Новые технологии безопасности – в жизнь?

Интерес к технологиям аутентификации неуклонно растет

Всё новое обычно не сразу завоевывает сердца потребителей. Особенно когда дело касается информационных технологий, в частности защиты информации. Тем не менее, тема аутентификации сейчас – одна из самых "модных". Технологии аутентификации давно активно обсуждаются и последние три года применяются всё чаще.

• Предъявите… что-нибудь?

Прежде чем пользователь получит доступ к ресурсам информационной системы, он должен последовательно пройти процедуры идентификации и аутентификации. Напомним, что идентификацией называется процедура распознавания пользователя по его уникальной метке (в простейшем случае по идентификатору – сетевому имени или набору символов, состоящему из букв, цифр или других символов). Аутентификация – это проверка подлинности предъявленного пользователем идентификатора, проводимая обычно с применением криптографических преобразований. В современных реализациях в аутентификации участвуют, как минимум, две стороны, которые в ходе диалога, состоящего из процессов зашифровывания запросов и ответов, должны убедиться во взаимной подлинности. Положительным результатом аутентификации (кроме установления доверительных отношений и выработки сессионного ключа) является авторизация пользователя, т. е. предоставление ему прав доступа к ресурсам, определённым для выполнения его задач.

Различают однофакторную и строгую (двухфакторную, с применением криптографии) аутентификации. Введение многими авторами термина "трёхфакторная аутентификация" пока неоправданно с точки зрения практических промышленных решений, хотя теоретически такая аутентификация возможна.

В качестве факторов аутентификации принято считать, что пользователь может:

• знать нечто (пароль, PIN-код и т. п.);
• предъявить нечто (смарт-карту, eToken, "таблетку" Touch Memory, дискету и т. д.).

Использование однофакторной аутентификации признано не эффективным, поскольку при этом повышается риск взлома системы аутентификации и авторизации незарегистрированного пользователя (злоумышленника). Действительно, если пароль содержит труднозапоминаемую многосимвольную комбинацию, то его необходимо где-то записывать (т.е. можно подсмотреть и выдать потом себя за владельца), а легко запоминаемые пароли профессионал подберет в считанные минуты. Широко распространённые, особенно в банках, системы "клиент – банк" то есть  однофакторные системы с применением "таблетки" обладают таким существенным недостатком, как обезличенность её владельца. Если идентификатор в виде "таблетки" попадает в руки злоумышленника, то для системы он может стать легальным пользователем. Наконец, использование однофакторных систем на базе биометрических методов идентификации, основанных на вероятности определения биологических параметров пользователя, пока сдерживается их стоимостью.

Таким образом, наиболее приемлемым вариантом, с точки зрения оптимального соотношения "цена – качество", на сегодня признано применение интеллектуальных смарт-карт или USB-ключей eToken (на которых хранятся ключевая пара – открытый и закрытый ключи пользователя и сертификаты) и PIN-кода. Впрочем, чтобы понять, зачем для аутентификации нужны сертификаты, следует обратиться к истории аутентификации.  

• Экскурс в историю

История развития способов, методов и технологий аутентификации может быть рассмотрена с разных точек зрения: как часть развития теоретических методов защиты информации, как часть разработки технических средств защиты информации, как часть развития протоколов информационного обмена и т. д. Это достаточно сложная задача, поскольку для подобного анализа понадобятся и специальные знания в достаточно узких областях (например, истории криптографии), и общетехнологический универсализм (знание техники, системного ПО, теоретическая подготовка и т. д.). В принципе, технологии аутентификации являются частью развития как низкоуровневого, так и сетевого взаимодействия, и в этом смысле история аутентификации достаточно тесно связана с историей развития технологий обработки и передачи информации.

Рассмотрим историю развития промышленных протоколов аутентификации на примере стандартных протоколов, применяемых в продуктах Novell, Microsoft и IBM. Так, Microsoft последовательно встраивала в сервера серии NT-W2K-W2003 простейший протокол аутентификации LAN Manager, затем NTLM–позднее – его усовершенствование – NTLM v.2 и, наконец, Kerberos. Этот протокол позволяет проводить взаимную аутентификацию пользователя и сервера, а с добавлением опции PKINIT – аутентификацию на основе цифрового сертификата, который может быть размещён в защищённой памяти смарт-карты. В процессе защищённого обмена сообщениями при аутентификации пользователь выполняет процедуру цифровой подписи с помощью своего закрытого ключа, который хранится в защищённой памяти смарт-карты.

Такая схема аутентификации (названная СКЛ – "смарт-карт-логон") является наиболее перспективной и удобной в управлении доступом пользователей, поскольку параметры доступа пользователя в виде цифрового сертификата хранятся в соответствующем расширяемом поле пользователя реестра Active Directory. Управление доступом в данном случае может осуществляться аналогично операциям удостоверяющего центра с сертификатами электронно-цифровой подписи (ЭЦП), т.е. выполнять стандартные операции приостановления действия, отзыва, переиздания и т. д.

Собственно говоря, одним из факторов повышенного интереса к новейшим технологиям аутентификации стало лавинообразное построение удостоверяющих центров (точнее, декларация работы), для работы которых критично решение проблем выбора технологии аутентификации и хранения закрытого ключа пользователя ЭЦП.

Вторым фактором является массовое (начиная с 2004 г.) предложение мировых и отечественных производителей возможности использования встроенных средств PKI. Например, поддержку СКЛ выполнили в последних версиях операционных систем Ms Windows Server 2000/2003, Novell 6.5, Unix BSD, Red Hat Linux 9, Suse 9.1. В последние годы политику поддержки PKI последовательно проводили такие известные поставщики, как IBM, Oracle, Cisco, Avaya.

Третий (а для кого-то и главный) фактор – финансовые или иные потери, вызванные кражами или несанкционированным доступом к конфиденциальной корпоративной информации. Применение СКЛ позволяет не только однозначно персонифицировать действия пользователя и строго ограничить его доступ к корпоративным ресурсам, но и доказать виновность конкретного нарушителя, поскольку в процессе аутентификации пользователь ставит свою цифровую подпись  Однако, по оценкам экспертов Ernst&Young, Россия стоит на одном из первых мест по "стеснительности" или сокрытию потерь от действий злоумышленников.  

• Роль аутентификации и мировые тенденции IТ

Выделим три наиболее известные тенденции развития российского рынка информационных технологий и на их примере покажем, почему при этом возрастает интерес к аутентификации пользователей.

1. Экспоненциальный рост интенсивности информационных потоков. По мнению многих специалистов, интенсивность информационных потоков в последние годы имеет устойчивую тенденцию к экспоненциальному росту. Причём в корпоративной информационной системе обрабатывается и хранится в настоящее время практически вся критичная для существования бизнеса предприятия информация. Перед многими владельцами предприятий проблема – применять или не применять новейшие технологии обработки и передачи информации – не стоит. Выбор очевиден: как только технология миновала этап тестирования и вышла на промышленный уровень, её стараются как можно скорее использовать. Чем быстрее и эффективнее обрабатывается корпоративная информация, тем выше производительность труда сотрудников. Все научились экономить не только вложенные средства, но и время. Эту тенденцию легко пояснить на простом примере, понятном каждому: только замена устаревшего компьютера на новый, высокопроизводительный, с современным системным программным обеспечением, в несколько раз увеличивает производительность выполнения простейших привычных операций пользователя и предоставляет множество новых информационных возможностей. При повышении интенсивности информационного обмена, содержащего конфиденциальные данные, становится критичным решение вопроса о том, кому и как предоставляется право быть легальным участником такого обмена, что непосредственно входит в круг задач аутентификации.

2. Ориентация на сервисы, позволяющие получать информационные услуги в необходимом формате и объеме [1].

Основным выразителем данной тенденции является отмеченный ведущими исследовательскими компаниями (Gartner, IDC, Meta Group, Giga Group) ориентир главных мировых поставщиков системного программного обеспечения на использование SOA (Service – Oriented Architecture), основанной на применении XML. Отказ от построения громоздких объединяющих автоматизацию всех основных бизнес-процессов комплексов и обеспечение синтеза решений в едином формате данных, основанного на работе отдельных модулей и информационных систем, в том числе так называемых унаследованных приложений, – вот главная идея SOA. В такой постановке задача аутентификации осложняется, в первую очередь согласованием и выполнением политик безопасности как на уровне LDAP – каталогов учетных записей, так и на пользовательском уровне предоставления доступа из разнородных сегментов корпоративной сети.

3. Увеличение числа мобильных пользователей.

В отличие от западных рынков в России данная тенденция проявляется пока не столь явно. По данным, полученным из различных источников, доля мобильных пользователей корпоративных ресурсов в РФ пока не превышает 10%. Тем не менее, в ближайшие годы эта тенденция может "докатиться" и до нас. Задачи подключения к распределённым сервисам именно тех пользователей, которым разрешен доступ, как показано в работе [2], в данной ситуации могут быть выполнены только при разворачивании систем удалённого доступа на основе построения доверительной среды корпорации. Корректное решение данной задачи подразумевает использование технологий аутентификации, основанных на применении цифровых сертификатов.

В заключение отметим, что многие даже самые лучшие теоретические разработки в области аутентификации не нашли промышленного применения в силу сложности или минимального удобства их применения. Тем не менее, рынок этих решений активно развивается, а, следовательно, сами решения становятся более разнообразными и доступными по цене. Возможно, не за горами тот день, когда показанные в фантастических фильмах биометрические методы аутентификации станут реальностью (вспомним фильмы "Миссия невыполнима" или "Терминатор"), а злоумышленникам придётся очень постараться, чтобы преодолеть этот щит безопасности.

Аутентификация и тенденции решения проблем информационной безопасности

Компания Ernst&Young подтверждает наметившиеся тенденции данными ежегодного исследования проблем IТ-безопасности (Global Information Security Survey 2004). Именно в области внутренних угроз наблюдается наиболее высокий рост озабоченности IТ-профессионалов. Респонденты поставили эту проблему на второе место в списке самых серьёзных опасностей. 60% опрошенных заявили, что неправомерные действия сотрудников действительно представляют угрозу нормальному функционированию информационных систем. Этот показатель опередил такие "громкие" темы, как спам (56%), DoS-атаки (48%), финансовое мошенничество (45%) и бреши в системах безопасности ПО (39%), и уступил лишь угрозе со стороны вирусов и "червей" (77%).

В "десятку" попали и другие внутренние угрозы, в том числе утечка информации о клиентах. Первое место в списке обстоятельств, препятствующих проведению эффективной политики, занял человеческий фактор. Заметим, что именно для снижения риска реализации человеческого фактора и предназначены новейшие технологии двухфакторной аутентификации. 

Источник: Global Information Security Survey 2004, Ernst&Young

Литература:

1.  Intelligent Enterprise. 2004. №6.
2.  А.Сарбуков А., Грушо А. Аутентификация в компьютерных системах.