Identificación y autenticación. ¿Es así de simple? Limitaciones a la posibilidad de resolver correctamente un problema. Los métodos de autenticación de contraseña se dividen en:
La identificación y la autenticación son la primera línea de defensa, la “puerta de entrada” al espacio de información de la organización.
La identificación permite que una entidad (usuario, proceso que actúa en nombre de un usuario específico u otro componente de hardware y software) se identifique (indique su nombre).
Mediante la autenticación, la segunda parte se asegura de que el sujeto es quien dice ser. La frase "autenticación" se utiliza a veces como sinónimo de la palabra "autenticación".
La autenticación puede ser unidireccional (normalmente el cliente demuestra su identidad al servidor) o bidireccional (mutua). Un ejemplo de autenticación unidireccional es el procedimiento de inicio de sesión del usuario.
En un entorno de red, donde las partes de identificación/autenticación están geográficamente dispersas, el servicio en cuestión tiene dos aspectos principales:
- · qué sirve como autenticador;
- · cómo se organiza (y protege) el intercambio de datos de identificación/autenticación.
Una entidad puede acreditar su identidad presentando al menos una de las siguientes entidades:
- · algo que sabe (contraseña, número de identificación personal, clave criptográfica, etc.);
- · algo de su propiedad (una tarjeta personal u otro dispositivo de finalidad similar);
- · algo que forma parte de él mismo (voz, huellas dactilares, etc., es decir, sus características biométricas).
En un entorno de red abierto, no existe una ruta confiable entre las partes de identidad/autenticación; esto significa que, en general, los datos enviados por el sujeto pueden no ser los mismos que los datos recibidos y utilizados para la autenticación. Es necesario brindar protección contra la escucha pasiva y activa de la red, es decir, contra la interceptación, modificación y/o reproducción de datos. Pasar contraseñas en texto claro es obviamente insatisfactorio; Cifrar contraseñas tampoco ayuda, ya que no protege contra la repetición. Se necesitan protocolos de autenticación más complejos.
La identificación fiable es difícil no sólo debido a las amenazas en línea, sino también por varias razones.
En primer lugar, casi todas las entidades de autenticación pueden ser aprendidas, robadas o falsificadas. En segundo lugar, existe una contradicción entre la fiabilidad de la autenticación, por un lado, y la comodidad para el usuario y administrador del sistema, por el otro. Entonces, por razones de seguridad, es necesario pedirle al usuario que vuelva a ingresar la información de autenticación con cierta frecuencia (después de todo, otra persona podría sentarse en su lugar), y esto no solo es problemático, sino que también aumenta la probabilidad de que alguien puede espiar la entrada de datos. En tercer lugar, cuanto más fiables sean los medios de protección, más caros serán.
Las herramientas modernas de identificación/autenticación deben soportar el concepto de inicio de sesión único en la red. El inicio de sesión único en la red es, ante todo, un requisito para la comodidad de los usuarios. Si hay muchos servicios de información en la red corporativa a los que se puede acceder de forma independiente, entonces la identificación/autenticación múltiple se vuelve demasiado engorrosa. Desafortunadamente, todavía no se puede decir que el inicio de sesión único en la red se haya convertido en la norma; aún no han surgido soluciones dominantes.
Por lo tanto, se debe llegar a un equilibrio entre confiabilidad, asequibilidad y facilidad de uso y administración de las herramientas de identificación y autenticación.
Es interesante observar que el servicio de identidad/autenticación puede ser blanco de ataques de accesibilidad. Si el sistema está configurado de modo que después de una cierta cantidad de intentos fallidos, un dispositivo de ingreso de identidad (como una terminal) quede bloqueado, entonces un atacante puede impedir que un usuario legítimo trabaje con solo presionar unas pocas teclas.
Diagrama estructural de términos.
términos menores
Término clave
Requisitos de conocimientos y habilidades.
Objetivos de estudiar el tema.
Introducción
El estudiante debe saber:
· mecanismos de identificación y autenticación;
· identificadores utilizados para implementar el mecanismo de identificación y autenticación.
El estudiante debe ser capaz de:
· utilizar mecanismos de identificación y autenticación para proteger los sistemas de información.
Término clave: identificación y autenticación.
· mecanismo de identificación;
· mecanismo de autenticación.
4.1.2. Definición de los conceptos "identificación" y "autenticación"
La identificación y la autenticación se utilizan para restringir el acceso de sujetos (usuarios, procesos) aleatorios e ilegales de los sistemas de información a sus objetos (hardware, software y recursos de información).
El algoritmo general para el funcionamiento de dichos sistemas es obtener información de identificación de un sujeto (por ejemplo, un usuario), verificar su autenticidad y luego proporcionar (o no proporcionar) a este usuario la capacidad de trabajar con el sistema.
La presencia de procedimientos de autenticación y/o identificación para los usuarios es un requisito previo para cualquier sistema seguro, ya que todos los mecanismos de seguridad de la información están diseñados para funcionar con sujetos y objetos designados de los sistemas de información.
Demos definiciones de estos conceptos.
Identificación– asignar un identificador personal para acceder a sujetos y objetos y compararlo con uno determinado.
Autenticación(autenticación): comprobar que el sujeto de acceso es propietario del identificador presentado por él y confirmar su autenticidad. En otras palabras, la autenticación consiste en comprobar si la entidad que se conecta es quien dice ser.
Al construir sistemas de identificación y autenticación, surge el problema de elegir un identificador a partir del cual se llevan a cabo los procedimientos de identificación y autenticación del usuario. Generalmente se utilizan los siguientes como identificadores:
· un conjunto de caracteres (contraseña, clave secreta, identificador personal, etc.) que el usuario recuerda o utiliza medios de almacenamiento especiales (llaves electrónicas) para recordarlos;
· parámetros fisiológicos de una persona (huellas dactilares, patrones del iris, etc.) o características de comportamiento (características de trabajar con un teclado, etc.).
Los métodos de autenticación simples y familiares más comunes se basan en contraseñas– identificadores de sujetos confidenciales. En este caso, cuando el sujeto ingresa su contraseña, el subsistema de autenticación la compara con la contraseña almacenada de forma cifrada en la base de datos de referencia. Si las contraseñas coinciden, el subsistema de autenticación permite el acceso a los recursos del sistema.
Los métodos de autenticación de contraseñas según el grado de modificabilidad de las contraseñas se dividen en:
· métodos que utilizan contraseñas permanentes (reutilizables);
· métodos que utilizan contraseñas de un solo uso (que cambian dinámicamente).
El uso de contraseñas únicas o que cambian dinámicamente es un método más seguro de protección con contraseña.
Recientemente, se han generalizado los métodos combinados de identificación y autenticación, que requieren, además de conocer la contraseña, la presencia de una tarjeta (token), un dispositivo especial que confirma la identidad del sujeto.
Las tarjetas se dividen en dos tipos:
· pasivo (tarjetas de memoria);
· activo (tarjetas inteligentes).
Las más habituales son las tarjetas pasivas con banda magnética, que se leen mediante un dispositivo especial que dispone de teclado y procesador. Al utilizar la tarjeta especificada, el usuario ingresa su número de identificación. Si coincide con la versión electrónica codificada en la tarjeta, el usuario accede al sistema. Esto le permite identificar de manera confiable a la persona que obtuvo acceso al sistema y evitar el uso no autorizado de la tarjeta por parte de un atacante (por ejemplo, si se pierde). Este método suele denominarse autenticación de dos factores.
Además de la memoria, las tarjetas inteligentes disponen de su propio microprocesador. Esto le permite implementar varias opciones para los métodos de protección con contraseña, por ejemplo, contraseñas reutilizables y contraseñas que cambian dinámicamente.
Los métodos de autenticación basados en la medición de los parámetros biométricos de una persona proporcionan casi un 100% de identificación, resolviendo el problema de la pérdida o extravío de contraseñas e identificadores personales. Sin embargo, estos métodos no se pueden utilizar para identificar procesos o datos (objetos de datos); apenas están comenzando a desarrollarse y aún requieren equipos complejos y costosos. Esto determina que hasta ahora sólo se utilicen en instalaciones especialmente importantes.
Ejemplos de implementación de estos métodos son los sistemas de identificación de usuarios basados en el patrón del iris, la escritura, el timbre de la voz, etc.
La dirección más nueva en autenticación es demostrar la identidad de un usuario remoto en función de su ubicación. Este mecanismo de protección se basa en el uso de un sistema de navegación espacial como el GPS (Global Positioning System). Un usuario con equipo GPS envía repetidamente las coordenadas de satélites específicos ubicados en la línea de visión. El subsistema de autenticación, conociendo las órbitas de los satélites, puede determinar la ubicación del usuario con una precisión de hasta un metro. La alta fiabilidad de la autenticación está determinada por el hecho de que las órbitas de los satélites están sujetas a fluctuaciones bastante difíciles de predecir. Además, las coordenadas cambian constantemente, lo que excluye su intercepción. Este método de autenticación se puede utilizar en los casos en que el usuario remoto autorizado deba estar ubicado en la ubicación deseada.
El procedimiento general para identificar y autenticar a un usuario cuando accede a un sistema de información protegido es el siguiente.
El usuario proporciona al sistema su identificador personal (por ejemplo, ingresa una contraseña o proporciona un dedo para escanear sus huellas dactilares). A continuación, el sistema compara el identificador recibido con todos los identificadores almacenados en su base de datos. Si el resultado de la comparación es exitoso, entonces el usuario obtiene acceso al sistema dentro de la autoridad establecida. Si el resultado es negativo, el sistema informa un error y le solicita que vuelva a ingresar el identificador. En los casos en que el usuario excede el límite de posibles repeticiones al ingresar información (un límite en el número de repeticiones es un requisito previo para los sistemas seguros), el sistema se bloquea temporalmente y se emite un mensaje sobre acciones no autorizadas (y, tal vez, desapercibidas para el usuario).
Si la autenticidad del sujeto se establece durante el proceso de autenticación, entonces el sistema de seguridad de la información debe determinar sus poderes (conjunto de derechos). Esto es necesario para el posterior control y diferenciación del acceso a los recursos.
En general, la autenticación según el nivel de seguridad de la información se divide en tres categorías:
1. Autenticación estática.
2. Autenticación sólida.
3. Autenticación constante.
La primera categoría brinda protección solo contra acciones no autorizadas en sistemas donde el atacante no puede leer la información de autenticación durante una sesión de trabajo. Un ejemplo de herramienta de autenticación estática son las contraseñas persistentes tradicionales. Su eficacia depende principalmente de la dificultad para adivinar las contraseñas y, de hecho, de su protección.
La autenticación sólida utiliza datos de autenticación dinámica que cambian con cada sesión. Las implementaciones de autenticación sólida son sistemas que utilizan contraseñas de un solo uso y firmas electrónicas. La autenticación sólida proporciona protección contra ataques en los que un atacante puede interceptar información de autenticación y utilizarla en sesiones posteriores.
Sin embargo, una autenticación sólida no proporciona protección contra ataques activos, durante los cuales un atacante enmascarado puede rápidamente (durante la sesión de autenticación) interceptar, modificar e insertar información en el flujo de datos transmitido.
La autenticación persistente garantiza que cada bloque de datos transmitido esté identificado, evitando modificaciones o inserciones no autorizadas. Un ejemplo de implementación de esta categoría de autenticación es el uso de algoritmos para generar firmas electrónicas para cada bit de información transmitida.
Para evitar intrusiones no autorizadas en el sistema de información, se utilizan varios mecanismos de seguridad. Los principales son la identificación y autenticación de usuarios.
La identificación permite al sujeto(un usuario, un proceso que actúa en nombre de un usuario específico u otro componente de hardware y software) se identifica (proporciona su nombre). Mediante la autenticación, la segunda parte se asegura de que el sujeto es quien dice ser. La frase "autenticación" se utiliza a veces como sinónimo de la palabra "autenticación".
Identificación– se trata de la asignación de identificadores para acceder a sujetos y objetos y la comparación del identificador presentado con la lista aprobada.
Identificador es un medio de identificación del acceso, que constituye un rasgo distintivo del sujeto u objeto del acceso.
Autenticación es el proceso de confirmar la autenticidad de datos arbitrarios presentados en formato electrónico.
Autenticador – es un medio de autenticación que representa la identidad del usuario.
El ejemplo más simple de un proceso de identificación es cuando un usuario ingresa su nombre al iniciar sesión en el sistema; el proceso de autenticación es cuando ingresa un nombre y una contraseña.
Un sujeto puede acreditar su identidad presentando al menos una de las siguientes entidades:
· algo que sabe (contraseña, número de identificación personal, clave criptográfica, etc.);
· algo de su propiedad (una tarjeta personal u otro dispositivo de finalidad similar);
Contraseña es un medio de identificación de acceso, que es una palabra clave en forma alfabética, numérica o alfanumérica.
La principal ventaja de la autenticación con contraseña es su simplicidad y familiaridad. Las contraseñas se han integrado desde hace mucho tiempo en los sistemas operativos y otros sistemas de información. Cuando se usan correctamente, las contraseñas pueden proporcionar un nivel aceptable de seguridad para muchas organizaciones. Sin embargo, por el conjunto de sus características, deberían reconocerse como el medio de autenticación más débil.
Biometría Es un conjunto de métodos automatizados para identificar y/o autenticar personas en función de sus características fisiológicas y de comportamiento. . Las características fisiológicas incluyen rasgos de las huellas dactilares, la retina y la córnea de los ojos, la geometría de la mano y la cara, etc. Las características de comportamiento incluyen la dinámica de la firma (manual), el estilo de trabajar con el teclado. En la intersección de la fisiología y el comportamiento se encuentran el análisis de las características de la voz y el reconocimiento del habla.
En general, el trabajo con datos biométricos se organiza de la siguiente manera. En primer lugar, se crea y mantiene una base de datos de plantillas de características biométricas para usuarios potenciales. Para hacer esto, las características biométricas del usuario se capturan, procesan y el resultado del procesamiento (llamado plantilla biométrica) se ingresa en una base de datos (los datos sin procesar, como el resultado de un escaneo de dedo o de córnea, generalmente no se almacenan). .
En el futuro, para identificar (y al mismo tiempo autenticar) al usuario, se repite el proceso de eliminación y procesamiento, tras lo cual se realiza una búsqueda en la base de datos de plantillas. Si la búsqueda tiene éxito, se considera establecida la identidad y autenticidad del usuario. Para la autenticación, basta con comparar con una plantilla biométrica seleccionada en función de los datos ingresados previamente.
Para evitar que un atacante acceda a la información si irrumpe en un sistema, a menudo se utiliza la codificación o el cifrado de la información.
Cifrado (codificación) de datos.- es el cambio de información mediante códigos secretos y un algoritmo de codificación para evitar el acceso no autorizado a los datos.
Criptografía- la ciencia de los métodos matemáticos para garantizar la confidencialidad (imposibilidad de leer información por parte de personas ajenas) y la autenticidad (integridad y autenticidad de la autoría, así como la imposibilidad de rechazar la autoría) de la información.
El cifrado es el medio más poderoso para garantizar la confidencialidad. En muchos aspectos, ocupa un lugar central entre los reguladores de seguridad de software y hardware, siendo la base para la implementación de muchos de ellos y, al mismo tiempo, la última (y a veces la única) línea de defensa. Por ejemplo, en el caso de los ordenadores portátiles, sólo el cifrado puede garantizar la confidencialidad de los datos incluso en caso de robo.
Hay dos métodos de cifrado principales: simétrico y asimétrico.
En el primero de ellos, se utiliza la misma clave (mantenida en secreto) tanto para cifrar como para descifrar datos. . Existe un estándar nacional para tales métodos: GOST 28147-89 “Sistemas de procesamiento de información. Protección criptográfica. Algoritmo de conversión criptográfica".
La principal desventaja del cifrado simétrico es que tanto el remitente como el destinatario deben conocer la clave secreta. Por un lado, esto crea el problema de la distribución de claves. Por otro lado, el destinatario, basándose en la presencia de un mensaje cifrado y descifrado, no puede demostrar que recibió este mensaje de un remitente específico, ya que él mismo podría haber generado el mismo mensaje.
Los métodos asimétricos (Fig. 14.3) utilizan dos claves. Uno de ellos, no clasificado (puede publicarse junto con otra información pública sobre el usuario), se utiliza para cifrar, el otro (secreto, conocido sólo por el destinatario) se utiliza para descifrar. El más popular de los asimétricos es el método RSA (Rivest, Shamir, Adleman), basado en operaciones con números primos grandes (digamos, de 100 dígitos) y sus productos.
Una desventaja importante de los métodos de cifrado asimétrico es su bajo rendimiento, por lo que estos métodos deben combinarse con métodos simétricos (los métodos asimétricos son entre 3 y 4 órdenes de magnitud más lentos).
Los métodos asimétricos permitieron resolver el importante problema de desarrollar conjuntamente claves secretas (esto es esencial si las partes no confían entre sí) al servicio de la sesión de interacción, en ausencia inicial de secretos compartidos. Para ello se utiliza el algoritmo de Diffie-Hellman.
firma digital electrónica– detalles de un documento electrónico, destinados a proteger este documento electrónico contra la falsificación, obtenidos como resultado de la transformación criptográfica de información utilizando la clave privada de una firma digital electrónica y que permite identificar al propietario del certificado de clave de firma, así como a Establecer la ausencia de distorsión de la información en el documento electrónico.
A veces es importante no sólo ocultar información importante a un atacante, sino también ocultar el hecho mismo de la existencia de dicha información. Aquí es donde la criptografía informática (esteganografía) viene al rescate.
esteganografía tiene una historia centenaria y es significativamente más antigua que la criptografía. La palabra "esteganografía" en sí, traducida del griego, significa literalmente "escritura secreta" (steganos - secreto, secreto; grafía - registro) y Es la incorporación de un mensaje secreto en varios datos aparentemente inofensivos.. En el futuro, estos mensajes podrán almacenarse y transmitirse junto con dichos datos sin que los espías informáticos sospechen. Mientras que los desarrolladores de algoritmos criptográficos suponen que un adversario potencial hará cualquier cosa para descifrar un mensaje, el desarrollador de un algoritmo esteganográfico se preocupa por evitar que el adversario descubra la existencia del mensaje que contiene el secreto.
Sistema esteganográfico o estegosistema, es un conjunto de herramientas y métodos que se utilizan para formar un canal encubierto para transmitir información.
El mensaje que debe transmitirse al remitente se integra en el contenedor mediante un software especial. Contenedor: cualquier información destinada a ocultar mensajes secretos. Los datos del contenedor deben ser lo suficientemente ruidosos como para que no se pueda notar un pequeño cambio en su desorden. Los bits del contenedor, aunque son ruidosos desde el punto de vista de la precisión de la medición, pueden tener algunas características estadísticas especiales. Se espera que la codificación del mensaje secreto reproduzca las características de ruido del contenedor. El objetivo es difícil de alcanzar, pero realista. Por lo tanto, la elección del contenedor tiene un impacto significativo en la confiabilidad de todo el estegosistema y en la capacidad de detectar la transmisión de un mensaje oculto. Por ejemplo, el ojo experimentado de un censor con formación artística detectará fácilmente un cambio en la combinación de colores al introducir un mensaje en una reproducción del "Cuadrado negro" de Malevich.
Para la mayoría de los métodos modernos utilizados para ocultar mensajes en contenedores digitales, se produce la siguiente dependencia de la confiabilidad del sistema del volumen de mensajes incrustados: a medida que aumenta el volumen de mensajes incrustados, la confiabilidad del sistema disminuye (mientras el tamaño del contenedor permanece sin cambios). Por tanto, el contenedor utilizado en el estegosistema impone restricciones sobre el tamaño de los datos integrados.
Las marcas de agua digitales se utilizan para proteger los derechos de autor o de propiedad en imágenes digitales, fotografías u otras obras de arte digitalizadas. Los principales requisitos para dichos datos integrados son la confiabilidad y la resistencia a la distorsión. Las marcas de agua digitales son de tamaño pequeño, pero para incrustarlas se utilizan técnicas más complejas que simplemente incrustar mensajes o titulares.
Los encabezados se utilizan principalmente para etiquetar imágenes en grandes repositorios electrónicos (bibliotecas) de imágenes digitales, archivos de audio y video. En este caso, los métodos esteganográficos se utilizan no sólo para introducir un encabezado identificativo, sino también otras características individuales del archivo.
Actualmente, la esteganografía informática continúa desarrollándose: se está formando una base teórica y se están desarrollando métodos nuevos y más sólidos para incrustar mensajes. Entre las principales razones del aumento observado del interés por la esteganografía se encuentran las restricciones adoptadas en varios países sobre el uso de los métodos criptográficos más avanzados, así como el problema de la protección de los derechos de autor de las obras artísticas en las redes globales digitales. Por tanto, podemos esperar nuevas publicaciones y novedades en este ámbito en un futuro próximo.
Aunque la esteganografía y la criptografía tienen objetivos fundamentalmente diferentes, no deben considerarse alternativas entre sí. Lo más probable es que sean dos caras de la misma moneda. Y no sólo porque sólo su uso conjunto sea verdaderamente eficaz, sino también porque parten de una base metodológica e instrumental común.
Las tendencias en el desarrollo de la esteganografía informática muestran que en los próximos años aumentará cada vez más el interés por el desarrollo de sus métodos. Las condiciones para ello ya se han formado hoy. En particular, es bien sabido que la relevancia del problema de la seguridad de la información crece constantemente y estimula la búsqueda de nuevos métodos de protección de la información. Por otro lado, el rápido desarrollo de las tecnologías de la información permite implementar estos nuevos métodos de protección de la información. Y, por supuesto, un fuerte catalizador de este proceso es el desarrollo de la red informática pública mundial Internet, así como problemas controvertidos de Internet no resueltos como la protección de los derechos de autor, la protección de los derechos sobre los secretos personales, la organización del comercio electrónico y las actividades ilegales de los piratas informáticos. , terroristas, etc.
Identificación acceder al asunto es que el asunto le dice al sistema información de identificación sobre usted (nombre, número de cuenta, etc.) y así identificarse.
Autenticación(autenticación) evita que personas no deseadas accedan a la red y permite la entrada a usuarios legítimos. El proceso de autenticación debe distinguirse del proceso de identificación.
El término "autenticación" se traduce del latín como "establecer autenticidad". La autenticación debe distinguirse de la identificación. Los identificadores de usuario se utilizan en el sistema con los mismos fines que los identificadores de cualquier otro objeto, archivo, proceso o estructura de datos, pero no están directamente relacionados con la seguridad. La identificación consiste en que el usuario informa al sistema de su identificador, mientras que la autenticación es el procedimiento para que el usuario acredite que es quien dice ser, en particular, la prueba de que es propietario del identificador que introdujo.
En el procedimiento de autenticación participan dos partes: una prueba su autenticidad presentando algunas pruebas y la otra parte, el autenticador, comprueba estas pruebas y toma una decisión. Se utilizan diversas técnicas para demostrar la autenticidad:
la persona autenticada puede demostrar conocimiento de un determinado secreto común a ambas partes: una palabra (contraseña) o un hecho (fecha y lugar de un evento, apodo de una persona, etc.);
la persona autenticada puede demostrar que posee un determinado objeto único (llave física), que puede ser, por ejemplo, una tarjeta magnética electrónica;
el autenticador puede probar su identidad utilizando sus propias biocaracterísticas: patrón de iris o huellas dactilares, que previamente se ingresaron en la base de datos del autenticador.
Los servicios de autenticación en línea se basan en todas estas técnicas, pero la mayoría de las veces utilizan contraseñas para demostrar la identidad de un usuario. La simplicidad y claridad lógica de los mecanismos de autenticación basados en contraseñas compensan en cierta medida las conocidas debilidades de las contraseñas. Se trata, en primer lugar, de la capacidad de revelar y desentrañar contraseñas y, en segundo lugar, de la capacidad de "espiar" una contraseña analizando el tráfico de la red. Para reducir el nivel de amenaza de la divulgación de contraseñas, los administradores de red, por regla general, utilizan herramientas de software integradas para crear una política para asignar y usar contraseñas: establecer períodos máximos y mínimos de validez de contraseñas, almacenar una lista de contraseñas ya utilizadas, administrar Comportamiento del sistema después de varios intentos fallidos de inicio de sesión, etc. Se puede evitar que las contraseñas sean interceptadas a través de la red cifrándolas antes de transmitirlas a la red.
La legalidad del usuario puede establecerse en relación con diversos sistemas. Por lo tanto, cuando trabaja en una red, un usuario puede someterse al procedimiento de autenticación tanto como usuario local que afirma utilizar sólo los recursos de una computadora determinada, como como usuario de la red que desea obtener acceso a todos los recursos de la red. Con la autenticación local, el usuario ingresa su ID y contraseña, que son procesados de forma autónoma por el sistema operativo instalado en el ordenador. Cuando se inicia una sesión lógica en la red, los datos del usuario (identificador y contraseña) se transfieren al servidor, que almacena las cuentas de todos los usuarios de la red. Muchas aplicaciones tienen sus propios medios para determinar si un usuario es legítimo. Y luego el usuario debe pasar por pasos de verificación adicionales.
No sólo los usuarios, sino también diversos dispositivos, aplicaciones, textos y otra información pueden actuar como objetos que requieren autenticación. Así, por ejemplo, un usuario que realiza una solicitud a un servidor corporativo debe demostrarle que es legal, pero también debe verificar por sí mismo que realmente está dialogando con el servidor de su empresa. En otras palabras, el servidor y el cliente deben someterse a una autenticación mutua. Aquí estamos tratando con la autenticación a nivel de aplicación. Autenticar datos significa acreditar la integridad de los datos y que provienen de quien los declaró. Para ello se utiliza un mecanismo de firma electrónica.
Autorización El asunto del acceso se produce después de una identificación y autenticación exitosas. Cuando un sujeto está autorizado, el sistema operativo realiza las acciones necesarias para que el sujeto comience a trabajar en el sistema. Por ejemplo, la autorización del usuario en el sistema operativo UNIX implica generar un proceso, que es el shell operativo con el que el usuario trabajará posteriormente. En el sistema operativo Windows NT, la autorización del usuario incluye la creación de un token de acceso de usuario, la creación de un escritorio y la ejecución en él, en nombre del usuario autorizado, del proceso Userinit, que inicializa el entorno de software individual del usuario. La autorización del sujeto no está directamente relacionada con el subsistema de seguridad del sistema operativo. Durante el proceso de autorización se solucionan problemas puramente técnicos relacionados con la organización del inicio del trabajo en el sistema para un sujeto de acceso ya identificado y autenticado.
Los procedimientos de autorización se implementan mediante software, que puede integrarse en el sistema operativo o la aplicación, y también puede suministrarse como productos de software separados. Al mismo tiempo, los sistemas de autorización de software se pueden construir sobre la base de dos esquemas:
Esquema descentralizado basado en estaciones de trabajo.
En el primer esquema, el servidor gestiona el proceso de proporcionar recursos al usuario. El objetivo principal de estos sistemas es implementar el "principio de inicio de sesión único". De acuerdo con el esquema centralizado, el usuario inicia sesión en la red una vez y recibe un determinado conjunto de permisos para acceder a los recursos de la red durante todo su trabajo. El sistema Keberos, con su servidor de seguridad y su arquitectura cliente-servidor, es el sistema más conocido de este tipo. Los sistemas TACASS y RADIUS, que a menudo se utilizan junto con sistemas de acceso remoto, también implementan este enfoque.
En el segundo enfoque, la estación de trabajo en sí está protegida: las herramientas de protección se ejecutan en cada máquina y no se requiere ningún servidor. Consideremos el funcionamiento de un sistema que no proporciona un único procedimiento de entrada lógico. En teoría, el acceso a cada aplicación debería estar controlado por los controles de seguridad de la propia aplicación o por controles de seguridad en el entorno operativo en el que se ejecuta.
En redes grandes, a menudo se utiliza un enfoque combinado para otorgar derechos de acceso al usuario a los recursos de la red: el servidor de acceso remoto limita el acceso del usuario a subredes o servidores de la red corporativa, es decir, a elementos de red ampliados, y cada servidor individual La propia red restringe el acceso de los usuarios a sus recursos internos: directorios compartidos, impresoras o aplicaciones. El servidor de acceso remoto proporciona acceso en en función de su lista de derechos de acceso de usuario (AccessControlList, ACL), y cada servidor de red individual proporciona acceso a sus recursos en función de la lista de derechos de acceso que almacena, por ejemplo, el sistema de archivos ACL.
Hagamos hincapié en que Los sistemas de autenticación y autorización realizan conjuntamente una tarea, por lo que es necesario imponer el mismo nivel de requisitos a los sistemas de autorización y autenticación. La falta de fiabilidad de un enlace aquí no puede ser compensado por la alta calidad de otro enlace. Si se utilizan contraseñas para la autenticación, se requieren medidas extraordinarias para protegerlas. Una vez robada, una contraseña abre la puerta a todas las aplicaciones y datos a los que el usuario con esa contraseña tenía acceso legal.
Requisitos de conocimientos y habilidades.
El estudiante debe saber:
mecanismos de identificación y autenticación;
identificadores utilizados para implementar el mecanismo de identificación y autenticación.
El estudiante debe ser capaz de:
utilizar mecanismos de identificación y autenticación para proteger los sistemas de información.
Término clave
Término clave: Identificación y autenticación.
Identificación y Autenticación se utilizan para restringir el acceso de sujetos (usuarios, procesos) aleatorios e ilegales de los sistemas de información a sus objetos (hardware, software y recursos de información).
términos menores
Definición de los conceptos de “identificación” y “autenticación”
Mecanismo de “identificación” y “autenticación” de usuarios
Diagrama estructural de términos.
4.1.1 Definición de los conceptos de “identificación” y “autenticación”
La presencia de procedimientos de autenticación y/o identificación para los usuarios es un requisito previo para cualquier sistema seguro, ya que todos los mecanismos de seguridad de la información están diseñados para funcionar con sujetos y objetos designados de los sistemas de información.
Demos definiciones de estos conceptos.
Identificación
Autenticación(autenticación): comprobar que el sujeto de acceso es propietario del identificador presentado por él y confirmar su autenticidad. En otras palabras, la autenticación consiste en comprobar si la entidad que se conecta es quien dice ser.
Al construir sistemas de identificación y autenticación, surge el problema de elegir un identificador a partir del cual se llevan a cabo los procedimientos de identificación y autenticación del usuario. Generalmente se utilizan los siguientes como identificadores:
un conjunto de caracteres (contraseña, clave secreta, identificador personal, etc.) que el usuario recuerda o utiliza medios de almacenamiento especiales (claves electrónicas) para recordarlos;
parámetros fisiológicos de una persona (huellas dactilares, patrón del iris, etc.) o características de comportamiento (características de trabajar en un teclado, etc.).
Los métodos de autenticación simples y familiares más comunes se basan en contraseñas - identificadores de sujetos confidenciales. En este caso, cuando el sujeto ingresa su contraseña, el subsistema de autenticación la compara con la contraseña almacenada de forma cifrada en la base de datos de referencia. Si las contraseñas coinciden, el subsistema de autenticación permite el acceso a los recursos del sistema.
Los métodos de autenticación de contraseñas según el grado de modificabilidad de las contraseñas se dividen en:
métodos que utilizan contraseñas permanentes (reutilizables);
métodos que utilizan contraseñas de un solo uso (que cambian dinámicamente).
El uso de contraseñas únicas o que cambian dinámicamente es un método más seguro de protección con contraseña.
Las tarjetas se dividen en dos tipos:
pasivo (tarjetas de memoria);
activo (tarjetas inteligentes).
Las más habituales son las tarjetas pasivas con banda magnética, que se leen mediante un dispositivo especial que dispone de teclado y procesador. Al utilizar la tarjeta especificada, el usuario ingresa su número de identificación. Si coincide con la versión electrónica codificada en la tarjeta, el usuario accede al sistema. Esto le permite identificar de manera confiable a la persona que obtuvo acceso al sistema y evitar el uso no autorizado de la tarjeta por parte de un atacante (por ejemplo, si se pierde). Este método suele denominarse autenticación de dos factores.
Además de la memoria, las tarjetas inteligentes disponen de su propio microprocesador. Esto le permite implementar varias opciones para los métodos de protección con contraseña, por ejemplo, contraseñas reutilizables y contraseñas que cambian dinámicamente.
Los métodos de autenticación basados en la medición de los parámetros biométricos de una persona proporcionan casi un 100% de identificación, resolviendo el problema de la pérdida o extravío de contraseñas e identificadores personales. Sin embargo, estos métodos no se pueden utilizar para identificar procesos o datos (objetos de datos); apenas están comenzando a desarrollarse y aún requieren equipos complejos y costosos. Esto determina que hasta ahora sólo se utilicen en instalaciones especialmente importantes.
Ejemplos de implementación de estos métodos son los sistemas de identificación de usuarios basados en el patrón del iris, la escritura, el timbre de la voz, etc.
La dirección más nueva en autenticación es demostrar la identidad de un usuario remoto en función de su ubicación. Este mecanismo de protección se basa en el uso de un sistema de navegación espacial como el GPS (Global Positioning System). Un usuario con equipo GPS envía repetidamente las coordenadas de satélites específicos ubicados en la línea de visión. El subsistema de autenticación, conociendo las órbitas de los satélites, puede determinar la ubicación del usuario con una precisión de hasta un metro. La alta fiabilidad de la autenticación está determinada por el hecho de que las órbitas de los satélites están sujetas a fluctuaciones bastante difíciles de predecir. Además, las coordenadas cambian constantemente, lo que excluye su intercepción. Este método de autenticación se puede utilizar en los casos en que el usuario remoto autorizado deba estar ubicado en la ubicación deseada.
4.1.2 Mecanismo de “identificación” y “autenticación” de usuarios
El procedimiento general para identificar y autenticar a un usuario cuando accede a un sistema de información protegido es el siguiente.
El usuario proporciona al sistema su identificador personal (por ejemplo, ingresa una contraseña o proporciona un dedo para escanear sus huellas dactilares). A continuación, el sistema compara el identificador recibido con todos los identificadores almacenados en su base de datos. Si el resultado de la comparación es exitoso, entonces el usuario obtiene acceso al sistema dentro de la autoridad establecida. Si el resultado es negativo, el sistema informa un error y le solicita que vuelva a ingresar el identificador. En los casos en que el usuario excede el límite de posibles repeticiones al ingresar información (un límite en el número de repeticiones es un requisito previo para los sistemas seguros), el sistema se bloquea temporalmente y se emite un mensaje sobre acciones no autorizadas (y, tal vez, desapercibidas para el usuario).
En general, la autenticación según el nivel de seguridad de la información se divide en tres categorías:
autenticación estática;
autenticación sólida;
autenticación permanente.
La primera categoría brinda protección solo contra acciones no autorizadas en sistemas donde el atacante no puede leer la información de autenticación durante una sesión de trabajo. Un ejemplo de herramienta de autenticación estática son las contraseñas persistentes tradicionales. Su eficacia depende principalmente de la dificultad para adivinar las contraseñas y, de hecho, de su protección.
La autenticación sólida utiliza datos de autenticación dinámica que cambian con cada sesión. Las implementaciones de autenticación sólida son sistemas que utilizan contraseñas de un solo uso y firmas electrónicas. La autenticación sólida proporciona protección contra ataques en los que un atacante puede interceptar información de autenticación y utilizarla en sesiones posteriores.
Sin embargo, una autenticación sólida no proporciona protección contra ataques activos, durante los cuales un atacante enmascarado puede rápidamente (durante la sesión de autenticación) interceptar, modificar e insertar información en el flujo de datos transmitido.
La autenticación persistente garantiza que cada bloque de datos transmitido esté identificado, evitando modificaciones o inserciones no autorizadas. Un ejemplo de implementación de esta categoría de autenticación es el uso de algoritmos para generar firmas electrónicas para cada bit de información transmitida.
Conclusiones sobre el tema.
La identificación y la autenticación se utilizan para restringir el acceso de sujetos (usuarios, procesos) aleatorios e ilegales de los sistemas de información a sus objetos (hardware, software y recursos de información).
El algoritmo general para el funcionamiento de dichos sistemas es obtener información de identificación de un sujeto (por ejemplo, un usuario), verificar su autenticidad y luego proporcionar (o no proporcionar) a este usuario la capacidad de trabajar con el sistema.
Identificación— asignar un identificador personal para acceder a sujetos y objetos y compararlo con uno determinado.
Autenticación(autenticación): comprobar que el sujeto de acceso es propietario del identificador presentado por él y confirmar su autenticidad.
Recientemente, se han generalizado los métodos combinados de identificación y autenticación, que requieren, además de conocer la contraseña, la presencia de una tarjeta (token), un dispositivo especial que confirma la autenticidad del sujeto.
Si la autenticidad del sujeto se establece durante el proceso de autenticación, entonces el sistema de seguridad de la información debe determinar sus poderes (conjunto de derechos). Esto es necesario para el posterior control y diferenciación del acceso a los recursos.
En general, la autenticación según el nivel de seguridad de la información se divide en tres categorías: autenticación estática, autenticación persistente y autenticación persistente.
La autenticación persistente es la más segura porque garantiza que cada dato transmitido esté identificado, evitando modificaciones o inserciones no autorizadas.
Como identificadores en los sistemas de autenticación, suelen utilizar un conjunto de caracteres (contraseña, clave secreta, identificador personal, etc.), que el usuario recuerda o utiliza medios de almacenamiento especiales (claves electrónicas) para recordarlos. En los sistemas de identificación, dichos identificadores son parámetros fisiológicos de una persona (huellas dactilares, patrones de iris, etc.) o características de comportamiento (características del uso de un teclado, etc.).
Preguntas de seguridad:
¿Qué se entiende por identificación de usuario?
¿Qué se entiende por autenticación de usuario?
¿El mecanismo de identificación es aplicable a los procesos? ¿Por qué?
¿Enumerar posibles identificadores al implementar un mecanismo de identificación?
-
