Несанкционированный доступ к информации. 
Способы аутентификации пользователей

Несанкционированный доступ к информации — доступ к информации, хранящейся на различных типах носителей в компьютерных данных, файловых хранилищах, архивах, секретных частях и т. д. различных организаций путём изменения (повышения, фальсификации) своих прав доступа.

Другими словами, это доступ к информации в нарушение должностных полномочий сотрудника, доступ к закрытой для публичного доступа информации со стороны лиц, не имеющих разрешения на доступ к этой информации. Так же иногда несанкционированным доступом называют получение доступа к информации лицом, имеющим право на доступ к этой информации в объёме, превышающем необходимый для выполнения служебных обязанностей.

Изменения уровня доступа достигаются путём использования методов социальной инженерии, ошибок и просчётов в системах безопасности, ошибок в программном обеспечении, а также подделки различных документов и удостоверений личности.

Причины несанкционированного доступа к информации:

• v ошибки конфигурации прав доступа (файлов, ограничений на массовость запросов к базам данных);
• v слабая защищенность средств авторизации (хищение паролей, смарт-карт, физический доступ к плохо охраняемому оборудованию, доступ к незаблокированным рабочим местам сотрудников в отсутствие сотрудников);
• v ошибки в программном обеспечении;
• v злоупотребление служебными полномочиями (воровство резервных копий, копирование информации на внешние носители при праве доступа к информации;
• v прослушивание каналов связи при использовании незащищённых соединений внутри ЛВС;
• v использование клавиатурных шпионов, вирусов и троянов на компьютерах сотрудников.

Аутентификация пользователя — это проверка, действительно ли проверяемый пользователь является тем, за кого он себя выдает. Различные методы аутентификации необходимы, фактически, во всех системах ограничения и разграничения доступа к данным — как распределенных, так и предназначенных для защиты отдельного компьютера.

Для корректной аутентификации пользователя необходимо, чтобы пользователь предъявил аутентификационную информацию — некую уникальную информацию, которой должен обладать только он и никто иной.

Существует три основных типа аутентификационной информации:

• 1. Проверяемый пользователь знает некую уникальную информацию. Пример: парольная аутентификация.
• 2. Пользователь имеет некий предмет с уникальными характеристиками или содержимым. Примеры: смарт-карта, USB-токен и т. д.
• 3. Аутентификационная информация является неотъемлемой частью пользователя. Пример: отпечаток пальца и другие виды биометрической аутентификации (биометрической называется аутентификация пользователя по его биометрическим признакам).

В любом из этих случаев процедура аутентификации выполняется в два следующих этапа:

• 1. У пользователя однократно берется некий эталонный образец аутентификационной информации, например, запрашивается пароль (или данный образец генерируется случайным образом и затем записывается на смарт-карту пользователя). Данный образец хранится у субъекта системы, проверяющего аутентификацию — модуля аутентификации (например, сервера, который выполняет аутентификацию пользователей). Обычно существует некоторое время действия данного эталона, по завершении которого эталонный образец перезапрашивается.
• 2. Каждый раз при выполнении аутентификации у пользователя запрашивается аутентификационная информация, которая сравнивается с эталоном. На основе данного сравнения делается вывод о подлинности пользователя.

Фактически, в модуле аутентификации хранится некая таблица соответствий идентификаторов пользователей (например, имен пользователей, вводимых ими при входе в систему) и эталонных образцов — см. таблицу 1.

Таблица 1.

Эталон может храниться как в «чистом» виде, так и в качестве результата некоторого преобразования запрошенной информации. Например, при регистрации пользователя в системе с биометрической аутентификацией после запроса отпечатка пальца выполняется его свертка в кодовое значение, зависящее от основных параметров отпечатка пальца. Впоследствии, при аутентификации пользователя выполняется аналогичное преобразование, результат которого сравнивается с кодовым значением. Ясно, что хранение отпечатка непосредственно в виде изображения потребовало бы больших объемов памяти для эталонов, а также затруднило бы сравнение образцов и увеличило бы время аутентификации.

Стоит сказать и о том, что в большинстве случаев аутентификационная информация не должна храниться в открытом виде и из соображений безопасности — например, эталонные образцы паролей хранятся в модуле аутентификации либо в зашифрованном виде, либо в виде хэш-значений.

Аутентификация может быть как односторонней (сервер проверяет пользователя на предмет последующего предоставления доступа или отказа в нем), так и взаимной (взаимная проверка подлинности неких участников информационного обмена).

Кроме того, для повышения стойкости аутентификации (т.е. усложнения кому-либо возможности аутентифицироваться под чужим именем) часто используют несколько методов аутентификации одновременно. Наиболее частые примеры: одновременное использование смарт-карты + ее PIN-кода (Personal Identification Number — в данном случае играет роль пароля для доступа к информации, хранящейся на смарт-карте) или пароля + отпечатка пальца. Аутентификация на основе одновременного предъявления аутентификационной информации двух видов называется двухфакторной.

Существуют примеры и трехфакторной аутентификации, определяемой аналогичным образом.

Рассмотрим наиболее показательные примеры использования аутентификационной информации каждого из перечисленных выше типов.

Парольная аутентификация В настоящее время парольная аутентификация является наиболее распространенной, прежде всего, благодаря своему единственному достоинству — простоте использования.

Однако, парольная аутентификация имеет множество недостатков:

• 1. В отличие от случайно формируемых криптографических ключей (которые, например, может содержать уникальный предмет, используемый для аутентификации), пароли пользователя бывает возможно подобрать из-за достаточно небрежного отношения большинства пользователей к формированию пароля. Часто встречаются случаи выбора пользователями легко предугадываемых паролей, например:
  • o пароль эквивалентен идентификатору (имени) пользователя (или имени пользователя, записанному в обратном порядке, или легко формируется из имени пользователя и т. д.);
  • o паролем является слово или фраза какого-либо языка; такие пароли могут быть подобраны за ограниченное время путем «словарной атаки» — перебора всех слов согласно словарю, содержащему все слова и общеупотребительные фразы используемого языка;
  • o достаточно часто пользователи применяют короткие пароли, которые взламываются методом «грубой силы», т. е. простым перебором всех возможных вариантов.
• 2. Существуют и свободно доступны различные утилиты подбора паролей, в том числе, специализированные для конкретных широко распространенных программных средств. Например, на сайте www.lostpassword.com описана утилита подбора пароля для документа Microsoft Word 2000 (Word Password Recovery Key), предназначенная для восстановления доступа к документу, если его владелец забыл пароль. Несмотря на данное полезное назначение, ничто не мешает использовать эту и подобные ей утилиты для взлома чужих паролей.
• 3. Пароль может быть получен путем применения насилия к его владельцу.
• 4. Пароль может быть подсмотрен или перехвачен при вводе.

Аутентификация с помощью уникального предмета В большинстве случаев аутентификация с помощью уникального предмета обеспечивает более серьезную защиту, чем парольная аутентификация.

Предметы, используемые для аутентификации, можно условно разделить на следующие две группы:

• 1. «Пассивные» предметы — содержат аутентификационную информацию (например, некий случайно генерируемый пароль) и передают ее в модуль аутентификации по требованию. При этом, аутентификационная информация может храниться в предмете как в открытом (примеры: магнитные карты, смарт-карты с открытой памятью, электронные таблетки Touch Memory), так и в защищенном виде (смарт-карты с защищенной памятью, USB-токены). В последнем случае требуется ввод PIN-кода для доступа к хранящимся данным, что автоматически превращает предмет в средство двухфакторной аутентификации.
• 2. «Активные» предметы — обладают достаточными вычислительными ресурсами и способны активно участвовать в процессе аутентификации (примеры: микропроцессорные смарт-карты и USB-токены). Эта возможность особенно интересна при удаленной аутентификации пользователя, поскольку на основе таких предметов можно обеспечить строгую аутентификацию. Под этим термином скрывается такой вид аутентификации, при котором секретная информация, позволяющая проверить подлинность пользователя, не передается в открытом виде.

Аутентификация с помощью уникальных предметов обладает и рядом недостатков:

• 1. Предмет может быть похищен или отнят у пользователя.
• 2. В большинстве случаев требуется специальное оборудование для работы с предметами.
• 3. Теоретически возможно изготовление копии или эмулятора предмета.

Биометрическая аутентификация Биометрическая аутентификация основана на уникальности ряда характеристик человека. Наиболее часто для аутентификации используются следующие характеристики:

• 1. Отпечатки пальцев.
• 2. Узор радужной оболочки глаза и структура сетчатки глаза.
• 3. Черты лица.
• 4. Форма кисти руки.
• 5. Параметры голоса.
• 6. Схема кровеносных сосудов лица.
• 7. Форма и способ подписи.

В процессе биометрической аутентификации эталонный и предъявленный пользователем образцы сравнивают с некоторой погрешностью, которая определяется и устанавливается заранее. Погрешность подбирается для установления оптимального соотношения двух основных характеристик используемого средства биометрической аутентификации:

• Ш FAR (False Accept Rate) — коэффициент ложного принятия (т.е. некто успешно прошел аутентификацию под именем легального пользователя).
• Ш FRR (False Reject Rate) — коэффициент ложного отказа (т.е. легальный пользователь системы не прошел аутентификацию).

Обе величины измеряются в процентах и должны быть минимальны. Следует отметить, что величины являются обратнозависимыми, поэтому аутентифицирующий модуль при использовании биометрической аутентификации настраивается индивидуально — в зависимости от используемой биометрической характеристики и требований к качеству защиты ищется некая «золотая середина» между данными коэффициентами. Серьезное средство биометрической аутентификации должно позволять настроить коэффициент FAR до величин порядка 0,01 — 0,001% при коэффициенте FRR до 3−5%.

В зависимости от используемой биометрической характеристики, средства биометрической аутентификации имеют различные достоинства и недостатки. Например, использование отпечатков пальцев наиболее привычно и удобно для пользователей, но, теоретически, возможно создание «искусственного пальца», успешно проходящего аутентификацию.

Общий же недостаток биометрической аутентификации — необходимость в оборудовании для считывания биометрических характеристик, которое может быть достаточно дорогостоящим.