Главная › Настройки › Проверка аутентификации. Что делать если при подключении к сети Wi-Fi появляется ошибка аутентификации. Использование специальных предметов

Проверка аутентификации. Что делать если при подключении к сети Wi-Fi появляется ошибка аутентификации. Использование специальных предметов

Как известно, практически в любых компьютерных системах существует необходимость аутентификации. В ходе этой процедуры компьютерная система проверяет, действительно ли пользователь тот, за кого себя выдает. Для того, чтобы получить доступ к компьютеру, в Интернет, к системе удаленного управления банковским счетом и т. д., пользователю необходимо убедительно доказать компьютерной системе, что "он есть та самая персона", а не кто-либо еще. Для этого он должен предъявить системе некую аутентификационную информацию, на основании которой модуль аутентификации данной системы выносит решение о предоставлении ему доступа к требуемому ресурсу (доступ разрешен/нет).

В настоящее время для такой проверки применяется информация трех видов.

Первый - уникальная последовательность символов , которую пользователь должен знать для успешного прохождения аутентификации. Простейший пример - парольная аутентификация, для которой достаточно ввести в систему свой идентификатор (например, логин) и пароль.

Второй вид информации - уникальное содержимое или уникальные характеристики предмета. Простейший пример - ключ от любого замка. В случае же компьютерной аутентификации в этом качестве выступают любые внешние носители информации: смарт-карты, электронные таблетки iButton, USB-токены и т. д.

И, наконец, третий вид аутентификации - по биометрической информации , которая неотъемлема от пользователя. Это может быть отпечаток пальца, рисунок радужной оболочки глаза, форма лица, параметры голоса и т. д.

Очень часто комбинируют несколько видов информации, по которой проводится аутентификация. Типичный пример: аутентификационная информация хранится на смарт-карте, для доступа к которой нужно ввести пароль (PIN-код). Такая аутентификация называется двухфакторной . Существуют реальные системы и с трехфакторной аутентификацией.

В ряде случаев требуется и взаимная аутентификация - когда оба участника информационного обмена проверяют друг друга. Например, перед передачей удаленному серверу каких-либо важных данных пользователь должен убедиться, что это именно тот сервер, который ему необходим.

Удаленная аутентификация

В случае удаленной аутентификации (скажем, пользователь намерен получить доступ к удаленному почтовому серверу для проверки своей электронной почты) существует проблема передачи аутентификационной информации по недоверенным каналам связи (через Интернет или локальную сеть). Чтобы сохранить в тайне уникальную информацию, при пересылке по таким каналам используется множество протоколов аутентификации. Рассмотрим некоторые из них, наиболее характерные для различных применений.

Доступ по паролю

Простейший протокол аутентификации - доступ по паролю (Password Access Protocol, PAP): вся информация о пользователе (логин и пароль) передается по сети в открытом виде (рис. 1). Полученный сервером пароль сравнивается с эталонным паролем данного пользователя, который хранится на сервере. В целях безопасности на сервере чаще хранятся не пароли в открытом виде, а их хэш-значения.

Рисунок 1 - Схема протокола PAP

Данная схема имеет весьма существенный недостаток: любой злоумышленник, способный перехватывать сетевые пакеты, может получить пароль пользователя с помощью простейшего анализатора пакетов типа sniffer. А получив его, злоумышленник легко пройдет аутентификацию под именем владельца пароля.

По сети в процессе аутентификации может передаваться не просто пароль, а результат его преобразования - скажем, тот же хэш пароля. К сожалению, это не устраняет описанный выше недостаток - злоумышленник с тем же успехом может перехватить хэш пароля и применять его впоследствии.

Недостатком данной схемы аутентификации можно считать и то, что любой потенциальный пользователь системы должен предварительно зарегистрироваться в ней - как минимум ввести свой пароль для последующей аутентификации. А описанные ниже более сложные протоколы аутентификации типа "запрос-ответ" позволяют в принципе расширить систему на неограниченное количество пользователей без их предварительной регистрации.

Запрос-ответ

В семейство протоколов, называемых обычно по процедуре проверки "запрос-ответ", входит несколько протоколов, которые позволяют выполнить аутентификацию пользователя без передачи информации по сети. К протоколам семейства "запрос-ответ" относится, например, один из наиболее распространенных - протокол CHAP (Challenge-Handshake Authentication Protocol).

Процедура проверки включает как минимум четыре шага (рис. 2):

· пользователь посылает серверу запрос на доступ, включающий его логин;
· сервер генерирует случайное число и отправляет его пользователю;
· пользователь шифрует полученное случайное число симметричным алгоритмом шифрования на своем уникальном ключе, результат зашифрования отправляется серверу;
· сервер расшифровывает полученную информацию на том же ключе и сравнивает с исходным случайным числом. При совпадении чисел пользователь считается успешно аутентифицированным, поскольку признается владельцем уникального секретного ключа.

Рисунок 2 - Схема протокола аутентификации типа "запрос-ответ".

Аутентифицирующей информацией в данном случае служит ключ, на котором выполняется шифрование случайного числа. Как видно из схемы обмена, данный ключ никогда не передается по сети, а лишь участвует в вычислениях, что составляет несомненное преимущество протоколов данного семейства.

Основной недостаток подобных систем аутентификации - необходимость иметь на локальном компьютере клиентский модуль, выполняющий шифрование. Это означает, что, в отличие от протокола PAP, для удаленного доступа к требуемому серверу годится только ограниченное число компьютеров, оснащенных таким клиентским модулем.

Однако в качестве клиентского компьютера может выступать и смарт-карта либо аналогичное "носимое" устройство, обладающее достаточной вычислительной мощностью, например, мобильный телефон. В таком случае теоретически допустима аутентификация и получение доступа к серверу с любого компьютера, оснащенного устройством чтения смарт-карт, с мобильного телефона или КПК.

Протоколы типа "запрос-ответ" легко "расширяются" до схемы взаимной аутентификации (рис. 3). В этом случае в запросе на аутентификацию пользователь (шаг 1) посылает свое случайное число (N1). Сервер на шаге 2, помимо своего случайного числа (N2), должен отправить еще и число N1, зашифрованное соответствующим ключом. Тогда перед выполнением шага 3 пользователь расшифровывает его и проверяет: совпадение расшифрованного числа с N1 указывает, что сервер обладает требуемым секретным ключом, т. е. это именно тот сервер, который нужен пользователю. Такая процедура аутентификации часто называется рукопожатием.

Рисунок 3 - Схема протокола взаимной аутентификации

Как видно, аутентификация будет успешна только в том случае, если пользователь предварительно зарегистрировался на данном сервере и каким-либо образом обменялся с ним секретным ключом.

Заметим, что вместо симметричного шифрования в протоколах данного семейства может применяться и асимметричное шифрование, и электронная цифровая подпись. В таких случаях схему аутентификации легко расширить на неограниченное число пользователей, достаточно применить цифровые сертификаты в рамках инфраструктуры открытых ключей.

Протокол Kerberos

Протокол Kerberos, достаточно гибкий и имеющий возможности тонкой настройки под конкретные применения, существует в нескольких версиях. Мы рассмотрим упрощенный механизм аутентификации, реализованный с помощью протокола Kerberos версии 5 (рис. 4):

Рисунок 4 - Схема протокола Kerberos

Прежде всего, стоит сказать, что при использовании Kerberos нельзя напрямую получить доступ к какому-либо целевому серверу. Чтобы запустить собственно процедуру аутентификации, необходимо обратиться к специальному серверу аутентификации с запросом, содержащим логин пользователя. Если сервер не находит автора запроса в своей базе данных, запрос отклоняется. В противном случае сервер аутентификации формирует случайный ключ, который будет использоваться для шифрования сеансов связи пользователя с еще одним специальным сервером системы: сервером предоставления билетов (Ticket-Granting Server, TGS). Данный случайный ключ (обозначим его Ku-tgs) сервер аутентификации зашифровывает на ключе пользователя (Kuser) и отправляет последнему. Дополнительная копия ключа Ku-tgs с рядом дополнительных параметров (называемая билетом) также отправляется пользователю зашифрованной на специальном ключе для связи серверов аутентификации и TGS (Ktgs). Пользователь не может расшифровать билет, который необходим для передачи серверу TGS на следующем шаге аутентификации.

Следующее действие пользователя - запрос к TGS, содержащий логин пользователя, имя сервера, к которому требуется получить доступ, и тот самый билет для TGS. Кроме того, в запросе всегда присутствует метка текущего времени, зашифрованная на ключе Ku-tgs. Метка времени нужна для предотвращения атак, выполняемых повтором перехваченных предыдущих запросов к серверу. Подчеркнем, что системное время всех компьютеров, участвующих в аутентификации по протоколу Kerberos, должно быть строго синхронизировано.

В случае успешной проверки билета сервер TGS генерирует еще один случайный ключ для шифрования сеансов связи между пользователем, желающим получить доступ, и целевым сервером (Ku-serv). Этот ключ шифруется на ключе Kuser и отправляется пользователю. Кроме того, аналогично шагу 2, копия ключа Ku-serv и необходимые целевому серверу параметры аутентификации (билет для доступа к целевому серверу) посылаются пользователю еще и в зашифрованном виде (на ключе для связи TGS и целевого сервера - Kserv).

Теперь пользователь должен послать целевому серверу полученный на предыдущем шаге билет, а также метку времени, зашифрованную на ключе Ku-serv. После успешной проверки билета пользователь наконец-то считается аутентифицированным и может обмениваться информацией с целевым сервером. Ключ Ku-serv, уникальный для данного сеанса связи, часто применяется и для шифрования пересылаемых в этом сеансе данных.

В любой системе может быть несколько целевых серверов. Если пользователю необходим доступ к нескольким из них, он снова формирует запросы к серверу TGS - столько раз, сколько серверов нужно ему для работы. Сервер TGS генерирует для каждого из таких запросов новый случайный ключ Ku-serv, т. е. все сессии связи с различными целевыми серверами защищены при помощи разных ключей.

Процедура аутентификации по протоколу Kerberos выглядит достаточно сложной. Однако не стоит забывать, что все запросы и зашифровывание их нужными ключами автоматически выполняет ПО, установленное на локальном компьютере пользователя. Вместе с тем необходимость установки достаточно сложного клиентского ПО - несомненный недостаток данного протокола. Впрочем, сегодня поддержка Kerberos встроена в наиболее распространенные ОС семейства Windows, начиная с Windows 2000, что нивелирует данный недостаток.

Второй недостаток - необходимость в нескольких специальных серверах (доступ к целевому серверу обеспечивают как минимум еще два, сервер аутентификации и TGS). Однако в системах с небольшим числом пользователей все три сервера (аутентификации, TGS и целевой) могут физически совмещаться на одном компьютере.

Вместе с тем следует подчеркнуть, что сервер аутентификации и TGS должны быть надежно защищены от несанкционированного доступа злоумышленников. Теоретически злоумышленник, получивший доступ к TGS или серверу аутентификации, способен вмешаться в процесс генерации случайных ключей или получить ключи всех пользователей и, следовательно, инициировать сеансы связи с любым целевым сервером от имени любого легального пользователя.

Сергей Панасенко ,
к. т. н., начальник отдела разработки ПО фирмы "Анкад"
[email protected]

Типы аутентификации

В настоящее время для такой проверки применяется информация трех видов.

Удаленная аутентификация

Доступ по паролю

Запрос-ответ

Процедура проверки включает как минимум четыре шага (рис. 2):

пользователь посылает серверу запрос на доступ, включающий его логин;
сервер генерирует случайное число и отправляет его пользователю;
пользователь шифрует полученное случайное число симметричным алгоритмом шифрования на своем уникальном ключе (см. , "BYTE/Россия" № 8"2003), результат зашифрования отправляется серверу;
сервер расшифровывает полученную информацию на том же ключе и сравнивает с исходным случайным числом. При совпадении чисел пользователь считается успешно аутентифицированным, поскольку признается владельцем уникального секретного ключа.

Протокол Kerberos

Прежде всего стоит сказать, что при использовании Kerberos нельзя напрямую получить доступ к какому-либо целевому серверу. Чтобы запустить собственно процедуру аутентификации, необходимо обратиться к специальному серверу аутентификации с запросом, содержащим логин пользователя. Если сервер не находит автора запроса в своей базе данных, запрос отклоняется. В противном случае сервер аутентификации формирует случайный ключ, который будет использоваться для шифрования сеансов связи пользователя с еще одним специальным сервером системы: сервером предоставления билетов (Ticket-Granting Server, TGS). Данный случайный ключ (обозначим его Ku-tgs) сервер аутентификации зашифровывает на ключе пользователя (Kuser) и отправляет последнему. Дополнительная копия ключа Ku-tgs с рядом дополнительных параметров (называемая билетом) также отправляется пользователю зашифрованной на специальном ключе для связи серверов аутентификации и TGS (Ktgs). Пользователь не может расшифровать билет, который необходим для передачи серверу TGS на следующем шаге аутентификации.

* * *

Выбор того или иного протокола зависит в первую очередь от важности информации, доступ к которой предоставляется по результатам аутентификации. Другой критерий - удобство использования. И здесь, как и везде, полезно соблюдать разумный баланс. Иногда, если нет особых требований к секретности процедуры аутентификации, вместо надежного (но непростого в реализации) протокола типа Kerberos лучше использовать "элементарный" парольный протокол РАР, простота и удобство применения которого часто перевешивают все его недостатки.

При подключении к WiFi сети возникает ошибка аутентификации – это весьма распространенная проблема. Именно поэтому так важно разобрать, почему она появляется и как ее устранить. Но прежде чем переходить к настройкам сети и устранению неполадок следует разобрать, что такое аутентификация. Это позволит понять, почему появляется данная ошибка и как быстро и надолго ее устранить.

Что такое аутентификация

Это система защиты беспроводных сетей, которая не позволяет посторонним подключаться к вашей группе. На сегодняшний день существует несколько типов аутентификации. Выбрать наиболее подходящий вариант можно в настройках роутера или точки доступа, которая используется для создания домашней сети. Как правило, в наше время используется тип шифрования (аутентификация) WPA-PSKWPA2-PSK2 mixed.

Это наиболее защищенный тип шифрования данных, который очень сложно взломать или обойти. При этом он также может разделяться на два типа. К примеру, в домашних условиях используется вариант с одной ключевой фразой для всех абонентов. Пользователь сам устанавливает ключ, который в дальнейшем требуется для подключения к сети.

Второй тип шифрования используется в организациях, которые требуют повышенного уровня защиты. В таком случае каждому доверенному абоненту присваивается уникальная парольная фраза. То есть вы сможете войти в группу только со своего компьютера и только после введения уникального ключа. В подавляющем большинстве случаев ошибка аутентификации при подключении к сети WiFi возникает именно в случае несоответствия типов шифрования и введенной парольной фразы.

Почему возникает ошибка аутентификации WiFi: Видео

Почему появляется ошибка проверки подлинности и как ее устранить

Как уже говорилось выше, если при подключении к WiFi сети система пишет «Ошибка аутентификации», то в первую очередь стоит проверить правильно написания ключевой фразы, а также включен ли Caps Lock. , то его можно проверить в настройках роутера. Но для этого вам придется подключиться к нему при помощи кабеля.

Рассмотрим, как узнать пароль на примере роутера D-LinkDir-615. После подключения к устройству откройте любимый браузер и в адресной строке пропишите IP маршрутизатора. Узнать его можно в инструкции или на корпусе самого устройства (внимательно осмотрите его со всех сторон).

Как легко узнать IP адрес WiFi роутера: Видео

Также узнать IP роутера можно при помощи командной строки. Нажмите комбинацию клавиш Windows+R, пропишите CMD и нажмите «Enter». В появившемся окне напишите команду ipconfig. Найдите строку «Основной шлюз» – это и есть нужный нам адрес.

Пропишите его в адресной строке браузера и нажмите «Enter». Дальше система попросит ввести логин и пароль. Пишем admin, admin соответственно.

Теперь внизу экрана найдите и нажмите кнопку «Расширенные настройки». Появится несколько дополнительных окон. Нас интересует раздел под названием «WiFi». В нем нужно найти настройки безопасности. Именно здесь вы можете выбрать тип аутентификации (шифрования) и изменить пароль.

Подключение к WiFi роутеру в Windows 8: Видео

Иногда проблема аутентификации при подключении компьютера к WiFi появляется даже при правильно введенном ключе. Это может означать, что в роутере произошел сбой или он просто подвис. Устраняется это простой перезагрузкой устройства. Это можно сделать в настройках или простым отключением питания на 7-10 минут.

Также следует проверить канал, на котором работает роутер. Для этого возвращаемся в начальное меню. В разделе WiFi нажимаем «Основные настройки» и находим строку «Канал». Рекомендуется устанавливать значение «Автоматически».

Встречаются и случаи, когда подобная ошибка появляется не из-за неполадок в роутере и не из-за неправильно введенного ключа. В таком случае следует проверить настройки в операционной системе.

Проверка ОС при ошибке аутентификации

Для подключения к беспроводной сети компьютер использует вай-фай адаптер. Именно из-за его неправильной работы могут появляться проблемы аутентификации сети WiFi. В первую очередь следует проверить наличие и правильность работы драйверов. Делается это в диспетчере устройств, который можно запустить следующим образом. Находите ярлык «Мой компьютер» и нажимаете на него правой кнопкой мышки.

Выбираете «Свойства» и открываете «Диспетчер устройств». Также можно одновременно нажать две клавиши – Windows+R, в появившемся окне написать mmc devmgmt.msc и нажать «Enter». В появившемся окне нас интересует «Сетевые адаптеры». Открываем ветку и смотрим, есть ли в списке ваш WiFi модуль. Как правило, в названии имеет Wireless Network Adapter. Если устройство помечено восклицательным знаком, то драйвера работают неправильно.

Что такое аутентификация? Это процедура, во время которой проверяются данные на их соответствие настоящим. Происходит верификация и сравниваются вводимые данные с той информацией, которая указана в базе. Проверка подлинности может осуществляться по цифровой подписи. Еще один способ сверяет контрольную сумму файла со значением, указанным автором.

В процессе опознавания участвуют 5 элементов. Вот их список:

субъект;
характеристика;
владелец системы;
механизм аутентификации;
механизм управления доступом.

Под субъектом рассматривается человек, который пытается авторизоваться. Он знает код аутентификации, это его характеристики. Механизм распознавания проверяет пароль, а механизм управления доступом - это процесс, который впускает пользователя. Если введенные данные не совпадают, значит аутентификация не прошла.

Как работают элементы легко понять на примере снятия денег в банкомате. Субъект - это человек, который хочет получить деньги, характеристика - это его банковская карта и персональный ID. Владелец - это непосредственно сам банк, который для проверки данных использует собственный механизм аутентификации. Анализируется карта и идентификатор клиента банка, а также введенный пароль и пин-код. В том случае, если все сходится, пользователь получает разрешение на выполнение банковских действий. Это есть технология управления доступом. В итоге владелец успешно снимает нужную сумму денег, если пин и пароль верны.

Электронная подпись

Существует несколько видов :

обычная электронная подпись;
профессиональная подпись;
неквалифицированная.

Квалифицированную подпись можно отличить по тому, что у нее есть сертификат, где указан ключ для проверки. Она получается в результате криптографического преобразования информации и позволяет определить владельца документа. Также он помогает обнаружить любые изменения в документе (даже если они были произведены после проверки).

Неквалифицированная подпись определяет человека по ключу, с ее помощью можно отслеживать любые изменения. Основное отличие от предыдущего варианта в отсутствии сертификата и подтверждения со стороны закона.

Простая электронная подпись создана посредством использования кодов и паролей, она идентифицирует определенное лицо.

Многоразовые пароли

Процесс использование многоразовых паролей выглядит так:

запрашивается доступ, вводятся данные для доступа;
эти данные обрабатываются на сервисе, они сравниваются;
если все совпадает, то система пропускает на следующую страницу, в противном случае субъект возвращается к первому шагу и повторяет свои действия.

Эталонный пароль хранится на сервере, как правило, без криптографических преобразований. Получив к нему доступ, легко добраться до конфиденциальной информации.

По ГОСТу 28147-89, необходимо использовать 256 битный ключ. Это сочетание знаков подбирается при использовании генератора псевдослучайных чисел. Распространенная ошибка, по которой многих пользователей взламывают, это использование слов из словаря. Если такой код долго не меняется, злоумышленник его подбирает простым перебором.

Одноразовые пароли

Часто используются в двухэтапной аутентификации. Преимущества этого вида паролей перед многоразовыми в том, что злоумышленнику сложней пробраться в систему. Суть метода One Time Password в том, что для осуществления входа каждый раз требуется новый код. Существуют три технологии:

Генерация псевдослучайных чисел.
Система единого времени. Этот метод основан на генерации случайных чисел в течение определенного времени. Когда субъект запрашивает доступ, ему нужно ввести пин-код и случайное число. Происходит сопоставление этих данных с информацией, которая хранится в базе.
Единая база паролей для человека и системы. Каждый пароль может использоваться только один раз и его сложно перехватить.

Аутентификация по SMS

Этот способ обеспечивает эффективную защиту от взлома. Он предусматривает использование одноразового кода. Главное преимущество в том, что верификационный ключ отсылается по другому каналу. Что такое аутентификация по СМС? Понять это можно на примере того, как происходит этот процесс:

Человек вводит свое имя и пароль аутентификации.
Получает на указанный номер телефона аутентификационный ключ в виде текстового сообщения.
Вводит его в соответствующее поле.
Программа проверяет сходство.

Иногда безопасность усиливают требованием ввода пин-кода. Этот способ распространен в банковских операциях, когда необходимо обеспечить клиенту банка безопасность.

Биометрия

Один из способов, который практически на 100% защищает пользователя от перехвата его пароля и потери данных, это использование биометрии. Он обеспечивает идентификацию пользователя по его уникальным характеристикам. Следующий список содержит наиболее используемые биометрический атрибуты:

Отпечатки пальцев. Сканер для идентификации человека по следам пальцев имеет небольшой размер, прост в использовании.
Когда просканировать отпечатки пальцев невозможно, анализируют геометрию руки. Биологическая повторяемость этого способа намного больше предыдущего, но все равно крайне мала и составляет всего 2%.
Сетчатка глаза - очень эффективное средство идентификации личности. Это наиболее точный вариант, который используется в современных
Используя конденсаторный микрофон и звуковую плату, можно проанализировать голос собеседника и установить его личность. Вероятность ошибки - не более 5%. Верификация по голосу производится по телефонным каналам связи.
Отслеживание скорости ввода текста на клавиатуре редко используется для идентификации личности, но помогает отфильтровать результаты.
Контроль рукописной подписи. Анализируется совокупность символов, написанных от руки. Для идентификации человека используется графические планшеты дигитайзеры.

Биометрическая проверка - относительно новое направление, оно применяется в интеллектуальных расчетных карточках. Способ будет использован в магазинах нового формата, которые не предусматривают прямую оплату картой или наличными.

Что такое аутентификация по биометрическим признакам легко понять на следующих примерах. Для совершения покупки клиенту необходимо приложить палец на сканер. Другой вариант предусматривает спектральный анализ лица покупателя. Он заходит в магазин, камера его фотографирует, при выходе из магазина деньги снимаются прямо с его баланса. Покупка осуществляется без использования каких-либо платежных инструментов.

Местоположение

Что такое аутентификация по местоположению? Способ используется в связке с другими методами установления личности человека. Это один из распространенных способов во время аутентификации при подключении wi-fi. Самые популярные способы опознавания по географическому положению:

место выхода в интернет.

По местонахождению невозможно доказать подлинность удаленного пользователя, но поможет избежать взлома. Например, пользователю приходит сообщение о том, что в аккаунт заходят с непривычного места. Теперь человек может контролировать ситуацию: заблокировать учетную запись или разрешить доступ. Датчик GPS отправляет многократные сигналы, благодаря чему местоположение пользователя определяется достаточно точно.

Второй способ напоминает первый, но механизм основан не на использовании спутников, а на точках беспроводной связи.

Многофакторная аутентификация

В способе сочетается несколько факторов. Это значительно увеличивает защищенность системы. Примером тому может послужить продвинутая защита в некоторых ноутбуках. Требуется ввод кода, отслеживается местоположение, используется двухэтапная аутентификация. Если что-то не сходится, личность идентифицируется с помощью кода подтверждения, который приходит на мобильный телефон.

что делать

Ошибки возникают как при входе на сайт, так и при подключении к Wi-Fi. На примере идентификации в беспроводной сети можно понять, что проблемы в основном появляются в двух случаях:

несоответствие типа шифрования;
неправильно введенный ключ.

Если человек неправильно вводит связку логин-пароль, он получает сообщение “Нет данных для вашей аутентификации” или другой текст. Обязательно текст будет похожим по смыслу на приведенный. Если пользователь уверен в том, что его логин и ключ соответствует настоящим, нужно искать проблему в типе шифрования. Этот параметр настраивается непосредственно в настройках маршрутизатора.

Классификация методов аутентификации

В зависимости от степени доверительных отношений, структуры, особенностей сети и удаленности объекта проверка может быть односторонней или взаимной. Также различают однофакторную и строгую (криптографическую) аутентификации. Из однофакторных систем, наиболее распространенными на данный момент являются парольные системы аутентификации. У пользователя есть идентификатор и пароль , т.е. секретная информация, известная только пользователю (и возможно - системе), которая используется для прохождения аутентификации. В зависимости от реализации системы, пароль может быть одноразовым или многоразовым. Рассмотрим основные методы аутентификации по принципу нарастающей сложности.

Базовая аутентификация

При использовании данного вида аутентификации имя пользователя и пароль включаются в состав веб-запроса (HTTP POST или HTTP GET). Любой перехвативший пакет, легко узнает секретную информацию. Даже если контент с ограниченным доступом не слишком важен, этот метод лучше не использовать, так как пользователь может применять один и тот же пароль на нескольких веб-сайтах . Опросы Sophos показывают, что 41% в г. и 33% в г. пользователей применяют для всей своей деятельности в Интернете всего один пароль, будь то сайт банка или районный форум . Также из недостатков парольной аутентификации следует отметить невысокий уровень безопасности – пароль можно подсмотреть, угадать, подобрать, сообщить посторонним лицам и т.д

Дайджест-аутентификация

HTTPS

Протокол HTTPS позволяет шифровать все данные, передаваемые между браузером и сервером, а не только имена пользователей и пароли. Протокол HTTPS (основанный на системе безопасности SSL) следует использовать в случае, если пользователи должны вводить важные личные данные - адрес, номер кредитной карты или банковские сведения. Однако использование данного протокола значительно замедляет скорость доступа.

Аутентификация по предъявлению цифрового сертификата

Механизмы аутентификации с применением цифровых сертификатов, как правило, используют протокол с запросом и ответом. Сервер аутентификации отправляет пользователю последовательность символов, так называемый запрос. В качестве ответа выступает запрос сервера аутентификации, подписанный с помощью закрытого ключа пользователя. Аутентификация с открытым ключом используется как защищенный механизм аутентификации в таких протоколах как SSL , а также может использоваться как один из методов аутентификации в рамках протоколов Kerberos и RADIUS .

Аутентификация по Cookies

Множество различных сайтов используют в качестве средства аутентификации cookies , к ним относятся чаты, форумы, игры. Если cookie удастся похитить, то, подделав его, можно аутентифицироваться в качестве другого пользователя. В случае, когда вводимые данные плохо фильтруются или не фильтруются вовсе, похитить cookies становится не очень сложным предприятием . Чтобы как-то улучшить ситуации используется защита по IP-адресу , то есть cookies сессии связываются с IP-адресом , с которого изначально пользователь ауторизовывался в системе. Однако IP-адрес можно подделать используя IP-спуфинг , поэтому надеяться на защиту по IP-адресу тоже нельзя. На данный момент большинство браузеров используют куки с флагом HTTPonly , который запрещает доступ к cookies различным скриптам.

Децентрализованная аутентификация

Одним из главных минусов таких систем является то, что взлом дает доступ сразу ко многим сервисам.

OpenID

подвержен фишинговым атакам . Например, мошеннический сайт может перенаправить пользователя на поддельный сайт OpenID провайдера, который попросит пользователя ввести его секретные логин и пароль.
уязвим перед атакой человек посередине

Аутентификация по OpenID сейчас активно используется и предоставляется такими гигантами, как BBC , Google , IBM , Microsoft MySpace , PayPal , VeriSign , Yandex и Yahoo!

OpenAuth

Используется для аутентификации AOL пользователей на веб-сайтах . Позволяет им пользоваться сервисами AOL , а также любыми другими надстроенными над ними. Позволяет проходить аутентификацию на сайтах, не относящихся к AOL , при этом не создавая нового пользователя на каждом сайте. Протокол функционирует похожим на OpenID образом . Также приняты дополнительные меры безопасности:

данные сессии (в том числе информация о пользователе) хранятся не в cookies.
cookies аутентификации шифруются алгоритмом "PBEWithSHAAnd3-KeyTripleDES-CBC"
доступ к cookies аутентификации ограничен определенным доменом, так что дрyгие сайты не имеют к ним доступа (в том числе сайты AOL)

OAuth

OAuth позволяет пользователю разрешить одному интернет-сервису получить доступ к данным пользователя на другом интернет-сервисе . Протокол используется в таких системах, как Twitter , Google (Google также поддерживает гибридный протокол, объединяющий в себе OpenID и OAuth)

Отслеживание аутентификации самим пользователем

Во многом безопасность пользователей в Интернете зависит от поведения самих пользователей. Так например, Google показывает с какого IP адреса включены пользовательские сесcии, логирует авторизацию, также позволяет осуществить следующие настройки:

Зачастую пользователю сообщается с какого IP адреса он последний раз проходил аутентификацию.

Многофакторная аутентификация

Для повышения безопасности на практике используют несколько факторов аутентификации сразу. Однако, при этом важно понимать, что не всякая комбинация нескольких методов является многофакторной аутентификацией. Используются факторы различной природы:

Свойство, которым обладает субъект. Например, биометрия, природные уникальные отличия: лицо, отпечатки пальцев, радужная оболочка глаз, капиллярные узоры, последовательность ДНК.
Знание - информация, которую знает субъект. Например, пароль, пин-код.
Владение - вещь, которой обладает субъект. Например, электронная или магнитная карта, флеш-память.

В основе одного из самых надёжных на сегодняшний день методов многофакторной аутентификации лежит применение персональных аппаратных устройств - токенов . По сути, токен – это смарт-карта или USB-ключ. Токены позволяют генерировать и хранить ключи шифрования, обеспечивая тем самым строгую аутентификацию.

Использование классических «многоразовых» паролей является серьёзной уязвимостью при работе с чужих компьютеров, например в интернет-кафе . Это подтолкнуло ведущих производителей рынка аутентификации к созданию аппаратных генераторов одноразовых паролей . Такие устройства генерируют очередной пароль либо по расписанию (например, каждые 30 секунд), либо по запросу (при нажатии на кнопку). Каждый такой пароль можно использовать только один раз. Проверку правильности введённого значения на стороне сервера проверяет специальный сервер аутентификации, вычисляющий текущее значение одноразового пароля программно. Для сохранения принципа двухфакторности аутентификации помимо сгенерированного устройством значения пользователь вводит постоянный пароль.

Примечания

Wikimedia Foundation . 2010 .

Аустрия (футбольный клуб
Примитивная изоляция

Смотреть что такое "Аутентификация в Интернете" в других словарях:

Дайджест аутентификация - HTTP Постоянное соединение · Сжатие · HTTPS Методы OPTIONS · GET · HEAD · POST · PUT · DELETE · TRACE · CONNECT · PATCH Заголовки Cookie · ETag · Location · Referer DNT · X Forwarded For … Википедия

SSL - Эта статья должна быть полностью переписана. На странице обсуждения могут быть пояснения. SSL (англ. Secure Sockets Layer … Википедия

Уязвимости AJAX - Эта статья должна быть полностью переписана. На странице обсуждения могут быть пояснения … Википедия

Криптографический протокол - (англ. Cryptographic protocol) это абстрактный или конкретный протокол, включающий набор криптографических алгоритмов. В основе протокола лежит набор правил, регламентирующих использование криптографических преобразований и алгоритмов … Википедия

HTTP cookie - У этого термина существуют и другие значения, см. Cookie. HTTP Постоянное соединение · Сжатие · HTTPS Методы OPTIONS · GET · HEAD · POST · PUT · DELETE · TRACE · CONNECT · PATCH Заголовки Cookie … Википедия

SSH - Название: Secure Shell Уровень (по модели OSI): Прикладной Семейство: TCP/IP Порт/ID: 22/TCP Назначение протокола: Удалённый доступ Спецификация: RFC 4251 Основные реализации (клиенты) … Википедия

Таблица сетевых протоколов по функциональному назначению - Таблица сетевых протоколов по функциональному назначению содержит список всех существующих (а также существовавших в прошлом) протоколов, имеющих отношение к компьютерным сетям (сетевые протоколы). Сетевой протокол набор правил,… … Википедия

Ironkey S200 - флеш диск с прозрачным аппаратным шифрованием данных, который производит компания IronKey. IronKey S200 является первым накопителем на основе флеш памяти, который сертифицирован по уровню 3 стандарта FIPS 140 2. Содержание 1 … Википедия

Internet Information Services - Разработчик Microsoft Операционная система Microsoft Windows NT Последняя версия 7.5 Тестовая версия 8.0 Лицензия Проприетарная Сайт … Википедия

Content Scramble System - У этого термина существуют и другие значения, см. CSS (значения). Работа с оптическими дисками Оптический диск Образ оптического диска, ISO образ Эмулятор оптических дисководов Программное обеспечение для работы с файловыми системами оптических… … Википедия

Книги

Новая парадигма защиты и управления персональными данными в РФ и зарубежных странах в условиях разви , Дупан А.С.. В монографии представлено исследование актуальных проблем регулирования отношение по оказанию услуг операторами доверенных сервисов (прежде всего идентификацияи аутентификация лиц при…