1 Ақпараттық қауiптер. Ақпараттық қауiптерге қарсы әрекет
Дәріс- 13. Қорғау жүйелерінің бағалануы
жүктеу/скачать 47.89 Kb.
|
- Бұл бет үшін навигация:
- Идентификация
- Аутентификацияны
- Біржақты аутентификацияның
| Дәріс- 13. Қорғау жүйелерінің бағалануы
Дәріс жоспары: 1 Ақпаратты қорғау жүйелерінің комплексті бағасы; 2 Бағдарламалық қамтамасыз етудің тестіленуі. Қорғаныш механизмдерінің сенімділігін бағалау. 1 Ақпаратты қорғау жүйелерінің комплексті бағасы Идентификация мен аутентификацияны бағдарламалық техникалық құралдардың негізі деп санауға болады, себебі қалған сервистер аталмыш субъектілерді қамтамасыздандыру үшін негізделген. Идентификация мен аутентификация – бұл қорғаныстың бірінші жолы, ұйым кеңістігінің ақпараттық «кіре берісі». Идентификация субъектіге (қолданушыға, процеске, анықталған қолданушы атынан әрект етушіге немесе басқа жабдықты бағдарламалық компонентке) өзін атауға мүмкіндік береді. Аутентификацияны қолдану арқылы екінші жақ субъектінің өзі айтып тұрған тұлға екендігінің рас екендігіне сенеді. Аутентификация сөзінің орнына «шындығын тексеру» тіркесі қолданылады. Аутентификация біржақты(көбінде қолданушы серверге өз деректерін растайды) және екі жақты болады Біржақты аутентификацияның мысалы– қолданушының жүйеге кіруі. Идентификация/аутентификацияның қазіргі құрылғылары жүйеге бірынғай кіруді қолдау кеек. Жүйеге бірыңғай кіру – бұл, біріншіден қолданушылар үшін тиімділік. Егер жалпы жүйеде тәуелсіз қолданысты рұқсат ететін ақпараттық сервистер көп болса, онда көп санды идентификация/аутентификация тым көп қиындық туғызады. Өкінішке орай, бірыңғай кіріс нормаға айналды деп айту әлі ерте, жоғарғы шешімдер әлі қалыптаспаған. Бұлай сенімдік, баға, қолданыс және идентификация және аутентификация ұйымдастырылуы бойынша тиімділік арасында компромисті іздеу қажет. Белгілеу қызықты, идентификация және аутентификация сервисі ашықтыққа шабуылдың объектісі болып табылуы мүмкін. Егер жүйе келеңсіз талпыныстардың үлкен санына соң индентификациялық аұпаратты енгізу құралы шектелетін болатындай құрылған болса, онда қылмыскер заңды қолданушының жұмысын бірнеше пернені басу арқылы тоқтата алады. 2 Бағдарламалық қамтамасыз етудің тестіленуі. Қорғаныш механизмдерінің сенімділігін бағалау. Ең танымал бағдарламалық бір қолданымды парольдер генераторы болып Bellcore компаниясының S/KEY жүйесі болып табылады. Бұл жүйенің ойы келесіде. f біржақты функциясы бар дейік(ойлаған уақытта керісін шешуге келмейтін функция). Бұл функция аутентификация серверіне де, қолданушыға да белгілі. Әрі қарай, қолданушыға ғана белгілі К құпия кілті бар болсын. Бастақы қолданушының ұйымдастыруы кезінде f функциясы К кілтіне n рет қолданылады, содан соң ол серверде сақталады. Шынында, іске асыру күрделілерек жасалған (есептегіштен басқа, сервер f функциясы қолданылатын, мәнді жолдап отырады), бірақ бұл қазір маңызды емес. f функциясы айналмайды, парольдің ұсталуы, аутентификация серверіне қосылуды алумен қатар, К құпия кілтін алуға мүмкіндік бермейді және келесі бір қолданымды парольді алуды болдырмайды. S/KEY жүйесі Internet-стандарт дәрежесін иеленеді(RFC 1938). Сенімді аутентификацияға басқа жол уақытты қандай да бір өтуінен кейін жаңа парольдің жасалуы(мысалы, әрбір 60 секунд сайын), ол үшін бағдарламалар немесе интеллектуалдық карталар қолданылуы мүмкін (іскерлік жағынан бұл парольдерді бір қолданымда деп санауға болады). Аутентификация серверіне парольдердің жасалу алгоритмі және олармен байланысқан параметрлер белгілі болуы керек; одан басқа қолданушы уақыты және сервері сәйкестендірілген болуы қажет. жүктеу/скачать 47.89 Kb. Достарыңызбен бөлісу:
|