В.П. Мельников и др. - Информационная безопасность и защита информации (1022816), страница 45
Текст из файла (страница 45)
Сравнение паролей осуществляется до загрузки ОС. Защита считалась эффективной, если злоумышленник не имеет возможности отключить автономное питание памяти, в которой хранился пароль. Однако оказалось, что кроме пароля пользователя для загрузки ОС ЭВМ можно использовать некоторые «технологические» пароли, перечень которых представлен в Интернете. При использовании паролей в момент загрузки ОС должно выполняться условие, что в ЭВМ невозможно изменить установленный порядок загрузки ОС.
Для этого жестко определяется ВЗУ, с которого осуществляется загрузка ОС. Желательно для этой цели использовать запоминающее устройство с несъемным носителем. Если загрузка ОС осуществляется со съемного носителя, то необходимо предусмотреть ряд дополнительных мер. Например, ВЗУ, с которого осуществляется загрузка ОС, настраивается таким образом, что оно может работать только с определенными носителями. В ЭВМ это может быть достигнуто изменением порядка форматирования магнитных дисков.
Отключение на время загрузки ОС всех ВЗУ, кроме выделенного для загрузки, осуществляется настройками программ загрузки ОС. Необходимо также обеспечить режим загрузки ОС, исключающий ее прерывание и возможное вмешательство злоумышленника в процесс загрузки. В ПЭВМ это может быть реализовано блокированием клавиатуры и мыши до полного завершения загрузки ОС. Идентификация субъекта доступа осуществляется средствами зашиты и при загруженной ОС, Такой режим парольной защиты используется для организации многопользовательской работы на ЭВМ. При организации парольной защиты необходимо выполнять следующие рекомендации.
!. Пароль должен запоминаться субъектом доступа. Запись пароля значительно повышает вероятность его компрометации (нарушение конфиденциальности). 204 2. Длина пароля должна исключать возможность его раскрытия путем полбора. Рекомендуется устанавливать длину пароля 5 В 9 символов, 3.
Пароли должны периодически меняться. Безопасное время использования пароля Т«может быть рассчитано по формуле Т« — — (А'!)/2, (5.1) где ~ — время, необхолимое для ввода слова длиной з; з — длина пароля; А — число символов, из которых может быть составлен пароль. Время г определяется по формуле г= Е/Я, гле Š— число символов в сообщении, содержащем пароль; Л— скорость перелачи символов пароля (символов в минуту). В формуле (5.! ) считается, что злоумышленник имеет возможность непрерывно осуществлять подбор пароля.
Если предусмотрена задержка в несколько секунд после неудачной попытки ввода пароля, то безопасное время значительно возрастает. Период смены пароля не должен превышать Т,. В любом случае использовать пароль более одного года недопустимо. 4. В КС должны фиксироваться моменты времени успешного получения доступа и время неудачного ввода пароля. После трех ошибок подряд при вводе пароля устройство блокируется и информация о предполагаемом факте подбора пароля поступает дежурному администратору системы безопасности. 5.
Пароли должны храниться в КС таким образом, чтобы они были недоступны посторонним лицам. Этого можно достичь двумя способами: ° использовать для хранения паролей специальное запоминающее устройство, считанная информация из которого не попадает за пределы блока ЗУ (схема сравнения паролей находится в самом блоке).
Запись в такое ЗУ осуществляется в специальном режиме; ° применить криптографическое преобразование пароля. 6. Пароль не выдается при вводе на экран монитора. Чтобы субъект доступа мог определить число введенных символов пароля на экран, вместо них выдается специальный символ (обычно звездочка). 7. Пароль должен легко запоминаться и в то же время быть сложным для отгадывания. Не рекомендуется использовать в качестве пароля имена, фамилии, латы рождения и т.д. Желательно при наборе пароля использовать символы различных регистров, чередование букв, цифр, специальных символов. Очень эффективным является способ использования парадоксального сочетания слов («книга висит«, «плот летит» и т.д.) и набора русских 205 букв пароля на латинском регистре. В результате получается бессмысленный набор букв латинского алфавита.
В качестве идентификатора во многих КС используется съемный носитель информации, на котором записан идентификационный код субъекта лоступа. В ПЭВМ для этой цели используется гибкий магнитный диск. Такой идентификатор обладает рядом достоинств: ° не требуется использовать дополнительные аппаратные средства; ° кроме идентификационного кода на носителе может храниться другая информация, используемая для аутентификации, контроля целостности информации, атрибуты шифрования и т.д. Для идентификации пользователей широко используются электронные жетоны — генераторы случайных идентификационных кодов. Жетон — это прибор, вырабатывающий псевдослучайную буквенно-цифровую последовательность (слово).
Зто слово меняется примерно один раз в минуту синхронно со сменой такого же слова в КС. В результате вырабатывается одноразовый пароль, который годится для использования только в определенный промежуток времени и только для однократного входа в систему. Первый такой жетон 5есцп~у Рупащ!сз появился в 1987 г.
Жетон другого типа внешне напоминает калькулятор. В процессе аутентификации КС вьщает на монитор пользователя цифровую последовательность запроса, пользователь набирает ее на клавиатуре жетона. Жетон формирует ответную последовательность, которую пользователь считывает с индикатора жетона и вводит в КС.
В результате опять получается одноразовый неповторяющийся пароль. Без жетона войти в систему оказывается невозможным. Вдобавок ко всему, прежде чем воспользоваться жетоном, нужно ввести в него свой личный пароль. Атрибутивные идентификаторы (кроме паролей) могут использоваться только на момент доступа и регистрации или постоянно должны быть подключены к устройству считывания до окончания работы.
На время даже кратковременного отсутствия идентификатор изымается, а доступ к устройству блокируется. Такие аппаратно-программные устройства способны решать задачи не только разграничения доступа к устройствам, но и обеспечения зашиты от несанкционированного доступа к информации (НСДИ). Принцип действия таких устройств основан на расширении функций ОС на аппаратном уровне. Процесс аутентификации может включать в'себя также диалог субъекта доступа с КС. Субъекту доступа задаются вопросы, ответы на которые анализируются, и делается окончательное заключение о подлинности субъекта доступа.
В качестве простого идентификатора часто используют механические ключи. Механический замок может быть совмещен с блоком подачи питания на устройство. Крышка, под которой находятся основные органы управления устройством, может закрываться на замок. Без вскрытия крышки невозможна работа с устройством. Наличие такого замка является дополнительным препятствием на пути злоумышленника при его попытке осуществить НСД к устройству. Доступ к устройствам КС объекта может блокироваться дистанционно. Так, в ЛВС подключение к сети рабочей станции может блокироваться с рабочего места администратора.
Управлять доступом к устройствам можно и с помогцью такого простого, но эффективного способа, как отключение питания. В нерабочее время питание может отключаться с помощью коммутационных устройств, контролируемых охраной. Организация доступа обслуживающего персонала к устройствам отличается от организации доступа пользователей. Прежде всего устройство, по возможности, освобождается от конфиденциальной информации и осуществляется отключение информационных связей. Техническое обслуживание и восстановление работоспособности устройств выполняются под контролем должностных лиц.
Особое внимание обращается на работы, связанные с доступом к внутреннему монтажу и заменой блоков. Обычно лля осуществления НСДИ пользователь применяет: ° знания о КС и умения работать с ней; ° сведения о системе зашиты информации; ° сбои, отказы технических и программных средств; ° ошибки, небрежность обслуживающего персонала и пользователей. Для защиты информации от НСД создается система разграничения доступа к информации.
Получить несанкционированный доступ к информации при наличии системы разграничения доступа можно только при сбоях и отказах КС, а также при использовании слабых мест в комплексной системе зашиты информации, о которых злоумышленник должен знать. Одним из путей добывания информации о недостатках системы защиты является изучение механизмов защиты. Пользователь может тестировать систему зашиты путем непосредственного контакта с ней.
В этом случае велика вероятность обнаружения системой защиты попыток ее тестирования. В результате этого службой безопасности могут быть предприняты дополнительные меры защиты. Для блокирования несанкционированного исследования и копирования информации КС используется комплекс средств и мер зашиты, которые объединяются в систему защиты от исследования и копирования информации. Таким образом, СРД и СЗИК могут рассматриваться как подсистемы системы защиты от НСДИ.
207 Исходной информацией для созлания СРД является решение владельца (администратора) КС о допуске пользователей к определенным информационным ресурсам КС. Так как информация в КС хранится, обрабатывается и передается файлами (частями файлов), то доступ к информации регламентируется на уровне файлов (объектов доступа). Сложнее организуется доступ в базах данных, в которых он может регламентироваться к отдельным частям базы по определенным правилам.
При определении полномочий доступа администратор устанавливает операции, которые разрешено выполнять пользователю (субъекту доступа). Система разграничения доступа к информации должна содержать четыре функциональных блока: ° идентификации и аутентификации субъектов доступа; ° диспетчера доступа; ° криптографического преобразования информации при ее хранении и передаче; ° очистки памяти. Идентификация и аутентификация субъектов осуществляется в момент их доступа к устройствам, в том числе и дистанционного. Диспетчер доступа реализуется в виде аппаратно-программных механизмов (рис.
5.2) и обеспечивает необходимую дисциплину разграничения доступа субъектов к объектам доступа, в том числе к аппаратным блокам, узлам, устройствам. Диспетчер доступа разграничивает доступ к внутренним ресурсам КС субъектов, уже получивших доступ к этим системам.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
