На головну

поняття аутентифікації

  1. I. 1. 1. Поняття про психологію
  2. I. 1. 3. Поняття про свідомість
  3. I.2.1) Поняття права.
  4. II. 4.1. Поняття про особистість в психології 1 сторінка
  5. II. 4.1. Поняття про особистість в психології 2 сторінка
  6. II. 4.1. Поняття про особистість в психології 3 сторінка
  7. II. 4.1. Поняття про особистість в психології 4 сторінка

Аутентифікація поряд з авторизацією (про яку розповідається далі) являє собою фундаментальний атрибут інформаційної безпеки.

Термін «аутентифікація» (authentication) походить від латинського слова authenticus, яке означає справжній, достовірний, відповідний самому собі. Аутентифікація, або, іншими словами, процедура встановлення автентичності, може бути застосовна як до людей, так і іншим об'єктам, зокрема до програм, пристроїв, документам.

аутентифікація користувача - Це процедура підтвердження користувачем того, що він є той, за кого себе видає.

Зокрема, при виконанні логічного входу в захищену систему користувач повинен пройти процедуру аутентифікації, тобто довести, що саме йому належить введений нею ідентифікатор (ім'я користувача). Аутентифікація запобігає доступ до мережі небажаних осіб і дозволяє вхід для легальних користувачів. У процедурі аутентифікації беруть участь дві сторони: одна сторона доводить свою автентичність, пред'являючи деякі докази, інша сторона - аутентифікатор - перевіряє ці докази і приймає рішення. Як доказ автентичності застосовуються найрізноманітніші прийоми:

? аутентіфіціруемий може продемонструвати знання якогось загального для обох сторін секрету: слова (пароля) або факту (дати і місця події, прізвиська людини і т. П.);

? аутентіфіціруемий може продемонструвати, що він має деяким унікальним предметом (фізичним ключем), в якості якого може виступати, наприклад, електронна магнітна карта;

? аутентіфіціруемий може довести свою ідентичність, використовуючи власні біохарактерістікі: малюнок райдужної оболонки ока або відбитки пальців, які попередньо були занесені в базу даних аутентифікатора.

Мережеві служби аутентифікації будуються на основі всіх цих прийомів, але частіше за все для доказу ідентичності користувача застосовують паролі. Простота і логічна ясність механізмів аутентифікації на основі паролів в якійсь мірі компенсує відомі слабкості паролів. Це, по-перше, можливість розкриття і розгадування паролів, по-друге, можливість «підслуховування» пароля шляхом аналізу мережевого трафіку. Для зниження рівня загрози розкриття паролів адміністратори мережі, як правило, застосовують вбудовані програмні засоби, що служать для формування політики призначення і використання паролів: завдання максимального і мінімального термінів дії пароля, зберігання списку вже використаних паролів, управління поведінкою системи після декількох невдалих спроб логічного входу і т. п.

ПРИМІТКА

Багато користувачів нехтують загрозами, які несуть в собі легко вгадуються паролі. Так, черв'як Mumu, який вразив комп'ютерні мережі в 2003 році, шукав свої жертви, підбираючи паролі з дуже короткого списку: password, passwd, admin, pass, 123, 1234, 12345, 123456 і порожній рядок. Така напрочуд примітивна стратегія дала прекрасні (з точки зору атакуючої сторони) результати - безліч комп'ютерів було зламано.

Легальність користувача може встановлюватися по відношенню до різних систем. Так, працюючи в мережі, користувач може проходити процедуру аутентифікації і як локальний користувач, який претендує на ресурси тільки даного комп'ютера, і як користувач мережі, який бажає отримати доступ до всіх мережевих ресурсів. При локальної аутентифікації користувач вводить свої ідентифікатор і пароль, які автономно обробляються операційною системою, встановленою на даному комп'ютері. При логічному вході в мережу дані про користувача (ідентифікатор і пароль) передаються на сервер, який зберігає облікові записи всіх користувачів мережі. Однак така спрощена схема має великий недолік - при передачі пароля з клієнтського комп'ютера на сервер, що виконує процедуру аутентифікації, цей пароль може бути перехоплений зловмисником. Тому застосовуються різні прийоми, щоб уникнути передачі пароля по мережі в незахищеному вигляді.

Аутентифікація, в процесі якої використовуються методи шифрування, а аутентифікаційних інформація не передається по мережі, називається суворої.

Багато додатків мають власні кошти визначення, чи є користувач законним. І тоді користувачеві доводиться проходити додаткові етапи перевірки. Як уже зазначалося, в якості об'єктів, що вимагають аутентифікації, можуть виступати не тільки користувачі, але і різні додатки, пристрої, текстова і інша інформація.

Так, користувач, який звертається із запитом до корпоративного веб-сервера, повинен довести йому свою легальність, але він також повинен переконатися сам, що веде діалог дійсно з веб-сервером свого підприємства. Іншими словами, сервер і клієнт повинні пройти процедуру аутентифікації. Тут ми маємо справу з аутентификацией на рівні додатків.

При встановленні сеансу зв'язку між двома пристроями також часто передбачаються процедури взаємної аутентифікації пристроїв на більш низькому, канальному, рівні (див. Далі розділ «Сувора аутентифікація на основі багаторазового пароля в протоколі CHAP»).

Аутентифікація даних означає доказ цілісності цих даних, а також те, що вони вчинили саме від тієї людини, яка оголосив про це. Для цього використовується механізм електронного підпису. Раніше ми вже дізналися, як використовується для аутентифікації даних несиметричне шифрування.



Попередня   440   441   442   443   444   445   446   447   448   449   450   451   452   453   454   455   Наступна

троянські програми | Мережеві черв'яки | шпигунські програми | Класифікація методів захисту | Політика безпеки | шифрування | Симетричні алгоритми шифрування | алгоритм DES | Несиметричні алгоритми шифрування | алгоритм RSA |

© um.co.ua - учбові матеріали та реферати