользователя В)Такая же процедура используется, когда вступающие в связь стороны не являются пользователями). Пусть приценяется симметричная криптосистема. Пользователи А и В разделяют один и тот же секретный ключ КАВ. Вся процедура показана на рис. 3.Пусть пользователь А инициирует процедуру рукопожатия, отправляя пользователю В свой идентификатор IDA в открытой форме.Пользователь В, получив идентификатор IDA, находит в базе данных секретный ключ КАВ и вводит его в свою криптосистему.Тем временем пользователь А генерирует случайную последовательность S с помощью псевдослучайного генератора PG и отправляет ее пользователю В в виде криптограммыЕкАВ (S).Пользователь В расшифровывает эту криптограмму и раскрывает исходный вид последовательности S.Затем оба пользователя А и В преобразуют последовательность S,используя открытую одностороннюю функцию a(.).Пользователь В шифрует сообщение a(S) и отправляет эту криптограмму пользователю А.Наконец, пользователь А расшифровывает эту криптограмму и сравнивает полученное сообщение a'(S) с исходным a(S). Если эти сообщения равны, пользователь А признает подлинность пользователя В.Очевидно, пользователь В проверяет подлинность пользователя А таким же способом. Обе эти процедуры образуют процедуру рукопожатия, которая обычно выполняется в самом начале любого сеанса связи между любыми двумя сторонами в компьютерных сетях.Достоинством модели рукопожатия является то, что ни один из участников сеанса связи не получает никакой секретной информации во время процедуры подтверждения подлинности.Иногда пользователи хотят иметь непрерывную проверку подлинности отправителей в течение всего сеанса связи. Один из простейших способов непрерывной проверки подлинности показан на рис. 4. Передаваемая криптограмма имеет вид:Ек(IDА,М), где IDА-идентификатор отправителя А; М - сообщение.Получатель В, принявший эту криптограмму, расшифровывает ее и раскрывает пару (IDA, M). Если принятый идентификатор IDA совпадает с хранимым значением IDA, получатель В признает эту криптограмму.Рисунок 4 – Схема непрерывной проверки подлинности отправителяДругой вариант непрерывной проверки подлинности использует вместо идентификатора отправителя его секретный пароль. Заранее подготовленные пароли известны обеим сторонам. Пусть РА и Рв -пароли пользователей А и В соответственно. Тогда пользователь А создает криптограммуС = ЕК(РА,М).Получатель криптограммы расшифровывает ее и сравнивает пароль, извлеченный из этой криптограммы, с исходным значением. Если они равны, получатель признает эту криптограмму.Процедура рукопожатия была рассмотрена в предположении, что пользователи А и В уже имеют общий секретный сеансовый ключ. Реальные процедуры предназначены для распределения ключей между подлинными партнерами и включает как этап распределения ключей, так и этап собственно подтверждения подлинности партнеров по информационному обмену.Задача идентификации пользователяИдентификация и аутентификации пользователя при запросах на доступПримерный перечень мероприятий по идентификации и аутентификации пользователя можно описать следующими шагами.Первый шаг идентификации, поддерживаемый режимом аутентификации, реализуется при входе пользователя в систему. Здесь следует выделить возможность входа в штатном и в безопасном режиме. Принципиальным отличием безопасного режима является то, что при запуске системы в безопасном режиме можно отключить загрузку сторонних по отношению к системе драйверов и приложений. Поэтому, если в системе используется добавочная система защиты информации от несанкционированного доступа, можно попытаться загрузить систему в безопасном режиме без компонент дополнительной защиты. С учетом же того, что загрузить систему в безопасном режиме может любой пользователь, то система защиты должна обеспечивать возможность входа в систему в безопасном режиме (после идентификации и аутентификации) только под учетной записью администратора.Второй шаг состоит в запуске пользователем процессов, которые уже, в свою очередь, порождают потоки и процессы. Все работающие в системе процессы и потоки выполняются в контексте защиты того пользователя, от имени которого они так или иначе были запущены. Для идентификации контекста защиты процесса или потока используется объект, называемый маркером доступа (access token). В контекст защиты входит информация, описывающая привилегии, учетные записи и группы, сопоставленные с процессом и потоком. При регистрации пользователя в системе создается начальный маркер, представляющий пользователя, который входит в систему, и сопоставляет его с процессом оболочки, применяемой для регистрации пользователя. Все программы, запускаемые пользователем, наследуют копию этого маркера.В общем случае пользователь имеет возможность запуска процесса, как с собственными правами, так и под учетной записью другого пользователя. Запуск пользователем процесса под другой учетной записью возможно только после выполнения процедуры аутентификации – пользователь должен ввести идентификатор и пароль, соответствующие той учетной записи, под которой им будет запущен процесс.С одной стороны, это очень полезная опция, которая может быть использована в корпоративных приложениях, когда на одном компьютере требуется обрабатывать конфиденциальные и открытые данные. При этом предполагается, что для обработки данных различных категорий создаются различные учетные записи. Данная опция предполагает, что одновременно (без перезагрузки) можно обрабатывать данные различных категорий. Естественно, что реализация данной возможности выставляет и дополнительные требования к системе защиты информации.Однако важнейшей особенностью рассматриваемого способа запуска процесса является то, что при этом система начинает функционировать в многопользовательском режиме – в системе одновременно зарегистрировано несколько пользователей. Как следствие, может возникнуть проблема однозначной идентификации пользователя при доступе к ресурсу, что характерно для решения задачи реализации разграничительной политики доступа к устройствам.Третий шаг состоит в порождении процессом потоков, которые, собственно, и обращаются к ресурсам. Сервис олицетворения предоставляет возможность отдельному потоку выполняться в контексте защиты, отличном от контекста защиты процесса, его запустившего, т.е. запросить олицетворить себя с правами другого пользователя, в результате – действовать от лица другого пользователя. Как следствие, именно на этом этапе и возникают вопросы корректности идентификации и аутентификации пользователя при запросе доступа к ресурсам, а задача идентификации и аутентификации пользователей при запросах на доступ сводится к контролю корректности олицетворения.Ограничения возможности корректного решения задачиОграничения, о которых пойдет далее речь, в первую очередь относятся при реализации разграничительной политики доступа к устройствам. Разграничение доступа к устройствам – это задача противодействия внутренним ИТ-угрозам (в частности, решаемая для защиты информации от санкционированных пользователей).КСЗ должен включать в себя механизм, посредством которого санкционированный пользователь надежно сопоставляется с выделенным ему конкретным устройством.Проблема здесь состоит в том, что многие устройства предполагают возможность взаимодействия с ними приложения не напрямую, а через драйвер. В этом случае запрос доступа к устройству осуществляется от лица пользователя System. Возникает вопрос, а откуда взять идентификатор пользователя, который инициировал это обращение к устройству? Можно, конечно, «посмотреть», какой пользователь зарегистрирован в системе, и фильтровать запросы доступа, применительно к его учетной записи (кстати говоря, подобный подход и реализуется некоторыми специализированными средствами защиты). Но не будем забывать, что современные операционные системы многопользовательские. В таком режиме в системе одновременно зарегистрировано несколько пользователей, при этом выявление учетной записи, от которой осуществлен запрос доступа к устройству, становится неразрешимой (или, по крайней мере, весьма сложно корректно решаемой) задачей.Таким образом, задача идентификации пользователя может решаться некорректно именно в тех приложениях, для использования в которых и предназначено средство защиты.Понятие протокола идентификации.Протокол аутентификации – криптографический протокол, в ходе которого одна сторона убеждается: 1) в идентичности другой стороны, вовлеченной в протокол; 2) в активности другой стороны во время или непосредственно перед моментом приобретения доказательства.Аутентификация может быть односторонней (когда клиент доказывает свою подлинность серверу) и двусторонней или взаимной (это обоюдная аутентификация между сторонами обмена информацией). Пример односторонней аутентификации – процедура входа в систему (WINDOWS NT). Пример двусторонней – использование протокола KERBEROS (WINDOWS 2000).Характеристики протоколов аутентификации:вычислительная эффективность – количество операций, необходимых для выполнения протокола;коммуникационная эффективность – данное свойство отражает количество сообщений и их длину, необходимую для осуществления аутентификации;наличие третьей стороны – примером третьей стороны может служить доверенный сервер распределения симметричных ключей или сервер, реализующий дерево сертификатов открытых ключей;основа гарантий безопасности – примером могут служить протоколы, обладающие свойством доказательства с нулевым знанием;хранения секрета – имеется в виду способ хранения критичной ключевой информации.Также можно классифицировать протоколы аутентификации по уровню обеспечиваемой безопасности или возможности противостоять определенному классу атак. В соответствии с данным подходом протоколы аутентификации делят на типы:простая аутентификации (на основе использования паролей);строгая аутентификации (на основе использования криптографических методов и средств);протоколы, обладающие свойством доказательства с нулевым знанием.Широкое распространение при идентификации и аутентификации получили протоколы на базе асимметричного шифрования. Существует десятки разновидностей таких протоколов, наиболее известными из которых являются протоколы на основе алгоритмов RSA, схемы Фейге-Фиата-Шамира, Эль-Гамаля, Шнорра и т.д.Протокол аутентификации на основе алгоритма RSA.Этап 1. Генерация ключей.1. А генерирует открытый {e=5, n=91} и закрытый {d=29} ключи.2. А передает открытый ключ Б.Этап 2. Аутентификация.Рисунок 5 - Аутентификация на основе алгоритма RSЛокальная и удаленная идентификацияУдаленная идентификация — это процедура первичного знакомства банка с клиентом, которая осуществляется онлайн по определенным биометрическим параметрам (идентификаторам). Ими могут быть отпечатки пальцев, рисунок сетчатки глаз или капилляров на пальцах, голос, контуры лица и даже частота сердечного ритма (встречается и такое). Важно, чтобы:1) клиент заранее сдал образец своей идентификации;2) образец хранился в определенной базе;3) банк имел доступ к этой базе данных;4) возможно было сверить (подтвердить) предоставленный клиентом материал с образцом параметров, хранящийся в базе данных.Через удаленную идентификацию вы сможете обратиться за получением услуги, например, открыть счет, даже если ранее вы не обслуживались в данном банке. Прежде чем предоставить доступ к услуге, сервер банка запросит у вас отпечаток пальцев по смартфону, попросит посмотреть в камеру и т.п. Программа сверит полученное с базой данных и в случае успешной проверки откроет вам доступ к банковской услуге.При последующем обращении в банк вы проходите процедуру аутентификации, то есть подтверждения того, что вы — это вы.Идентификация источника данных выполняется с намерением стационарно и окончательно связать идентифицированного субъекта с некоторыми определенными данными независимо от его любых дальнейших действий. Такой процесс может обеспечить поддержку сервиса неотказуемости.По степени приближенности субъекта к среде различают следующие процедуры идентификации:Начальную идентификацию субъекта в локальной среде, то есть на персональном, физически приближенном к субъекту устройстве без связи с другими устройствами в сети;2. Идентификацию субъекта в удаленной среде или при доступе к удаленному устройству.В процедуре локальной аутентификации, или начальной аутентификации субъекта в локальной среде, почти всегда явно и непосредственно участвует пользователь, который должен ввести пароль или предъявить биометрические характеристики (отпечатки пальцев, рисунок радужной оболочки глаза). Удаленная аутентификация, или аутентификация субъекта в некоторой удаленной среде, может выполняться как с участием, так и без участия пользователя. Обычно более сложные системы аутентификации явным образом не включают пользователя. Это происходит по двум причинам:1. Трудно защитить систему аутентификации, которая получает секретную информацию, идентифицирующую субъекта (например, пароль или отпечатки пальцев), и передает ее на расстояние по незащищенным каналам, где она может быть скопирована с мошенническими целями недобросовестной стороной.2. Пользователям неудобно вводить аутентифицирующую информацию всякий раз, когда они желают получить доступ к удаленной сети.Таким образом, более рациональным решением является передача на расстояние результата процесса локальной аутентификации без передачи самой фактической информации, аутентифицирующей субъекта. Субъект может получить доступ к удаленной среде на основании положительного результата его аутентификации в локальной среде, если между локальной и удаленной средами установлена защищенная связь. В этом случае нет необходимости передавать на расстояние пароль, PIN-код или биометрические характеристики. Отметим, что такое решение может использоваться для последующей аутентификации (после успешно завершившейся начальной аутентификации) для работы с другими приложениями в локальной среде, то есть для защищенной однократной регистрации.Существует много способов доказательства идентичности субъекта, но любой способ предусматривает предъявление одного из четырех возможных идентифицирующих признаков:Что субъект имеет (например, смарт-карты или аппаратного ключа);Что субъект знает (например, пароля или PIN-кода);Чем субъект является (например, отпечатков пальцев, параметров ладони или рисунка радужной оболочки глаза);Что субъект делает (например, клавиатурного почерка).При однофакторной идентификации используется только один из перечисленных методов, при многофакторной идентификации - более одного метода (двухфакторная идентификация использует два метода, трехфакторная - три и т.д.). Известным примером двухфакторной аутентификации является процесс однократной регистрации при пользовании банкоматом, когда пользователь вставляет карту со встроенным чипом (то, что пользователь имеет) и вводит PIN-код (то, что пользователь знает), чтобы получить доступ к своему банковскому счету. Очевидно, что системы многофакторной идентификации требуют больших затрат усилий от пользователя, но более эффективны в смысле безопасности и практически лишают злоумышленника возможности выдать себя за легитимного пользователя.Сервисы PKI обычно не используются для начальной (безразлично - однофакторной или многофакторной) аутентификации в локальной среде, но необходимы для аутентификации в удаленной среде (или последующей аутентификации в локальной среде), которая выполняется на базе сложных протоколов запроса-подтверждения и подписанных цифровой подписью сообщений. Важным преимуществом удаленной аутентификации на базе открытых ключей перед механизмами, которые имитируют аутентификацию в локальной среде, является то, что секретная информация, идентифицирующая субъекта, никогда не передается по сети.ЗАКЛЮЧЕНИЕПроблема информационной компьютерной безопасности в современном мире не нова, и довольно глобальна – специалисты занимаются ею с того самого момента, как компьютер начал обрабатывать данные, ценность которых высока для пользователя. Однако за последние годы в связи с развитием сетей, ростом спроса на электронные услуги ситуация в сфере информационной безопасности серьезно обострилась, а вопрос стандартизации подходов к ее решению стал особенно актуальным как для разработчиков, так и для пользователей ИТ–средств.В ходе написания курсовой работы были рассмотрены общие понятия идентификации и аутентификации, понятие идентификации пользователя, понятие протокола идентификации, локальная и удаленная идентификация. СПИСОК ИСПОЛЬЗАННОЙ ЛИТЕРАТУРЫИдентификация [Электронный ресурс] URL: https://www.zakon.kz/4928580-pro-udalennuyu-identifikatsiyu-klienta.html (Дата обращения 29.11.2021).Инфраструктуры открытых ключей [Электронный ресурс] URL: https://it.wikireading.ru/59950 (Дата обращения 30.11.2021).Идентификация и проверка подлинности [Электронный ресурс] URL: https://studizba.com/lectures/129-inzhenerija/2025-sredstva-obespechenija-informacionnoj-bezopasnosti/39435-10-identifikacija-i-proverka-podlinnosti.html (Дата обращения 28.11.2021).Методы защиты информации [Электронный ресурс] URL: https://intuit.ru/studies/courses/3580/822/lecture/30592?page=6 (Дата обращения 30.11.2021).Протоколы идентификации [Электронный ресурс] URL: https://bit.nmu.org.ua/ua/student/metod/cryptology/%D0%BB%D0%B5%D0%BA%D1%86%D0%B8%D1%8F22.pdfВзаимная проверка подлинности пользователей [Электронный ресурс] URL: http://crypto-r.narod.ru/glava5/glava5_3.html