На главную | Содержание | Назад | Вперёд
Наши друзья

 

 

Авторизация в контексте количества и вида зарегистрированных пользователей

Кого следует воспринимать в качестве потенциального злоумышленника
В системе зарегистрирован один пользователь
В общем случае в системе может быть зарегистрирован один либо не­сколько пользователей. Случай, когда в системе зарегистрирован только один пользователь, характеризуется тем, что данный пользователь явля­ется и прикладным пользователем, и администратором безопасности. Здесь источником потенциальной угрозы является только сторонний со­трудник предприятия, а вся задача защиты сводится к контролю доступа
в компьютер (либо в систему), т.е. к парольной защите.
Данный случай является вырожденным и нами далее не рассматривает­ся, т.к. в соответствии с формализованными требованиями к защите
информации от НСД (см. главу 1) даже при защите конфиденциальной
информации предполагается обязательное наличие администратора безо­пасности.
В системе зарегистрированы администратор безопасности и один прикладной пользователь
Общий случай функционирования системы с одним прикладным пользо­вателем — это наличие в системе администратора безопасности и только одного прикладного пользователя. В задачи администратора безопаснос­ти здесь входит ограничение прав прикладного пользователя по доступу к системным (администратора безопасности) и иным ресурсам компью-
тера. В частности, может ограничиваться набор задач, разрешенных для решения на компьютере, набор устройств, которые могут быть подклю­чены к компьютеру (например, внешний модем, принтер и т.д.), способ
сохранения обрабатываемых данных (например, на дискетах только в
шифрованном виде) и т.д.
В данном случае потенциальным злоумышленником в части несанкцио­нированного использования ресурсов защищаемого объекта может являть­ся как сторонний сотрудник предприятия, так и собственно прикладной пользователь. Заметим, что прикладной пользователь здесь может выс­тупать в роли сознательного нарушителя, либо стать «инструментом» в роли стороннего нарушителя, например, запустив по чьей-либо просьбе
какую-нибудь программу).
В системе зарегистрированы администратор безопасности и несколько прикладных пользователей
Кроме администратора безопасности, в системе может быть заведено несколько прикладных пользователей. При этом ресурсами защищаемо­го компьютера могут пользоваться несколько сотрудников, решая различ­ные задачи. Ввиду этого информационные и иные ресурсы защищаемо­го объекта должны между ними разграничиваться.
В данном случае к потенциальным нарушителям добавляется санкциони­рованный прикладной пользователь, целью которого может служить НСД
к информации, хранимой на защищаемом объекте другим пользователем. При использовании компьютера (прежде всего, рабочей станции) в составе
ЛВС, помимо локальных ресурсов защищаемого объекта, защите подлежат сетевые ресурсы. В этом случае между пользователями могут разграничиваться права по доступу к серверам, сетевым службам, разделенным сетевым ресур­сам (общим папкам и устройствам, например, к сетевым принтерам) и т.д. Здесь злоумышленник (санкционированный пользователь) может осуществ­лять попытку получить НСД к сетевому ресурсу, к которому ему доступ не разрешен, с целью осуществления на него атаки с рабочей станции.
Рекомендации по построению авторизации, исходя из вида и количества зарегистрированных пользователей
Отметим, что наиболее простой в реализации защитой является защита от стороннего сотрудника. В этом случае все мероприятия по защите возлагаются на использование механизма парольного входа. Простота же состоит в том, что, как увидим далее, в этом случае следует оказывать противодействие только явным угрозам преодоления парольной защиты, от которых защититься не представляет большого труда.
Однако основной угрозой служат преднамеренные или неумышленные действия санкционированного пользователя, который обладает возмож­ностью осуществления скрытой атаки на защищаемый ресурс (например,
запустив какую-либо программу собственной разработки).
Очевидно, что механизмы идентификации и аутентификации должны пре­дусматривать противодействие всем потенциальным злоумышленникам, т.е. как сторонним по отношению к защищаемому объекту, так и санкциони­рованным пользователям, зарегистрированным на компьютере. При этом речь идет о прикладных пользователях, т.к. осуществить какую-либо защи­ту от НСД к информации от администратора безопасности невозможно, даже включая применение механизмов криптографической защиты (он сумеет
снять информацию до момента ее поступления в драйвер шифрования).
С учетом сказанного в этом разделе мы можем сделать следующие выводы:
1. На защищаемом объекте, как правило, зарегистрированы, по край­ней мере, два пользователя — прикладной пользователь и админи­стратор безопасности. Поэтому в качестве потенциального злоумыш­ленника при реализации механизмов парольной защиты в общем случае следует рассматривать не только стороннее по отношению к защищаемому объекту лицо, но и санкционированного пользовате­ля, который преднамеренно либо неумышленно может осуществить атаку на механизм парольной защиты.
2. Рассматривая атаки на парольную защиту следует учитывать, что по сравнению со сторонним лицом, которое может характеризоваться явными угрозами парольной защите, защита от атак санкциониро­ванного пользователя качественно сложнее, т.к. им могут быть ре­ализованы скрытые угрозы.
Классификация задач, решаемых механизмами идентификации и аутентификации
Классификация задач по назначению защищаемого объекта
Основу классификации задач, решаемых механизмами парольной защи­ты, составляет назначение защищаемого объекта (компьютера). Именно в соответствии с назначением объекта определяется перечень защищае­мых ресурсов и источников угроз (потенциальных злоумышленников). Соответствующая классификация приведена 1.
Кстати говоря, рассматриваемые процедуры парольной защиты могут устанавливаться на любые действия системы и пользователя (например, на запуск каждого процесса). Однако необходимо понимать, что это, как правило, не оправдано, поскольку приводит к существенной дополнитель­ной загрузке вычислительного ресурса, т.к. данная процедура выполня­ется не автоматически.
Возможные классификации механизмов авторизации, реализованных в современных системах защиты
Рассмотрим возможные классификации механизмов идентификации и аутентификации, полученные на основе анализа применения механизмов парольной защиты в ОС (прежде всего семейства Windows), приложени­ях и современных добавочных средствах защиты ОС.
Классификация по функциональному назначению (классификация реша­емых задач) процедур идентификации и аутентификации, применяемых на практике в системах защиты (в том числе и в добавочных средствах защиты), представлена 2.
Классификация по принадлежности идентификаторов и паролей приве­дена 3, по способу их задания — 4, по способу их ввода - 5, по способу их хранения — 6.

 

На главную | Содержание | Назад | Вперёд
 
Яндекс.Метрика