Презентация на тему Программно-аппаратные средства обеспечения информационной безопасности. Аутентификация

им идентификатору; подтверждение подлинности.
Учитывая степень доверия и прочие свойства

систем, проводимая проверка может быть односторонней или взаимной. Обычно она проводится с помощью криптографической обработки, позволяющей защитить передаваемые данные от злоумышленников.
Аутентификацию не следует путать с идентификацией (процедурой распознавания субъекта по его идентификатору) и авторизацией (процедурой предоставления определенных прав субъекту). Идентификация и аутентификация являются тесно связанными процессами распознавания и проверки подлинности пользователей

i- ого пользователя
Кi - аутентифицирующая информация пользователя, которая может

изменяться и служит для аутентификации (например, пароль Pi = Ki ).
Схема 1. Структура эталона

Протокол идентификации и аутентификации
1.Предъявление идентификатора ID.
2.Проверка существования IDi = ID для прохождения аутентификации.
3.Запрс у пользователя его аутентификатора K.
4.Вычисление значения Y = F(IDi ,K).
5. Сравнение значений Y и Ei . Допуск при равенстве Y и Ei.

которая обладает свойством «невосстановимости» значения Ki по Ei и

IDi . «Невосстановимость» оценивается некоторой пороговой трудоемкостью To решения задачи восстановления Ki по Ei и IDi. На практике задают To = 1020 …1030.
Для пары Ki и Kj возможно совпадение соответствующих значений E. В связи с этим вероятность ложной аутентификации не должна быть больше некоторого порогового значения Po . На практике задают Po = 10-7 …10-9 .

идентификатор i- ого пользователя
Кi - аутентифицирующая информация пользователя, которая

может изменяться и служит для аутентификации (например, пароль Pi = Ki )
Si - случайный вектор, создаваемый при создании идентификатора пользователя
Схема 2. Структура эталона

Протокол идентификации и аутентификации
1.Предъявление идентификатора ID.
2.Проверка существования IDi = ID для прохождения аутентификации.
3. По идентификатору IDi выделяется вектор Si .
4.Запрос у пользователя его аутентификатора K.
5.Вычисление значения Y = F(Si ,K).
6. Сравнение значений Y и Ei . Допуск при равенстве Y и Ei.

на три группы, в соответствии с применяемыми принципами:
принцип «что

вы знаете» («you know»), лежащий в основе методов аутентификации по паролю;
принцип «что вы имеете» («you have»), когда аутентификация осуществляется с помощью магнитных карт, токенов и других устройств;
принцип «кто вы есть» («you are»), использующий персональные свойства пользователя (отпечаток пальца, структуру сетчатки глаза и т.д.).

случаи, когда сотрудники передают смарт-карты и пароли своим коллегам.

При этом сотрудники могут не осознавать всех рисков, которым они подвергают компанию. В связи с этим возникает задача: как сделать смарт-карты неотчуждаемыми от пользователя? Это особенно актуально для организаций, работающих с критическими данными, несанкционированный доступ к которым может привести к серьёзному ущербу

уникальности биометрических признаков.
Неотделимость биометрических признаков от дееспособной личности.
Трудность фальсификации

биометрических признаков.

направленные на расширение возможностей биометрии в таких методах идентификации,

как:
По отпечаткам пальцев
По геометрии кисти руки – пользователи предпочитают
По отпечатку ладони
По строению кровеносных сосудов
По термографии лица
По форме лица в двух-, трехмерном измерении
По особенностям голоса
По запаху
По подписи
По динамике печатания
По походке
По радужной оболочке глаза; вероятность повторения – 10-78
По сетчатке глаза

на основе технологии Match-on-Card (вычисления на карте) успешно внедряются

крупнейшими мировыми компаниями. Национальный Институт стандартов и технологий (NIST, США) принял решение включить Match-on-Card в программу PIV (Personal Identification Verification), стандартизирующую методы электронной идентификации и аутентификации всех федеральных служащих США. Все правительственные учреждения США внедряют программу PIV с 2012 года.

Token ГОСТ, является более защищенной по сравнению с технологией

Template-on-Card (англ. «шаблон на карте»), когда решение о том, совпадают ли шаблоны, принимает программное обеспечение считывателя.

параметрами, заданными администратором при выпуске смарт-карты:
FRR (False Rejection Rate)

– коэффициент ложного отказа в доступе или вероятность того, что человек может быть не распознан системой. В биометрических системах называется "type I errors" ("ошибка первого рода") или "чувствительность";

коэффициент ложного доступа или порог, определяющий вероятность того, что

один человек может быть принят за другого. Имеет название "type II errors" ("ошибка второго рода") или "специфичность".
Системы с низким значением FRR более комфортны для пользователей, а системы с низким значением FАR более защищены.
Типичные значения FRR — порядка одной ошибки на 100. FAR — порядка одной ошибки на 10 000.

пороговых величин действует правило: чем ниже FRR, тем больше

FAR и наоборот. Таким образом, безопасность и комфорт конкурируют между собой, а оптимальные параметры настраиваются администратором системы

аутентентификации JaCarta PKI/BIO, построенное на основе архитектуры Match-on-Card (вычисления

на карте). Важным преимуществом является то, что хранение цифровых образцов отпечатков и принятие решения "свой/чужой" выполняются в защищённой области смарт-карты, а не на сервере биометрической идентификации. Цифровые образы отпечатков никуда не пересылаются и не создаются биометрические базы данных пользователей. Таким образом, даже администраторы системы не имеют доступа к биометрической информации сотрудников.

на основе JaCarta PKI/BIO не означает отмены существующих, а

лишь дополняет и усиливает их.
Возможны следующие комбинации аутентификационных факторов:
• электронный ключ + PIN-код;
• электронный ключ + отпечаток пальца;
• электронный ключ + PIN-код + отпечаток пальца.

расположена на острове Ява, давшем название одноимённому сорту кофе,

в честь которого, в свою очередь, назван язык программирования Java, на котором основана технология Java Card, используемая в продуктах JaCarta.

пользователем пароля (PIN-кода) для электронного ключа. Совместное использование биометрических

данных и пароля обеспечивает надёжную трёхфакторную аутентификацию.
Для усиления безопасности рекомендуется использовать пароль, не ограничиваясь только отпечатком пальца

развёрнутую инфраструктуру открытых ключей (PKI), при этом поддержка JaCarta

PKI в продуктах мировых вендоров обеспечивается штатными средствами. JaCarta PKI выполнена на современной открытой технологической платформе Java Card с учётом огромного накопленного опыта разработки как средств строгой аутентификации, средств электронной подписи, так и инфраструктуры применения смарт-карт и USB-токенов.

фиксированным паролям пришли одноразовые пароли (One-Time Password (OTP)).
Одноразовые

пароли удобны в использовании, так как их не нужно запоминать, каждый раз генерируется новое значение. Системы одноразовых паролей позволяют противостоять атакам анализатора трафика. Даже если злоумышленник перехватит такой пароль, он не сможет его использовать в дальнейшем. Это делает системы одноразовых паролей более надежными по сравнению с обычными фиксированными паролями.

на:
Использование генератора псевдослучайных чисел, единого для субъекта и системы

Использование временных меток вместе с системой единого времени
Использование базы случайных паролей, единого для субъекта и для системы

генератора псевдослучайных чисел, единого для субъекта и системы используется

генератор псевдослучайных чисел с одинаковым значением для субъекта и для системы. Сгенерированный субъектом пароль может передаваться системе при последовательном использовании односторонней функции

используются временные метки. В качестве примера такой технологии можно

привести SecurID, разработанную компанией RSA. Она основана на использовании аппаратных ключей (токенов) и синхронизации по времени. Аутентификация основана на генерации случайных чисел через определенные временные интервалы (60 сек.). Уникальный секретный ключ хранится только в базе системы и в аппаратном устройстве субъекта. Когда субъект запрашивает доступ в систему, ему предлагается ввести PIN-код (4 цифры), а также случайно генерируемое число, отображаемое в этот момент на аппаратном устройстве (токен-код 6 цифр) . Система сопоставляет введенный PIN-код и секретный ключ субъекта из своей базы и генерирует случайное число, основываясь на параметрах секретного ключа из базы и текущего времени. Далее проверяется идентичность сгенерированного числа и числа, введённого субъектом (токен-кода).

на единой базе паролей для субъекта и системы и

высокоточной синхронизации между ними. При этом каждый пароль из набора может быть использован только один раз. Благодаря этому, даже если злоумышленник перехватит используемый субъектом пароль, то он уже будет недействителен.

S/Key, определенная в RFC 1760, представляет собой систему генерирования

одноразовых паролей на основе стандартов MD4 и MD5. Она предназначена для борьбы с так называемыми «повторными атаками», когда хакер подслушивает канал, выделяет из трафика аутентификатор пользователя и его пароль и в дальнейшем использует их для несанкционированного доступа.

– вектор инициализации, N – целое число, h –

хэш-функция, 0≤i ≤ N-1.

,

,…,

,…,

4

1) Пользователь посылает серверу свой логин.
2) Сервер в ответ посылает число N-1.
3) Пользователь вычисляет одноразовый пароль и отправляет результат серверу.
4) Сервер вычисляет . Если , пользователь – подлинный.

Процесс аутентификации:

величина k. На предварительном этапе k объединяется со случайной

величиной S, присланной сервером. В результате получается некоторая величина K=(k || S).

число N, лежащее в диапазоне от 500 до 1000.

Генерирует первый одноразовый пароль путем применения хэш-функции к значению (k || S) N раз. Следующий одноразовый пароль будет генерироваться путем применения хэш-функции к значению (k || S) только (N - 1) раз и т.д. Таким образом формируется последовательность одноразовых паролей, используемых для аутентификации.

значение одноразового пароля Po, вычисленное по формуле и число

N.
Данный пароль для аутентификации не используется, а выступает для сервера в роли начального значения, на основе которого будет проверяться следующий присланный пользователем во время аутентификации одноразовый пароль.

Одноразовый пароль действителен только один раз, и повторно для

аутентификации его использовать нельзя.
б) Вектор инициализации k не хранится на сервере и не передается по сети. Поэтому у злоумышленника отсутствует возможность его перехватить, следовательно, без знания секрета, он не сможет сгенерировать правильный одноразовый пароль.

паролей, заданных величиной N. Так как эта величина каждый

раз уменьшается на единицу, то при ее обнулении либо пользователю необходимо заново выбирать вектор инициализации k, либо сервер должен сгенерировать новую случайную величину S. Кроме того, нужно установить новое значение счетчика N. Все это вносит ряд дополнительных неудобств для пользователя.
Данный недостаток будет не так заметен, если выбрать достаточно большое значение счетчика N, но в этом случае возникает проблема б).

увеличивается время генерации одноразового пароля на стороне пользователя. Это

связано с тем, что величина N влияет на количество итераций хеширования. Когда значение счетчика равно, например, 1000, чтобы вычислить одноразовый пароль, пользователю потребуется тысячу раз применить хеш-функцию, что в свою очередь требует существенных временных затрат.
в) Отсутствует аутентификация сервера.

подлинности:
запроса-ответа (используется для аутентификации участников)
временной штемпель (используется

для аутентификации связи)

В сообщение непредсказуемый элемент- запрос Х (например, некоторое случайное

число). При ответе В должен вычислить некоторую функцию f(Х). Получив правильный ответ, А может быть уверен в подлинности В. Недостаток – возможность установления закономерности между запросом и ответом, т.е. определения вида функции f. Устранение –использование шифрования.

для каждого сообщения. В этом случае каждый пользователь может

определить, насколько «устарело» пришедшее сообщение, и решить не принимать его, так как это может быть повтор сообщения, потерявшего свою актуальность.
При использовании отметок времени возникает проблема допустимого временного интервала задержки для подтверждения подлинности.