Предисловие (стр. 95 )

В силу исторических обстоятельств и для удобства пользователей персональный идентификационный номер является цифровым и содержит от 4-х до 8 цифр. Для защиты его от тотального перебора, применяются дополнительные организационные меры. Например, большинство банкоматов при троекратном вводе неправильного номера блокируют кредитную карту. 

Аутентификация, основанная на проверке характеристик, чаще всего строится на биометрических характеристиках человека (отпечатки пальцев, рисунок радужной оболочки глаза и т. п.). Преимущество такой технологии состоит в том, что аутентифицирующий предмет не может быть потерян. В то же время, несмотря на многочисленные заявления о широком использовании этой методики в Пентагоне и подобных организациях, эйфория, связанная с нахождением «философского камня» аутентификации представляется неоправданной.

Японский криптограф Цутому Мацумото и группа его студентов в Университете Иокогамы в начале 2002 года создали и опубликовали две очень эффективные технологии для изготовления фальшивых дактилоскопических отпечатков. В первом (тривиальном) методе японцы делали непосредственный слепок с пальца «жертвы», для чего использовался пищевой желатин и формовочный пластик, применяемый авиа - и судомоделистами. Желатиновую полоску-отпечаток можно незаметно прилепить к собственному пальцу и обмануть компьютерную систему доступа даже в присутствии охранника. Эта нехитрая технология была успешно применена в 80 процентах случаев при тестировании более десятка коммерческих приборов биометрической защиты.

После некоторой тренировки желатиновый слепок позволил исследователям-любителям обманывать и более продвинутые системы, оборудованные «детекторами живого пальца», реагирующими на влажность или электрическое сопротивление. Несколько ранее голландцы Тон ван дер Путте и Йероэн Койнинг, разработали и опубликовали в Интернет собственную технологию, обманывающую 100 процентов имеющихся на рынке биометрических систем распознавания отпечатка пальца. Пользуясь комментарием известного специалиста в области криптографии Брюса Шнайера, полученных результатов вполне достаточно для полной компрометации подобных систем. Можно предположить, что изготовление «искусственного глаза» по фотографии носителя истинного значения аутентифицирующего признака также не является задачей высокой сложности.

Не стоит впадать и в другую крайность, полностью отвергая использование биометрических технологий для аутентификации пользователей ИС. Эффективная система аутентификации пользователей ИС должна строиться на экономически оправданной комбинации трех основных схем. 

Значительная часть информационных систем строится на основе СУБД промышленного уровня. Поэтому, в качестве практического примера рассмотрим технологии аутентификации, используемые в СУБД.

В СУБД промышленного уровня процедура аутентификации может быть полностью внешней, то есть реализуемой средствами операционной системы (например, в IBM DB2), либо внутренней, то есть реализуемой средствами сервера баз данных (например, в Oracle).

При успешной аутентификации пользователя средствами операционной системы (или специализированного программного обеспечения) IBM DB2 идентифицирует пользователя по его идентификатору, который обычно совпадает с именем, под которым пользователь регистрировался в операционной системе, но может быть и отображением имени пользователя в пространство корректных имен DB2. Создание но­вого идентификатора осуществляется уполномоченным администратором операционной системы выполнением соответствующих операций по регистрации пользователя средствами операционной системы.

В Oracle реализована поддержка принципа бе­зопас­но­сти по умолчанию или принципа минимальных при­ви­ле­гий. Суть принципа состоит в том, что пользователь может получить доступ к объекту базы данных (например, таблице или представлению) или выполнить определенные действия в системе (например, создать новую  таблицу или нового пользователя) только если это явно разрешено. Поэтому пользователь, успешно прошедший аутентификацию, по сути ничего не может делать до тех пор, пока уполномоченный администратор не определит перечень возможных для данного пользователя операций. В частности, корректно созданный пользователь после успешной аутентификации (ввода правильного пароля) не сможет даже присоединиться к серверу баз данных, т. е. успешно выполнить команду CONNECT.

В DB2 используется подход, когда любой пользователь операционной системы  имеет минимальные права на выполнение некоторых операций с базой данных. В частности, любой пользователь операционной системы может установить соединение с базой данных по команде CONNECT, при условии, что ему известно имя базы данных. При создании базы данных всем пользователям системы дается некоторый стандартных набор привилегий, который может быть модифицирован уполномоченным администратором. Достоинство такого подхода – упрощение работы администратора безопасности в некоторых стандартных ситуациях. Недостаток – необходимость обязательных действий администратора безопасности для систем с повышенными требованиями по обеспечению безопасности данных после создания каждой базы данных.

Подход, заключающийся в вынесении процедуры аутентификации на уровень операционной системы, имеет свои преимущества и недостатки. Основное преимущество состоит в том, что для операционных с открытым кодом (например, Linux) процедура аутентификации становится более прозрачной и, следовательно, возрастает уровень доверия к ней со стороны администратора безопасности. Основным недостатком такого подхода является то, что опубликование обнаруженной слабости в системе безопасности операционной системы (это стандартная процедура для систем с открытым кодом) приводит и к уязвимости сервера баз данных.

19.2.3. Типы нарушений штатного режима функционирования ИС

Нарушения штатного режима функционирования ИС могут быть представлены тремя большими классами, связанными с полной или частичной утратой свойств, характерных для защищенной ИС:

нарушения конфиденциальности хранимой и обрабатываемой информации;

нарушения целостности информации;

ухудшение или утрата доступности системы.

Основой классификации нарушений штатного режима функционирования может быть и подсистема обеспечения безопасности ИС, подвергшаяся воздействию со стороны злоумышленника. Подобная классификация построена на основе анализа и обобщения опыта известных активных вторжений и предназначена для администратора безопасности ИС. Администратор безопасности должен постоянно держать в поле зрения  состояние средств и методов противодействия приведенным способам нарушения нормального режима работы ИС.

Перехват данных – потенциальная возможность копирования или модификации данных в процессе их передачи между серверами, необходимой для выполнения распределенной обработки данных. Можно выделить следующие виды атак, приводящие к нарушению штатного режима работы системы:

изменение данных в процессе передачи, например, увеличение суммы денег, переводимых на некоторый счет в ходе легальной транзакции;

копирование данных в процессе передачи с целью извлечения конфиденциальной информации, например, копирование пакетов канального или сетевого уровней с целью извлечения идентификаторов пользователей и соответствующих паролей или номеров кредитных карт некоторой платежной системы;

повторное выполнение легальной транзакции, например, многократное повторение перехваченной копии легального процесса, осуществляющего начисление на счет некоторой суммы.

Основной способ противодействия для данного типа нарушений – использование криптографических методов защиты информации в процессе ее передачи.

Ложная идентификация – потенциальная возможность воспользоваться чужими средствами аутентификации, полученными каким-либо образом. Можно выделить следующие виды атак, приводящие к нарушению штатного режима работы системы :

использование ложного сервера для сбора персональной информации, например, создание сервера электронного магазина с целью сбора номеров кредитных карт или создание ложного сервера открытых ключей для формирования электронных документов подписанных от чужого имени;

несанкционированное использование аутентифицирующей информации, например, перехваченного с помощью клавиатурной закладки идентификатора и пароля или копии секретного ключа для несанкционированной подписи электронных документов. 

Основной способ противодействия для данного типа нарушений – использование методов аутентификации, обеспечивающих необходимое качество процедур взаимной идентификации и аутентификации пользователей и процессов.

Несовершенная техника использования паролей – потенциальная возможность компрометации паролей за счет знания особенностей их использования людьми. Основные виды успешных атак, приведших к нарушениям штатной работы ИС:

автоматическое угадывание паролей по словарю, например, пароли, являющиеся вариациями на темы имен, кличек животных и уменьшительно-ласкательных обращений и т. п.;

угадывание паролей на основании анализа информации о конкретном пользователе системы, например, паролей, являющимися вариациями на темы дат рождения собственной и ближайших родственников и знакомых, фамилий и т. п.

Основной способ противодействия для данного типа нарушений – использование достаточно длинных и не несущих смысловой нагрузки паролей. Регулярная смена паролей в системе. Отметим, что использование совершенной техники генерации и смены приводит к заметному возрастанию накладных расходов на сопровождение системы (в частности, ухудшается характеристика удобства использования системы и усложняется ее администрирование).

Недостаточный аудит системы – потенциальная возможность совершения пользователями действий, не фиксируемых средствами системы и случайно или целенаправленно приводящих к нарушениям безопасности системы.

Основной способ противодействия для данного типа нарушений – использование экономически целесообразной системы проведения аудита.

Недостаточный учет специфики управления безопасностью многоуровневых многопользовательских систем – потенциальная возможность возникновения ошибок в системе защиты, связанных с поддержкой средств проведения аутентификации  для десятков или сотен тысяч пользователей, а также агентов, обеспечивающих взаимодействие с программным обеспечением промежуточного слоя. Проблема, достаточно сложная для отдельной системы баз данных, становится существенно более сложной для нескольких взаимодействующих серверов и баз данных.