На главную | Содержание | Назад | Вперёд
Наши друзья

 

 

Задачи и методы добавочных механизмов в рамках усиления парольной защиты

Требования к добавочным механизмам в рамках усиления парольной защиты
Как отмечалось ранее, важнейшими способами усиления парольной за­щиты является комплексное использование механизмов, так как сам по
себе механизм парольной защиты не может обеспечить гарантированной
защиты от несанкционированного входа в систему.
Рассмотрим группу задач, которые должны решаться средствами доба­вочной защиты в общем случае, без учета реализации встроенных в ОС механизмов защиты.
Добавочной защитой в рамках противодействия скрытым угрозам преодо­ления механизма парольной защиты должны решаться следующие задачи:
» должна обеспечиваться замкнутость программной среды, не позволя­ющая запускать пользователю в системе программы с целью осуще­ствления нерегламентированных действий, например, запуск про-грамм-сниферов (канала связи, каналов ввода с внешних устройств и с клавиатуры) и иных потенциально опасных программ, в частности,
позволяющих модифицировать механизм парольной защиты;
должно обеспечиваться разграничение прав доступа к реестру ОС
(для ОС семейства Windows), к каталогам и файлам, хранящим учет­ные данные механизмов парольной защиты для ОС UNIX; » должен обеспечиваться контроль целостности (с возможностью авто­матического восстановления из эталонной копии) ключей и ветвей
реестра, а также файлов, хранящих учетные данные механизмов па­рольной защиты, применяемый в предположении, что разграничение прав доступа к реестру ОС, каталогам и файлам злоумышленником преодолены.
» должна обеспечиваться защита от возможности отключения механиз­ма защиты, в частности, возможности загрузки системы с внешних устройств, останова процесса или драйвера, реализующего парольную
защиту добавочными средствами;
* должно обеспечиваться хеширование паролей, применяемое в пред­положении, что разграничение прав доступа к реестру ОС, каталогам и файлам злоумышленником преодолены, в том числе с использова­нием ошибок и закладок в ПО.
Необходимые механизмы добавочной защиты, направленные на усиление парольной защиты
С учетом сказанного можно выделить ряд механизмов, которые должны быть реализованы с целью усиления парольной защиты от скрытых уг­роз на защищаемом объекте. В общем случае эти механизмы таковы:
» Механизм обеспечения замкнутости программной среды. Механизм разграничения прав доступа к настройкам ОС и приложе­ний (к реестру ОС для ОС семейства Windows, к каталогам и файлам настроек для ОС семейства Unix).
Механизм контроля  целостности с  возможностью автоматического
восстановления из резервной копии настроек ОС и приложений (клю­чей реестра ОС для ОС семейства Windows, файлов для ОС семейства
Unix).
• Механизм защиты от возможности отключения парольной защиты, в частности, возможности загрузки системы с внешних устройств, оста­нова процесса или драйвера, реализующего парольную защиту доба­вочными средствами.
» Механизм хеширования парольной информации и др.
Применяющиеся на сегодняшний день подходы. Двухуровневая авторизация
Сформулировав требования, рассмотрим, какие же на сегодняшний день
используются подходы для усиления механизмов парольной защиты до­бавочными средствами.
Двухуровневая авторизация на уровне ОС
Ранее отмечалось, что целесообразно усилить парольную защиту за счет включения в механизм идентификации и аутентификации возможности ввода пароля с внешнего носителя.
Реализация данной возможности имеет смысл, прежде всего, для однополь­зовательских ОС, к которым относятся ОС семейства Windows (под однополь­зовательской здесь понимаем систему, в которой в каждый момент времени
может присутствовать только один прикладной пользователь). Здесь пользо­ватель авторизуется при консольном входе в систему. Для многопользователь­ских ОС, к которым относятся ОС семейства UNIX, характерна удаленная работа на компьютере многих пользователей, поэтому рассматриваемая зада­ча дополнительной авторизации здесь не столь актуальна.
В простейшем случае рассматриваемая возможность усиления парольной защиты достигается подключением внешних носителей пароля к встро­енным (прежде всего для ОС Windows) механизмам идентификации и
аутентификации. При этом средства разработчика, поставляемые изгото­вителем аппаратных носителей парольной информации, как правило,
содержат соответствующие примеры решения данной задачи.
Однако, как отмечалось ранее, имеет смысл реализовать режим двухуров­невой авторизации — так называемый комбинированный режим. При этом авторизация производится сначала с внешнего устройства, а затем с кла­виатуры. Это позволяет оказывать противодействие несанкционированно­му входу в систему при хищении носителя с парольной информацией.
Для современных ОС может быть реализован комбинированный способ
авторизации, использующий развитый механизм авторизации пользовате­ля при входе в систему с консоли (например, ОС Windows NT/2000). Это, собственно, и составляет одну из основных задач добавочной защиты ОС.
Рассмотрим возможное техническое решение по комбинированию меха­низмов добавочной и встроенной парольной защиты входа в систему. Схема двухуровневой авторизации представлена 1.
Работает схема следующим образом. Сначала со входа 8 задается пароль
для аутентификации механизмом добавочной защиты (значение этого
пароля записывается на внешний носитель, например, на дискету). За­тем со входа 9 задается пароль для аутентификации встроенным меха­низмом защиты. Этот пароль заносится и в блок 4, и в блок 2. При зап­росе доступа в систему (со входа 7) блок 2 запускает интерфейс для ввода пользователя пароля со входа 6 (с внешнего носителя).
При успешной аутентификации блоком 2 выдается в блок 4 запрос пользователя на доступ в систему и системный пароль. Причем систем­ный пароль подставляется блоком 2 по запросу аутентификации пользо­вателя блоком 4 без запуска интерфейса 3. Если пароль совпадает, то на выход 10 выдается сигнал об успешном прохождении пользователем про­цедуры аутентификации. В противном случае, блоком 4 запускается блок 3, и пользователю предлагается пройти аутентификацию со входа 5 в стан­дартном окне системной аутентификации - в блоке 3. При успешной
аутентификации вырабатывается сигнал на выходе 10.
Таким образом, представленная схема позволяет реализовать два режи­ма аутентификации — одноуровневый и двухуровневый. При одноуров­невом режиме со входа 9 в блоки 2 и 4 заносятся одинаковые значения системного пароля для пользователя, а пользователь аутентифицируется только в интерфейсе добавочного механизма парольной защиты. При этом
системную аутентификацию за пользователя реализует уже собственно
механизм добавочной парольной защиты. Делает он это без выдачи со­ответствующего окна системной аутентификации на экран монитора.
При двухуровневом режиме (со входа 9 в блоки 2 и 4 заносятся различ­ные значения системного пароля для пользователя), пользователь снача­ла аутентифицируется в интерфейсе добавочного механизма парольной
защиты с использованием внешнего носителя с паролем. Затем, при ус­пешной аутентификации, ему предлагается пройти второй уровень -
уровень системной аутентификации в окне ОС. Для этого ему нужно ввести пароль с клавиатуры.
Таким образом, помимо ввода пароля с внешнего носителя, пользователю дополнительно предлагается ввести пароль с клавиатуры. Это предотвра­щает неконтролируемый вход пользователя в систему при хищении внеш­него носителя с паролем. При этом заметим, что требования к дополни­тельному паролю уже могут быть не столь жесткими, как к основному.
Требованием к реализации данного механизма является отсутствие ка­кой-либо общности как собственно в реализации основного (встроенно­го в ОС) и добавочного механизмов защиты, так и в способах хранения и преобразования учетных данных пользователей. При выполнении дан­ного требования добавочный механизм может использоваться не только в качестве усиления парольной защиты, но и для резервирования меха­низма идентификации и аутентификации.
Актуальность и даже необходимость резервирования данного механизма, как одного из основных механизмов защиты от НСД, очевидна. Напом­ним, что учетные данные пользователя, подтверждаемые паролем при входе пользователя в систему, являются основой задания разграничитель­ной политики доступа к ресурсам.
Двухуровневая авторизация на уровне BIOS
Альтернативный известный вариант реализации двухуровневой парольной
защиты состоит в реализации добавочного механизма не на уровне входа в ОС, а перед загрузкой системы (средствами расширения BIOS). При этом перед загрузкой системы добавочное средство защиты предлагает пользова­телю авторизоваться с использованием внешнего носителя пароля. Затем уже при входе в систему могут использоваться штатные средства авторизации ОС. Таким образом, в отличие от рассмотренного выше подхода, здесь за­меняется (дополняется) не механизм парольной защиты входа в систему, а
механизм парольной защиты BIOS (контроля загрузки системы). Данный
подход используется в специальных дополнительных программно-аппарат­ных средствах защиты, так называемых «Электронных замках». (При этом, несмотря на использование аппаратной компоненты, собственно защита
осуществляется программно).
К достоинствам данного подхода, по сравнению с рассмотренным выше, можно отнести противодействие скрытым угрозам непосредственно в процессе загрузки системы. В частности, загрузочное меню ОС здесь уже может быть вызвано только санкционированным пользователем.
К очевидным недостаткам данного подхода можно отнести необходимость
использования дополнительной аппаратной компоненты системы защи­ты — платы, реализующей функцию расширения BIOS.
Примечание
В дальнейшем (в шестой части книги) будет показано, что на наш взгляд аппаратную компоненту  можно наделить несколько иными свойствами.
Сетевая
авторизация
Описанные ранее способы двухуровневой авторизации могут быть реали­зованы как в локальном, так и в сетевом исполнении. Оба данных подхо­да могут осуществлять локальную авторизацию добавочным средством при использовании сетевой авторизации пользователя на контроллере домена встроенным в ОС механизмом. Кроме того, для двухуровневой авториза­ции на уровне ОС оба уровня защиты могут быть выполнены в виде сете­вой авторизации. При этом дополнительная авторизация осуществляется
на сервере безопасности (т.е. пароли добавочного средства защиты хранятся
не на защищаемом компьютере, а на сервере безопасности).
В этом случае механизм добавочной защиты содержит клиентскую часть, устанавливаемую на защищаемый компьютер, и серверную часть, уста­навливаемую на сервер безопасности. Серверная часть содержит учетную запись пользователя, а также пароли для аутентификации пользователя добавочным механизмом защиты и на контроллере домена при выпол­нении процедуры авторизации, серверная часть функционирует анало­гично контроллеру домена. При этом наряду с функциями контроллера домена она реализует собственно процедуру авторизации, выдавая на кли­ентскую часть (на компьютер, где осуществлена загрузка ОС) окно вво­да идентификатора и пароля пользователем. Клиентская же часть осу­ществляет сокрытие окна авторизации контроллера домена и подстановку пароля ОС, который поступает с серверной части при прохождении ав­торизации пользователем в добавочном механизме защиты.
Отметим, что применение сетевой авторизации в данном случае, не давая каких-либо преимуществ по защите пароля (предполагаем, что на защи­щаемом компьютере установлено добавочное средство защиты, локально обеспечивающее надежную защиту учетных и парольных данных пользо­вателя), существенно сказывается на надежности функционирования за­щищаемой сети. Действительно, выход из строя сервера безопасности при­водит к отказу всей сети. При этом ни на одном компьютере сети не сможет быть осуществлен вход пользователя в систему. Таким образом, надежность сети в целом (а в общем случае и всех информационных систем, реализо­ванных на базе данной сети) в данном случае определяется надежностью одного компьютера. Это, по мнению автора, недопустимо в большинстве приложений информационных систем. И прежде всего это касается тех из них, которые предполагают распределенную обработку данных.
С учетом сказанного могут быть сформулированы следующие рекомен­дации по реализации механизмов двухуровневой авторизации: дополни­тельный механизм защиты должен быть реализован локально. При этом
системой защиты должно обеспечиваться надежное хранение парольной информации на защищаемом компьютере. Встроенный в ОС механизм
может быть настроен как в режиме локальной, так и в режиме сетевой авторизации, в зависимости от задач, решаемых в сети.

 

На главную | Содержание | Назад | Вперёд
 
Яндекс.Метрика