Server2000 (Анализ системы безопасности Microsoft Windows 2000 Advanced Server и стратегий ее использования), страница 4

^{Шифрование можно использовать для защиты следующих типов дан­ных в сети:}

^{• закрытая передача данных;}

^{• безопасное хранение файлов;}

^{• аутентификация пользователя или компьютера;}

^{• безопасный обмен паролями.}

^{Следует шифровать любые данные, содержащие значимую или част­ную информацию, проходящие через небезопасные каналы передачи данных, такие как радио, телефонная сеть или Интернет. Используй­те шифрование файловой системы для защиты значимых данных, ког­да возможности операционной системы не действуют (когда был уда­лен жесткий диск или заменена операционная система).}

^{3.2.1. Безопасное хранение файлов}

^{Шифрование может быть использовано для защиты данных в устрой­стве хранения, например данных на жестком диске. Во всех реализа­циях UNIX и Windows NT существует много сложных средств обеспе­чения безопасности. Лучший подход к безопасности — предоставить шифрование и рас­шифровку файлов операционной системе. Windows 2000 поставляет­ся с Encrypting File System (шифрованная файловая система, EFS), которая будет шифровать все файлы на вашем жестком диске, даже временные файлы, созданные используемыми вами приложениями.}

^{Для того чтобы использовать EFS секретно, необходимо предоставить криптографический ключ при запуске компьютера или использовать ее со смарт-картой, иначе же можно считать файлы на жестком диске обычными, незашифрованными файлами. Это не защитит файлы от доступа во время работы операционной системы — для чего существуют средства обеспечения безопасности операционной систе­мы, — но это сохранит данные в безопасности, даже если кто-нибудь украдет жесткий диск.}

^{3.2.2. Аутентификация пользователя или компьютера}

^{Помимо сохранения секретности (либо при передаче, либо при хране­нии), шифрование можно использовать почти в противоположных целях — для проверки идентичности. Шифрование может провести аутентификацию входящих в систему компьютера пользователей, гарантировать, что загружаемое из Интернета программное обеспечение приходит из надежного источника и что лицо, отправившее сообще­ние, в действительности то, за которое оно себя выдает.}

^{При входе в операционную систему Microsoft, например Windows 95, Windows NT или Windows 2000, операционная система не сравнивает введенный пароль с хранимым паролем. Вместо этого она шифрует пароль при помощи однонаправленной криптографической функ­ции и затем сравнивает результат с хранящимся результатом. Другие операционные системы, такие как UNIX и OS/2, работают точно так же.}

^{Храня только криптографическое хэш-значение пароля пользователя, операционная система затрудняет хакерам возможность получения всех паролей системы при получении}

^{3.2.3. Цифровые подписи}

^{Обычно шифрование с открытым ключом используется для передачи секретных сообщений, зашифрованных при помощи открытого клю­ча, и последующей расшифровки их при помощи закрытого ключа.}

^{Поскольку назначение цифровой подписи состоит не в том, чтобы утаить информацию, а в том, чтобы подтвердить ее, закрытые ключи зача­стую используются для шифрования хэш-значения первоначального документа, и зашифрованное хэш-значение присоединяется к доку­менту или отправляется вместе с ним. Этот процесс занимает гораздо меньше вычислительного времени при генерации или проверке хэш-значения, чем шифрование всего документа, и при этом гарантирует, что документ подписал владелец закрытого ключа.}

^{Электронная почта Интернета проектировалась без учета безопасно­сти. Сообщения не защищены от нелегального просмотра на промежуточ­ных хостах Интернета, и нет гарантии, что сообщение в действитель­ности пришло от того лица, которое указано в поле From электронной почты. Сообщения групп новостей Интернета страдают от той же про­блемы: невозможно в действительности сказать, от кого на самом деле пришло сообщение. Можно зашифровать тело сообщения, чтобы спра­виться с первой проблемой, а цифровые подписи справляются со второй.}

^{Цифровые подписи полезны, потому что проверить подпись может каждый, а создать ее может только лицо с закрытым ключом. Разница между цифровой подписью и сертификатом в том, что можно прове­рить подлинность сертификата в центре сертификации.}

^{3.2.4. Безопасный обмен паролями}

^{Большинство сетевых операционных систем (в том числе Windows 2000 и все современные версии UNIX) защищают имя пользователя и пароль при входе в систему посредством их шифрования перед отправ­кой в сеть для аутентификации.}

^{Чтобы одни и те же зашифрованные данные не передавались каждый раз, клиент также может включить какую-то дополнительную ин­формацию, например время отправки запроса на вход в систему. При таком способе сетевые идентификационные данные никогда не будут отправляться через локальную сеть или телефонные линии в незащищенном виде. Тем не менее Windows 2000 принимает неза­шифрованные пароли от старых сетевых клиентов LAN Manager.}

^{Не каждый протокол аутентификации зашифровывает имя пользователя и па­роль, этого не делает SLIP Telnet и FTP. Службу Telnet в Windows 2000 можно сконфигурировать для работы только с хэш-значениями Windows NT, а не с паролями в виде простого текста. РРР может шифровать, если и удаленный клиент, и сервер сконфигурированы таким образом. Win­dows NT по умолчанию требует шифрованной аутентификации. Windows 2000 использует безопасную систему аутентификации Kerberos, основанную на секретных ключах.}

^{3.3. Стеганография}

^{Стеганография (steganography) — это процесс сокрытия за­шифрованных файлов в таком месте, в котором вряд ли кто-либо смо­жет их обнаружить.}

^{Зашифрованные файлы выглядят как случайные числа, поэтому все, что также выглядит как случайные числа, может спрятать зашифрованное сообщение. Например, в многоцветных графических изображе­ниях бит нижних разрядов в каждом пикселе изображения не сильно влияет на качество всего изображения. Можно спрятать зашифрован­ное сообщение в графический файл, заменяя младшие биты битами своего сообщения. Младшие биты звуковых файлов с высокой точно­стью воспроизведения — еще одно хорошее место для зашифрованных данных. Можно даже тайно обмениваться с кем-либо зашифрованны­ми сообщениями, отправляя графические и звуковые файлы с такой спрятанной в них информацией.}

^{3.4. Пароли}

^{Пароли — это секретные ключи. Они могут применяться для аутенти­фикации пользователей, шифрования данных и обеспечения безопас­ности коммуникационных потоков. Kerberos использует пароли как секретные ключи для подтверждения идентификационных данных клиента в Kerberos Key Distribution Center.}

^{Из-за необходимости случайности в секретных ключах выступающие в качестве секретных ключей пароли также должны быть секретными}

^{Самый распространенный способ раскрыть пароль — это выбрать легко угадываемый пароль, такой как пустой пароль, само слово пароль (password), жаргон­ные слова или имена богов, детей или домашних животных. Для взлома через Интернет пароля, в качестве кото­рого взято любое известное слово, потребуется примерно два часа времени.}

^{Использование по-настоящему случайных паролей дает гораздо луч­шие результаты. Случайный выбор пароля только из 14 символов на­бора стандартной ASCII-клавиатуры дает множество более чем из 1025 паролей.}

^{Существует четыре уровня паролей:}

^{• низкокачественный публичный пароль}

^{• публичный пароль среднего качества — короткий, но полностью случайный пароль длина этого пароля семь символов, что дает 40-битный диапазон уникальности;}

^{• высококачественный пароль — пароль для частных сетей где клиенту может быть причинен серьезный ущерб в случае его утери -пароль длиной 12 символов, что дает 70-битный диапазон уникальности;}

^{• чрезвычайно высококачественный пароль — пароль для шифрования файлов и хранения секретных данных на личных компьютерах; длина 14 символов, что дает 84-битный диапазон уникальности.}

4. Локальная безопасность Windows 2000 Advanced Server

^{Безопасность Windows 2000 основана на аутентификации пользовате­лей. Проходя процедуру входа в систему (обеспечиваемую процес­сом WinLogon), пользователь идентифицирует себя компьютеру, после чего ему предоставляется доступ к открытым и запрещается доступ к закрытым для вас ресурсам.}

^{В Windows 2000 также реализованы учетные записи групп. Когда учет­ная запись пользователя входит в учетную запись группы, установлен­ные для учетной записи группы разрешения действуют также и для учетной записи пользователя.}

^{Учетные записи пользователей и групп действуют только на том компь­ютере под управлением Windows 2000, на котором они создаются. Эти учетные записи локальны для компьютера. Единственным исключени­ем из этого правила являются компьютеры, входящие в домен и по­этому принимающие учетные записи, созданные в Active Directory на контроллере домена. На каждом компьютере под управлением Windows 2000 существует свой собственный список локальных учетных записей пользователей и групп. Когда процессу WinLogon (который регистрирует пользователя в систе­ме и устанавливает его вычислительную среду) требуется обратиться к базе данных безопасности, он взаимодействует с Security Accounts Manager (диспетчер учетных записей безопасности, SAM), компонен­том операционной системы Windows 2000, который управляет инфор­мацией о локальных учетных записях. Если информация хранится локально на компьютере под управлением Windows 2000, SAM обра­тится к базе данных (хранимой в реестре) и передаст информацию процессу WinLogon. Если информация хранится не локально SAM запросит контрол­лер домена и вернет подтвержденную информацию о регистрации (идентификатор безопасности, security identifier) процессу WinLogon.}

^{Независимо от источника аутентификации, доступ разрешен только к локальному компьютеру посредством Local Security Authority (локаль­ные средства безопасности, LSA) компьютера. При обращаении к другим компьютерам в сети, LSA локального компьютера передает идентификационные данные пользователя LS А другого компьютера, реализуя вход в систему каждого компьютера, с которым он контактирует. Чтобы получить доступ к другому компьютеру, этот компьютер должен принять идентификационные данные, предоставленные компьютером пользователя.}

^{4.1. Идентификаторы безопасности}

^{Принципалы безопасности, такие как пользователи и компьютеры, представлены в системе идентификаторами безопасности (security identifier, SID). SID уникально идентифицирует принципала безопас­ности для всех компьютеров домена. При создании учетной записи при помощи оснастки Local Users and Groups (Локальные пользователи и группы), всегда создается новый SID, даже если используется такие же имя учетной записи и пароль, как в удаленной учетной запи­си. SID будет оставаться с учетной записью в течение всего времени ее существования. Можно поменять любой другой атрибут учетной записи, включая имя пользователя и пароль, но в обычных обстоятельствах нельзя изменить SID, поскольку при этом создается новая учетная запись.}

^{Групповые учетные записи также имеют SID, уникальный идентификатор, создающийся при создании группы. Для идентификаторов SID, групп действуют те же правила, что и для SID учетных записей.}

^{Процесс WinLogon (часть процесса Local Security Authority) проверяет имя пользователя и пароль (или смарт-карту при соответствующей конфигурации), чтобы определить, можно ли разрешить доступ к компьютеру. Если указанный в диалоговом окне входа в систему домен является именем локального компьютера, LSA проверит учетную запись в соответствии с локальным SAM, хранимым в реестре. В ином случае LSA установит связь с контроллером домена и воспользуется для проверки подлинности данных пользователя аутентификацией Kerberos (в случае Windows 2000) или NLTM (в случае всех остальных версий Windows, включая Windows 2000 в режиме Mixed Mode), в зависимости от операционной системы клиента.}

^{Если имя учетной записи и пароль правильны, процесс WinLogon coздаст токен доступа. Токен доступа (Acess Token) образуется из SIDучетной записи пользователя, SID групп, к которым принадлежит, учетная запись, и Locally Unique Identifier (локально уникальный; идентификатор, LUID), который определяет права пользователя и конкретный сеанс входа в систему.}