На головну

Парольні системи ідентифікації і аутентифікації користувачів

  1. B.3. Системи економетричних рівнянь
  2. D.3. Системи економетричних рівнянь
  3. I. Суб'єктивні методи дослідження ендокринної системи.
  4. I. Суб'єктивні методи дослідження кровотворної системи.
  5. II. Об'єктивні методи дослідження ендокринної системи. Особливості загального огляду.
  6. II. Перевірка і усунення затираний рухомий системи РМ.
  7. III. Об'єктивні методи дослідження ендокринної системи.

Парольні системи ідентифікації / аутентифікації є одними з основних і найбільш поширених в СЗІ методів користувальницької аутентифікації. В даному випадку інформацією, аутентифицирующей користувача, є певний секретний пароль, відомий тільки легальному користувачеві.

Сукупність ідентифікатора і пароля користувача - основні складові його облікового запису. База даних користувачів пральний системи містить облікові записи всіх користувачів КС.

Парольні системи є часто «переднім краєм оборони» всієї системи безпеки. Окремі її елементи можуть бути розташовані в місцях, відкритих для доступу потенційному зловмиснику (в тому числі і база даних облікових записів користувачів). У зв'язку з цим, парольні системи стають одним з найбільш привабливих для зловмисника об'єктів атаки. Основними типами загроз безпеки пральних систем є наступні.

1. Перебір паролів в інтерактивному режимі.

2. підглянуті пароля.

3. Навмисна передача пароля його власником іншій особі.

4. Крадіжка бази даних облікових записів з подальшим її аналізом, підбором пароля.

5. Перехоплення вводиться пароля шляхом впровадження в КС програмних закладок (клавіатурних шпигунів); перехоплення пароля, переданого через мережу.

6. Соціальна інженерія.

Багато недоліки пральних систем пов'язані з наявністю людського фактора, який проявляється в тому, що користувач, найчастіше, прагне вибрати пароль, який легко запам'ятати (а значить і підібрати), записати складно запам'ятовується пароль. Легальний користувач здатний ввести пароль так, що його можуть побачити сторонні, передати пароль іншій особі навмисно або під впливом помилки.

Для зменшення деструктивного впливу людського фактора необхідно реалізувати ряд вимог до вибору і використання паролів [Помилка! Джерело посилання не знайдено.].

1. Завдання мінімальної довжини пароля для утруднення підбору пароля зловмисником «в лоб» (повний перебір, brute-forcing) і підглянуті.

2. Використання в паролі різних груп символів для ускладнення підбору зловмисником пароля «в лоб».

3. Перевірка і відбраковування пароля за словником для утруднення підбору пароля зловмисником з використанням словників.

4. Встановлення максимального терміну дії пароля для утруднення підбору пароля зловмисником «в лоб», в тому числі і в режимі «off-line» при зломі попередньо викраденої бази даних облікових записів користувачів.

5. Застосування евристичного алгоритму, шлюб «погані» паролі для ускладнення підбору пароля зловмисником «по словнику» або з використанням евристичного алгоритму.

6. Обмеження кількості спроб введення пароля для запобігання інтерактивного підбору пароля зловмисником.

7. Використання затримки при введенні неправильного пароля для запобігання інтерактивного підбору пароля зловмисником.

8. Підтримка режиму примусової зміни пароля користувача для ефективності реалізації вимоги, що обмежує максимальний термін дії пароля.

9. Заборона на вибір пароля самим користувачем і автоматична генерація паролів для утруднення використання зловмисником евристичного алгоритму підбору паролів.

Кількісна оцінка стійкості пральних системможе бути виконана за допомогою наступного підходу [25, 28].

нехай A - Потужність алфавіту паролів (кількість символів, які можуть бути використані при складанні пароля). Наприклад, якщо при складанні пароля можуть бути використані тільки малі латинські букви, то A= 26.

L - Довжина пароля.

 - Число всіляких паролів довжини L, Які можна скласти з символів алфавіту A. Sтакож називають простором атаки.

V - Швидкість перебору паролів зловмисником.

T - Максимальний термін дії пароля.

Тоді, ймовірність P підбору пароля зловмисником протягом строку його дії Т визначається за такою формулою.

Цю формулу можна звернути для вирішення наступного завдання:

ЗАВДАННЯ. Визначити мінімальні потужність алфавіту паролів A і довжину паролів L, Що забезпечують можливість вибору пароля зловмисником не більше заданої P, При швидкості підбору паролів V, Максимальний термін дії пароля T.

Дане завдання має неоднозначне рішення. При вихідних даних V, T, P однозначно можна визначити лише нижню межу S * числа всіляких паролів. Цілочисельне значення нижньої межі обчислюється за формулою

 (4.1)

де  - Ціла частина числа, взята з округленням вгору.

Після знаходження нижньої межі S * необхідно вибрати такі A и L, Щоб виконувалася нерівність (4.2).

 (4.2)

При виборі S, Що задовольняє нерівності (4.2), можливість вибору пароля зловмисником (при заданих V и T) Буде менше або дорівнює P.

При обчисленнях за формулами (4.1) і (4.2), величини повинні бути приведені до однієї розмірності.

приклад

Початкові дані - P= 10-6, T= 7 днів = 1 тиждень, V= 10 паролів / хвилину = 10 * 60 * 24 * 7 = 100800 паролів в тиждень.

тоді, .

умовою  задовольняють, наприклад, такі пари величин A и L, як A= 26, L= 8 (паролі складаються з 8 малих символів англійського алфавіту), A= 36, L= 6 (паролі складаються з 6 символів, серед яких можуть бути малі латинські букви і цифри).

 



Попередня   14   15   16   17   18   19   20   21   22   23   24   25   26   27   28   29   Наступна

Критерії, умови і принципи віднесення інформації до інформації, що захищається. Види конфіденційної інформації. | Санкціонований і несанкціонований доступ | Ретроспективний аналіз підходів до формування безлічі загроз інформації | Цілі і завдання оцінки загроз інформації в сучасних системах її обробки | Система показників уразливості інформації | Методи і моделі оцінки вразливості інформації | Базові властивості безпеки інформації. Канали реалізації загроз | Основні принципи забезпечення інформаційної безпеки | Заходи забезпечення безпеки комп'ютерних систем | Характеристика способів захисту комп'ютерної інформації за допомогою апаратно-програмних заходів |

© um.co.ua - учбові матеріали та реферати