Лаб 2 Парольная защита


Лабораторная работа №2 Исследование методов парольной аутентификации
Теоретическая часть
Под несанкционированным доступом к информации (НСД) согласно руководящим документам Гостехкомиссии будем понимать доступ к информации, нарушающий установленные правила разграничения доступа и осуществляемый с использованием штатных средств, предоставляемых СВТ или АС. НСД может носить случайный или намеренный характер.
Можно выделить несколько обобщенных категорий методов защиты от НСД, в частности:
организационные;
технологические;
правовые.
К первой категории относятся меры и мероприятия, регламентируемые внутренними инструкциями организации, эксплуатирующей информационную систему. Пример такой защиты — присвоение грифов секретности документам и материалам, хранящимся в отдельном помещении, и контроль доступа к ним сотрудников. Вторую категорию составляют механизмы защиты, реализуемые на базе программно-аппаратных средств, например систем идентификации и аутентификации или охранной сигнализации. Последняя категория включает меры контроля за исполнением нормативных актов общегосударственного значения, механизмы разработки и совершенствования нормативной базы, регулирующей вопросы защиты информации. Реализуемые на практике методы, как правило, сочетают в себе элементы нескольких из перечисленных категорий. Так, управление доступом в помещения может представлять собой взаимосвязь организационных (выдача допусков и ключей) и технологических (установку замков и систем сигнализации) способов защиты.
Рассмотрим подробнее такие взаимосвязанные методы защиты от НСД, как идентификация, аутентификация и используемое при их реализации криптографическое преобразование информации.
Идентификация — это присвоение пользователям идентификаторов и проверка предъявляемых идентификаторов по списку присвоенных.
Аутентификация — это проверка принадлежности пользователю предъявленного им идентификатора. Часто аутентификацию также называют подтверждением или проверкой подлинности.
Под безопасностью (стойкостью) системы идентификации и аутентификации будем понимать степень обеспечиваемых ею гарантий того, что злоумышленник не способен пройти аутентификацию от имени другого пользователя, В этом смысле, чем выше стойкость системы аутентификации, тем сложнее злоумышленнику решить указанную задачу. Система идентификации и аутентификации является одним из ключевых элементов инфраструктуры защиты от НСД любой информационной системы.
Различают четыре группы методов аутентификации, основанных на наличии у каждого пользователя:
индивидуального объекта заданного типа;
знаний некоторой известной только ему и проверяющей стороне информации;
индивидуальных биометрических характеристик;
информации, ассоциированной с пользователем.
К первой группе относятся методы аутентификации, использующие удостоверения, пропуска, магнитные карты и другие носимые устройства, которые широко применяются для контроля доступа в помещения, а также входят в состав программно-аппаратных комплексов защиты от НСД к средствам вычислительной техники.
Во вторую группу входят методы аутентификации, использующие пароли. По экономическим причинам они включаются в качестве базовых средств защиты во многие программно-аппаратные комплексы защиты информации. Все современные операционные системы и многие приложения имеют встроенные механизмы парольной защиты.
Предпоследнюю группу составляют методы аутентификации, основанные на применении оборудования для измерения и сравнения с эталоном заданных индивидуальных характеристик пользователя: тембра голоса, отпечатков пальцев, структуры радужной оболочки глаза и др. Такие средства позволяют с высокой точностью аутентифицировать обладателя конкретного биометрического признака, причем "подделать" биометрические параметры практически невозможно. Однако широкое распространение подобных технологий сдерживается высокой стоимостью необходимого оборудования.
Если в процедуре аутентификации участвуют только две стороны, устанавливающие подлинность друг друга, такая процедура называется непосредственной аутентификацией (direct password authentication). Если же в процессе аутентификации участвуют не только эти стороны, но и другие, вспомогательные, говорят об аутентификации с участием доверенной стороны (trusted third party authentication). При этом третью сторону называют сервером аутентификации (authentication server) или арбитром (arbitrator).
Наиболее распространенные методы аутентификации основаны на применении многоразовых или одноразовых паролей. Из-за своего широкого распространения и простоты реализации парольные схемы часто в первую очередь становятся мишенью атак злоумышленников. Эти методы включают следующие разновидности способов аутентификации:
по хранимой копии пароля или его свёртке (plaintext-equivalent);
по некоторому проверочному значению (verifier-based);
без непосредственной передачи информации о пароле проверяющей стороне (zero-knowledge);
с использованием пароля для получения криптографического ключа (cryptographic).
В первую разновидность способов входят системы аутентификации, предполагающие наличие у обеих сторон копии пароля или его свертки. Для организации таких систем требуется создать и поддерживать базу данных, содержащую пароли или сверки паролей всех пользователей. Их слабой стороной является то, что получение злоумышленником этой базы данных позволяет ему проходить аутентификацию от имени любого пользователя.
Способы, составляющие вторую разновидность, обеспечивают более высокую степень безопасности парольной системы, так как проверочные значения, хотя они и зависят от паролей, не могут быть непосредственно использованы злоумышленником для аутентификации.
Наконец, аутентификация без предоставления проверяющей стороне какой бы то ни было информации о пароле обеспечивает наибольшую степень защиты. Этот способ гарантирует безопасность даже в том случае, если нарушена работа проверяющей стороны (например, в программу регистрации в системе внедрен "троянский конь").
Особым подходом в технологии проверки подлинности являются криптографические протоколы аутентификации. Такие протоколы описывают последовательность действий, которую должны совершить стороны для взаимной аутентификации, кроме того, эти действия, как правило, сочетаются с генерацией и распределением криптографических ключей для шифрования последующего информационного обмена. Корректность протоколов аутентификации вытекает из свойств задействованных в них математических и криптографических преобразований и может быть строго доказана. 4
Обычные парольные системы проще и дешевле для реализации, но менее безопасны, чем системы с криптографическими протоколами. Последние обеспечивают более надежную защиту и дополнительно решают задачу распределения ключей. Однако используемые в них технологии могут быть объектом законодательных ограничений.
Для более детального рассмотрения принципов построения парольных систем сформулируем несколько основных определений.
Идентификатор пользователя — некоторое уникальное количество информации, позволяющее различать индивидуальных пользователей парольной системы (проводить их идентификацию). Часто идентификатор также называют именем пользователя или именем учетной записи пользователя.
Пароль пользователя — некоторое секретное количество информации, известное только пользователю и парольной системе, которое может быть запомнено пользователем и предъявлено для прохождения процедуры аутентификации. Одноразовый пароль дает возможность пользователю однократно пройти аутентификацию. Многоразовый пароль может быть использован для проверки подлинности повторно.
Учетная запись пользователя — совокупность его идентификатора и его пароля.
База данных пользователей парольной системы содержит учетные записи всех пользователей данной парольной системы.
Под парольной системой будем понимать программно-аппаратный комплекс, реализующий системы идентификации и аутентификации пользователей АС на основе одноразовых или многоразовых паролей. Как правило, такой комплекс функционирует совместно с подсистемами разграничения доступа и регистрации событий. В отдельных случаях парольная система может выполнять ряд дополнительных функций, в частности генерацию и распределение кратковременных (сеансовых) криптографических ключей.
Основными компонентами парольной системы являются:
интерфейс пользователя;
интерфейс администратора;
модуль сопряжения с другими подсистемами безопасности;
база данных учетных записей.
Парольная система представляет собой "передний край обороны" всей системы безопасности. Некоторые ее элементы (в частности, реализующие интерфейс пользователя) могут быть расположены в местах, открытых для доступа потенциальному злоумышленнику. Поэтому парольная система становится одним из первых объектов атаки при вторжении злоумышленника в защищенную систему. Ниже перечислены типы угроз безопасности парольных систем:
1. Разглашение параметров учетной записи через:
● подбор в интерактивном режиме;
● подсматривание;
● преднамеренную передачу пароля его владельцем другому лицу;
● захват базы данных парольной системы (если пароли не хранятся в базе в открытом виде, для их восстановления может потребоваться подбор или дешифрование);
● перехват переданной по сети информации о пароле;
● хранение пароля в доступном месте.
2. Вмешательство в функционирование компонентов парольной системы через:
● внедрение программных закладок;
● обнаружение и использование ошибок, допущенных на стадии разработки;
● выведение из строя парольной системы.
Некоторые из перечисленных типов угроз связаны с наличием так называемого человеческого фактора, проявляющегося в том, что пользователь может:
выбрать пароль, который легко запомнить и также легко подобрать;
записать пароль, который сложно запомнить, и положить запись в доступном месте;
ввести пароль так, что его смогут увидеть посторонние:
передать пароль другому лицу намеренно или под влиянием заблуждения.
В дополнение к выше сказанному необходимо отметить существование "парадокса человеческого фактора". Заключается он в том, что пользователь нередко стремится выступать скорее противником парольной системы, как, впрочем, и любой системы безопасности, функционирование которой влияет на его рабочие условия, нежели союзником системы защиты, тем самым ослабляя ее. Защита от указанных угроз основывается на ряде перечисленных ниже организационно-технических мер и мероприятий.
Выбор паролей
В большинстве систем пользователи имеют возможность самостоятельно выбирать пароли или получают их от системных администраторов. При этом для уменьшения деструктивного влияния описанного выше человеческого фактора необходимо реализовать ряд требований к выбору и использованию паролей.
Таблица 1
Требование к выбору пароля Получаемый эффект
Установление минимальной длины пароля Усложняет задачу злоумышленника при попытке подсмотреть пароль или подобрать пароль методом «тотального опробования»
Использование в пароле различных групп символов Усложняет задачу злоумышленника при попытке подобрать пароль методом «тотального опробования»
Проверка и отбраковка пароля по словарю Усложняет задачу злоумышленника при попытке подобрать пароль по словарю
Установление максимального срока действия пароля Усложняет задачу злоумышленника при попытке подобрать пароль методом «тотального опробования», в том числе без непосредственного обращения к системе защиты (режим off-line)
Установление минимального срока действия пароля Препятствует попыткам пользователя заменить пароль на старый после его смены по предыдущему требованию
Ведение журнала истории паролей Обеспечивает дополнительную степень защиты по предыдущему требованию
Применение эвристического алгоритма, бракующего пароли на основании данных журнала истории Усложняет задачу злоумышленника при попытке подобрать пароль по словарю или с использованием эвристического алгоритма
Ограничение числа попыток ввода пароля Препятствует интерактивному подбору паролей злоумышленником
Поддержка режима принудительной смены пароля пользователя Обеспечивает эффективность требования, ограничивающего максимальный срок действия пароля
Использование задержки при вводе неправильного пароля Препятствует интерактивному подбору паролей злоумышленником
Запрет на выбор пароля самими пользователями и автоматическая генерация паролей Исключает возможность подобрать пароль по словарю. Если алгоритм генерации паролей не известен злоумышленнику, последний может подбирать пароли только методом «тотального опробования»
Примеры.
Задание: определить время перебора всех паролей, состоящих из 6 цифр.
Алфавит составляют цифры n=10.
Длина пароля 6 символов k=6.
Таким образом, получаем количество вариантов: С=nk=106
Примем скорость перебора s=10 паролей в секунду. Получаем время перебора всех паролей t= C/s=105секунд≈1667минут≈28часов≈1,2 дня.
Примем, что после каждого из m=3 неправильно введенных паролей идет пауза в v=5 секунд. Получаем время перебора всех паролей T=t*5/3=16667секунд≈2778минут≈46часов≈1,9 дня.
Титог = t+T = 1,2 + 1,9 = 3,1 дня
2. Пример 2.
Определить минимальную длину пароля, алфавит которого состоит из 10 символов, время перебора которого было не меньше 10 лет.
Алфавит составляют символы n=10.
Длина пароля рассчитывается: k=logn C= lg C.
Определим количество вариантов C= t * s=10лет*10 паролей в сек. = 10*10*365*24*60*60≈3,15* 109 вариантов
Таким образом, получаем длину пароля: k=lg (3,15*109) = 9,5
Очевидно, что длина пароля должна быть не менее 10 символов.
Задания.
1. Определить время перебора всех паролей с параметрами.
Алфавит состоит из n символов.
Длина пароля символов k.
Скорость перебора s паролей в секунду.
После каждого из m неправильно введенных паролей идет пауза в v секунд
Вариант n k s m v
1 33 10 100 0 0
2 26 12 13 3 2
3 52 6 30 5 10
4 66 7 20 10 3
5 59 5 200 0 0
6 118 9 50 7 12
7 128 10 500 0 0
8 150 3 200 5 3
9 250 8 600 7 3
10 500 5 1000 10 10
2. Определить минимальную длину пароля, алфавит которого состоит из n символов, время перебора которого было не меньше t лет.
Скорость перебора s паролей в секунду.
вариант n t s
1 33 100 100
2 26 120 13
3 52 60 30
4 66 70 20
5 59 50 200
6 118 90 50
7 128 100 500
8 150 30 200
9 250 80 600
10 500 50 1000

Приложенные файлы

  • docx 23643058
    Размер файла: 30 kB Загрузок: 0

Добавить комментарий