Неверно что к наиболее важным характеристикам систем идентификации и аутентификации си относится
Разделы сайта
Защита компьютеров: электронные системы идентификации и аутентификации
На мировом рынке информационной безопасности стабильное положение сохраняют средства AAA, или 3А (authentication, authorization, administration — аутентификация, авторизация, администрирование), предназначенные для обеспечения защиты от несанкционированного доступа (НСД) к информационным ресурсам. Эта тенденция находит отражение в аналитических обзорах и прогнозах ведущих консалтинговых компаний. Так, например, согласно данным Infonetics Research (www.infonetics.com), сектор средств 3A к 2005 г. достигнет уровня 9,5 млрд. долл., что будет составлять 67% от всего рынка информационной безопасности.
Важное место в области 3А занимают аппаратно-программные системы идентификации и аутентификации (СИА), или устройства ввода идентификационных признаков (термин соответствует ГОСТ Р 51241-98), предназначенные для обеспечения защиты от НСД к компьютерам. При использовании СИА доступ пользователя к компьютеру осуществляется только после успешного выполнения процедуры идентификации и аутентификации. Идентификация заключается в распознавании пользователя по присущему или присвоенному ему идентификационному признаку. Проверка принадлежности пользователю предъявленного им идентификационного признака осуществляется в процессе аутентификации.
В состав СИА входят аппаратные идентификаторы, устройства ввода-вывода (считыватели, контактные устройства, адаптеры, разъемы системной платы и др.) и соответствующее ПО. Идентификаторы предназначены для хранения уникальных идентификационных признаков. Кроме этого они могут хранить и обрабатывать конфиденциальные данные. Устройства ввода-вывода и ПО осуществляют обмен данными между идентификатором и защищаемым компьютером.
В нашем обзоре «Аппаратно-программные средства контроля доступа» (см. PC Week/RE, № 9/2003, с. 25) проводилась классификация СИА, рассматривались принципы их функционирования и рассказывалось об изделиях ведущих компаний-разработчиков.
В настоящей статье основное внимание уделяется классу электронных СИА. Этот выбор основывается на том факте, что сегодня на российском рынке компьютерной безопасности данные системы обладают наибольшей привлекательностью в силу их высокой эффективности и приемлемой цены.
Классификация электронных систем идентификации и аутентификации
В электронных СИА идентификационные признаки представляются в виде цифрового кода, хранящегося в памяти идентификатора. По способу обмена данными между идентификатором и устройством ввода-вывода электронные СИА подразделяются (см. рис. 1) на контактные и бесконтактные. Контактное считывание подразумевает непосредственное соприкосновение идентификатора с устройством ввода-вывода. Бесконтактный (дистанционный) способ обмена не требует четкого позиционирования идентификатора и устройства ввода-вывода. Чтение или запись данных происходит при поднесении идентификатора на определенное расстояние к устройству ввода-вывода.
Рисунок 1 — Классификация электронных СИА
Рисунок 2 — Идентификаторы
В табл. 1 перечислены ведущие мировые поставщики электронных СИА. Безусловно, этот список далеко не полон.
Таблица 1 — Ведущие компании — разработчики электронных СИА
СИА на базе смарт-карт и радиочастотных идентификаторов можно отнести по времени их создания к старшему, iButton — к среднему, а USB-ключей — к младшему поколению.
Первый шаг в создании карт-идентификаторов был сделан в Германии в 1968 г., когда Юргену Деслофу и Гельмуту Гротруппу удалось поместить интегральную схему в кусочек пластика. В 1974 г. француз Ролан Морено запатентовал идею интеграции микросхемы в пластиковую карту. Но только в конце 80-х годов достижения в области микроэлектроники сделали возможным воплощение этой идеи в жизнь.
История развития СИА на базе изделий iButton (www.ibutton. com), началась в 1991 г. с создания корпорацией Dallas Semiconductor первых идентификаторов Touch Memory (таково их начальное название). В настоящее время Dallas Semiconductor представляет собой дочернее предприятие компании Maxim Integrated Products (www. maxim-ic.com). Результатом их совместной деятельности является выпуск более 20 моделей идентификаторов iButton. Для защиты компьютеров от НСД в основном используются идентификаторы DS 1963S, DS 1991, DS 1992L — DS 1996L, которые различаются внутренней структурой, функциональными возможностями и ценой.
Системы идентификации и аутентификации на базе USB-ключей появились в конце 90-х годов. Являясь преемником смарт-карт-технологий и технологий электронных ключей, используемых для защиты программного обеспечения, USB-ключи довольно быстро завоевали популярность. Согласно отчету IDC (Identity Management in a Virtual World, C. J. Kolodgy, июнь 2003), в 2004 г. по сравнению с 2003-м ожидается увеличение продаж USB-токенов на 161%.
В России помимо продукции зарубежных фирм широко представлены отечественные изделия. Наши разработчики традиционно сильны в области радиочастотной идентификации. Лидирующие позиции в создании RFID-систем на российском рынке компьютерной безопасности занимают ОАО «Ангстрем» (www.angstrem.com) и компания Parsec (www.parsec-tm.com).
В 1998 г. объединенными усилиями предприятий «Ангстрем», «Программные системы и технологии» и НТЦ «Атлас»(www.stcnet.com) при непосредственном участии ФАПСИ была выпущена первая российская интеллектуальная карта РИК, в которой был реализован отечественный криптографический алгоритм в соответствии с ГОСТ 28147-89. Эта микропроцессорная карточка разработана с соблюдением международных стандартов ISO 7816 и совместима с рекомендациями EMV.
Стремление реализовать на аппаратном уровне в USB-ключах алгоритм ГОСТ 28147-89 привело к появлению на российском рынке изделий ruToken (www.rutoken.com) и eToken RIC (www.aladdin. ru ). Система идентификации и аутентификации на базе ruToken является совместной разработкой компаний «Актив» и АНКАД (www.ancud.ru), а СИА на базе eToken RIC — компании Aladdin Software Security R.D.
Сегодня имеется довольно много предложений по защите компьютеров от НСД с помощью электронных СИА. Остается только правильно выбрать.
Ключевые параметры систем идентификации и аутентификации
Рисунок 3 — Факторы, влияющие на выбор СИА
Этот перечень не является исчерпывающим. Но, на наш взгляд, анализа предложенных характеристик достаточно для того, чтобы сделать выбор в пользу той или иной СИА.
С точки зрения стоимости на российском рынке наиболее предпочтительны СИА на базе USB-ключей и iButton, в составе которых отсутствуют дорогостоящие считыватели.
Ориентировочные цены СИА приведены в табл. 2 и зависят от типа изделий, размера покупаемой партии, фирмы-продавца и других факторов. Но даже и эти величины позволяют провести сравнительный анализ стоимости аппаратных компонентов СИА.
Таблица 2 — Ориентировочные цены СИА
Контактные идентификаторы подразделяются на идентификаторы iButton, смарт-карты и USB-ключи.
Идентификатор iButton представляет собой встроенную в герметичный стальной корпус микросхему (чип), питание которой обеспечивает миниатюрная литиевая батарейка. Основу чипа (рис. 4) составляют мультиплексор и память. Помимо этого некоторые типы идентификаторов содержат дополнительные компоненты. Так, например, в идентификаторе DS1963S имеется микроконтроллер, предназначенный для вычисления в соответствии со стандартом SHA-1 160-разрядного кода аутентификации сообщений и генерации ключей доступа для страниц памяти, а в корпус идентификатора DS1994L встроены часы реального времени.
Рис. 4. Структура iButton
В табл. 3 представлены основные характеристики памяти идентификаторов iButton, используемых для защиты компьютеров от НСД.
Таблица 3 — Идентификаторы iButton
В ROM хранится 64-разрядный код, состоящий из 48-разрядного уникального серийного номера (идентификационного признака), восьмиразрядного кода типа идентификатора и восьмиразрядной контрольной суммы. Память NV RAM может быть использована для хранения как общедоступной, так и конфиденциальной информации (криптографических ключей, паролей доступа и других данных). Память SM является буферной и выполняет функции блокнотной памяти.
Контактные смарт-карты принято делить на процессорные карты и карты с памятью. Обычно они выпускаются в виде пластиковых карточек.
На рынке безопасности сначала появились карты с открытой памятью, затем — с защищенной и наконец — процессорные смарт-карты. Физический, электрический, механический и программный интерфейсы смарт-карт определяются базовым стандартом ISO 7816 (части 1-10).
Основу внутренней структуры современной процессорной смарт-карты составляет чип, в состав которого входят процессор (или несколько процессоров), оперативная память RAM, постоянная память ROM и энергонезависимая программируемая постоянная память PROM (рис. 5).
Рисунок 5 — Структура контактной процессорной смарт-карты
Оперативная память используется для временного хранения данных, например результатов вычислений, произведенных процессором. Емкость памяти составляет несколько килобайт.
В постоянной памяти ROM (обычно масочная) хранятся команды, исполняемые процессором, и другие неизменяемые данные. Информация в ROM записывается в процессе производства карты. Емкость памяти может составлять десятки килобайт.
Память PROM в смарт-картах используется двух типов: однократно программируемая EPROM и более распространенная многократно программируемая EEPROM. В ней хранятся пользовательские данные, которые могут считываться, записываться и модифицироваться, и конфиденциальные данные (например, криптографические ключи), недоступные для прикладных программ. Емкость памяти составляет десятки и сотни килобайт.
Центральный процессор смарт-карты (обычно это RISC-процессор) обеспечивает реализацию разнообразных процедур обработки данных, контроль доступа к памяти и управление ходом выполнения вычислительного процесса.
USB-ключи предназначаются для работы с USB-портом компьютера. Конструктивно они изготавливаются в виде брелоков, к которым вполне можно прикрепить связку ключей. Брелоки выпускаются в цветных корпусах и имеют световые индикаторы работы. Каждый идентификатор имеет прошиваемый при изготовлении уникальный 32/64-разрядный серийный номер.
Бесконтактные идентификаторы разделяются на идентификаторы Proximity (от англ. proximity — близость, соседство) и смарт-карты. Конструктивно они изготавливаются в виде пластиковых карточек, брелоков, жетонов, дисков, меток и т. п. Основными компонентами идентификаторов являются чип и антенна. Каждый идентификатор имеет уникальный 32/64-разрядный серийный номер. В табл. 4 представлены основные характеристики бесконтактных идентификаторов.
Таблица 4 — Бесконтактные идентификаторы
Идентификаторы Proximity функционируют на частоте 125 кГц. В состав чипа входит микросхема памяти (или микросхема с «жесткой» логикой) со вспомогательными блоками: модулем программирования, модулятором, блоком управления и другими модулями. Емкость памяти составляет от 8 до 256 байт. В Proximity в основном используется однократно программируемая EPROM, но встречается и перезаписываемая EEPROM. В памяти содержатся уникальный номер идентификатора, код устройства и служебная информация (биты четности, биты начала и конца передачи кода и т. д.).
Обычно идентификаторы Proximity являются пассивными и не содержат химического источника питания — литиевой батареи. В этом случае питание микросхемы происходит посредством электромагнитного поля, излучаемого считывателем. Чтение данных осуществляется считывателем со скоростью 4 кбит/с на расстоянии до 1 м.
Системы идентификации и аутентификации на базе Proximity криптографически не защищены (за исключением заказных систем).
Бесконтактные смарт-карты функционируют на частоте 13,56 МГц и разделяются на два класса, которые базируются на международных стандартах ISO/IEC 14443 и ISO/IEC 15693.
Стандарт ISO/IEC 14443 разрабатывался с 1994-го по 2001 гг. Он включает в себя версии А и В, различающиеся способами модуляции передаваемого радиосигнала, и поддерживает обмен (чтение/запись) данными со скоростью 106 кбит/с (возможно увеличение до 212, 424 и 848 кбит/с), дистанция чтения — до 10 см.
Для реализации функций шифрования и аутентификации в идентификаторах стандарта ISO/IEC 14443 могут применяться чипы трех видов: микросхема с «жесткой» логикой MIFARE, процессор, криптографический процессор. Технология MIFARE является разработкой компании Philips Electronics и представляет собой расширение ISO/IEC 14443 (версия А).
Стандарт ISO/IEC 15693 разработан с целью увеличения дистанции применения бесконтактного идентификатора до 1 м. На этом расстоянии обмен данными происходит со скоростью 26,6 кбит/с.
Выбор СИА может зависеть от структуры и состава устройства ввода-вывода, обеспечивающего обмен данными между идентификатором и защищаемым компьютером.
Наиболее просто обмен данными осуществляется в СИА на базе USB-ключей. В этих системах аппаратное устройство ввода-вывода отсутствует: идентификатор подсоединяется к USB-порту рабочей станции, портативного компьютера, клавиатуры или монитора напрямую либо с помощью кабеля-удлинителя.
В СИА на базе iButton обмен информацией с компьютером идет в соответствии с протоколом однопроводного интерфейса 1-Wire через последовательный, параллельный и USB-порты, а также дополнительную плату расширения. Данные записываются в идентификатор и считываются из него путем прикосновения корпуса iButton к контактному устройству, встроенному в адаптер соответствующего порта, либо к контактному устройству с удлинительным кабелем, присоединенным к адаптеру. Гарантированное количество контактов iButton составляет несколько миллионов соединений.
Интерфейс 1-Wire обеспечивает обмен данными в полудуплексном режиме со скоростями 16 и 142 кбит/с (вариант ускоренного обмена). Взаимодействие устройств по однопроводному интерфейсу организовано по принципу «ведущий-ведомый». При этом контактное устройство всегда ведущее, а один или несколько идентификаторов iButton — ведомые.
В состав СИА на базе смарт-карт (контактных и бесконтактных) и RFID-идентификаторов входят дорогостоящие считывающие устройства (считыватели, ридеры), которые подключаются к параллельному, последовательному, USB-портам, дополнительной плате расширения компьютера, к PC Card портативного компьютера. По отношению к корпусу компьютера считыватели могут быть внешними и внутренними. Питаются считыватели от различных источников — блока питания компьютера, внешнего источника питания или стандартных батареек.
При обсуждении надежности СИА обычно рассматривают самое важное и в то же время самое слабое звено системы — идентификатор. В свою очередь, надежность идентификаторов связывают со степенью их защищенности от механических воздействий, влияния температуры, внешних электромагнитных полей, агрессивных сред, пыли, влаги, а также от атак, направленных на вскрытие чипов, хранящих секретные данные.
К недостаткам СИА на базе iButton следует отнести отсутствие встроенных в идентификаторы криптографических средств, реализующих шифрование данных при их хранении и передаче в компьютер. Поэтому iButton обычно используется совместно с другими системами, на которые возлагаются функции шифрования.
Конечно, по степени механической надежности радиочастотные идентификаторы, смарт-карты и USB-ключи уступают iButton. Пластику соревноваться со сталью трудно. Выход из строя карты вследствие механических повреждений является не таким уж редким событием. Проводившиеся в ходе реализации французского проекта GIE Carte Bancaire десятилетние исследования над 22 миллионами карт показали, что вероятность их отказа по ряду причин (куда также входят механические повреждения) составляет 0,022.
«Узким» местом USB-ключей является и ресурс их USB-разъемов. Разработчики данных идентификаторов даже включают этот показатель в технические спецификации изделий. Например, для идентификаторов семейства eToken (www. ealaddin.com) гарантированное число подключений составляет не менее 5000 раз.
Достоинство радиочастотных идентификаторов, смарт-карт и USB-ключей состоит в том, что в их состав входят защищенная энергонезависимая память и криптографический процессор, позволяющие повысить уровень защиты устройств. Однако и атакующая сторона не дремлет, придумывая разнообразные способы вскрытия секретной информации.
Опубликовано множество работ, в которых описываются разнообразные атаки на чипы идентификаторов. Эти исследования носят как теоретический, так и практический характер. К теоретическим методам вскрытия относят, в частности, атаки Bellcore, дифференциальный анализ искажений DFA (Differential Fault Analysis) и питания DPA (Differential Power Analysis). К практическим методам можно отнести глитчинг (glitching) и физические атаки, направленные на распаковку чипа и извлечение необходимой информации.
Разработчики криптографических процессоров стремятся по мере возможности адекватно реагировать на атаки с помощью разнообразных механизмов внешней и внутренней защиты. К механизмам внешней защиты относят установку датчиков (емкостный либо оптический сенсор), покрытие чипа металлическим слоем, специальными клеями и т. д., к внутренним — шифрование шины, случайное тактирование, проведение повторных вычислений, генерирование шума.
Интеграция с электронными замками и системами защиты информации
Важным критерием выбора СИА является ее применение в других средствах 3А — электронных замках (см. PC Week/ RE, № 9/2003, с. 25) и системах защиты от НСД к информационным ресурсам компьютера. На российском рынке компьютерной безопасности присутствуют следующие сертифицированные изделия, использующие электронные СИА:
В табл. 5 представлены сведения о внедрении электронных СИА разного типа в вышеуказанные изделия.
Таблица 5 — Интеграция СИА с ЭЗ и СЗИ
Из таблицы видно, что наибольшей популярностью у разработчиков пользуется СИА на базе iButton.
Защита компьютеров от НСД со стороны злоумышленников является составной частью комплексного подхода к организации корпоративной информационной безопасности. В России имеется немало предложений в этой области, среди которых важное место занимают рассмотренные в статье электронные системы идентификации и аутентификации. Решение о необходимости и выборе той или иной системы (на базе iButton, смарт-карт, радиочастотных идентификаторов или USB-ключей) остается за руководителем компании. Автор надеется, что в этом вопросе данная публикация окажет посильную помощь.
Идентификация, аутентификация и авторизация — в чем разница?
Объясняем на енотах, в чем разница между идентификацией и авторизацией, а также зачем нужна аутентификация, тем более двухфакторная.
Это происходит с каждым из нас, причем ежедневно: мы постоянно идентифицируемся, аутентифицируемся и авторизуемся в разнообразных системах. И все же многие путают значение этих слов и часто употребляют термин «идентификация» или «авторизация», когда на самом деле речь идет об аутентификации.
Ничего такого уж страшного в этом нет — пока идет бытовое общение и обе стороны диалога по контексту понимают, что в действительности имеется в виду. Но всегда лучше знать и понимать слова, которые употребляешь, а то рано или поздно нарвешься на зануду-специалиста, который вынет всю душу за «авторизацию» вместо «аутентификации», кофе среднего рода и такое душевное, но неуместное в серьезной беседе слово «ихний».
Идентификация, аутентификация и авторизация: серьезные определения
Итак, что же значат термины «идентификация», «аутентификация» и «авторизация» — и чем соответствующие процессы отличаются друг от друга? Для начала проконсультируемся с «Википедией»:
Объясняем идентификацию, аутентификацию и авторизацию на енотах
Выше было очень много умных слов, теперь давайте упростим до конкретных примеров. Скажем, пользователь хочет войти в свой аккаунт Google. Google подходит лучше всего, потому что там процедура входа явным образом разбита на несколько простейших этапов. Вот что при этом происходит:
Аутентификация без предварительной идентификации лишена смысла — пока система не поймет, подлинность чего же надо проверять, совершенно бессмысленно начинать проверку. Для начала надо представиться.
Идентификация без аутентификации — это просто глупо. Потому что мало ли кто ввел существующий в системе логин! Системе обязательно надо удостовериться, что этот кто-то знает еще и пароль. Но пароль могли подсмотреть или подобрать, поэтому лучше подстраховаться и спросить что-то дополнительное, что может быть известно только данному пользователю: например, одноразовый код для подтверждения входа.
А вот авторизация без идентификации и тем более аутентификации очень даже возможна. Например, в Google Документах можно публиковать документы так, чтобы они были доступны вообще кому угодно. В этом случае вы как владелец файла увидите сверху надпись, гласящую, что его читает неопознанный енот. Несмотря на то, что енот совершенно неопознанный, система его все же авторизовала — то есть выдала право прочитать этот документ.
А вот если бы вы открыли этот документ для чтения только определенным пользователям, то еноту в таком случае сперва пришлось бы идентифицироваться (ввести свой логин), потом аутентифицироваться (ввести пароль и одноразовый код) и только потом получить право на чтение документа — авторизоваться.
А уж если речь идет о содержимом вашего почтового ящика, то Google никогда и ни за что не авторизует неопознанного енота на чтение вашей переписки — если, конечно, он не идентифицируется с вашим логином и не аутентифицируется с вашим паролем. Но тогда это уже не будет неопознанный енот, поскольку Google однозначно определит этого енота как вас.
Теперь вы знаете, чем идентификация отличается от аутентификации и авторизации. Что еще важно понимать: аутентификация — пожалуй, самый важный из этих процессов с точки зрения безопасности вашего аккаунта. Если вы ленитесь и используете для аутентификации только слабенький пароль, то какой-нибудь енот может ваш аккаунт угнать. Поэтому:
Статьи и публикации
Принципы классификации систем идентификации и аутентификации по признакам соответствия требованиям информационной безопасности
Сформулированы принципы классификации систем идентификации и аутентификации пользователей по признакам выполнения целей и задач обеспечения информационной безопасности. Показано, что основной целью систем идентификации и аутентификации является управление доступом пользователей. Рассмотрены задачи обеспечения доступности, целостности и конфиденциальности информации ограниченного доступа при проектировании и эксплуатации систем идентификации и аутентификации.
Введение. Интенсивное развитие государственной программы «Информационное общество (2011–2020 гг.)» [1], которая предполагает, в том числе, строительство инфраструктуры открытых ключей (Public Key Infrastructure, PKI), неотделимо от задач по созданию надёжной системы удалённого электронного взаимодействия (УЭВ) пользователей и информационных ресурсов по открытым каналам связи, обеспечивающей юридически значимый электронный документооборот, развитие государственных услуг, электронной коммерции и трансграничных операций с заданным уровнем рисков.
Решить эти задачи невозможно без развития систем идентификации и аутентификации (СИА) участников электронного взаимодействия. Средства аутентификации (подтверждения подлинности предъявленных пользователем идентификаторов) относятся к категории классических механизмов управления доступом пользователей и информационной безопасности (ИБ) как корпоративных, так и глобальных коммуникационных сетей [2]. Они включают в себя создание, изменение, удаление и аудит пользовательских учётных записей. Для аутентификации применительно к задачам доступа общеупотребительным стал термин ААА (аутентификация, авторизация, администрирование); к этой аббревиатуре иногда добавляют четвертое «А» – аудит.
Согласно Постановлению Правительства РФ от 28 ноября 2011 г. N 977 [3], в эксплуатацию вводится единая система идентификации и аутентификации (ЕСИА). При этом особую актуальность приобретает разработка базовых принципов национальной универсальной платформы защищённого доступа к информационным системам (ИС), используемым для предоставления государственных услуг, в том числе при переходе к облачным вычислениям. Создание надёжных систем управления удалённым доступом к конфиденциальной информации, содержащей, в частности, персональные данные граждан (ПДн), для государственных ИС является весьма сложной задачей.
Заметим, что с вопросами идентификации и аутентификации (ИА) сталкиваются не только каждый пользователь ИС, но и вообще все, кто имеют дело с современными гаджетами. Прежде чем получить возможность пользоваться устройством, информационной технологией (Интернетом, электронной почтой и т.д.) или услугой (например, прикладным программным обеспечением), требуется, как минимум, ввести зарегистрированный в системе идентификатор пользователя (логин) и пароль. При всей широчайшей распространенности СИА проблемы их надёжности и безопасности, вопросы организации таких систем, использования в них тех или иных технологий и механизмов ИА недостаточно изучены, а следовательно, далеко не в полной мере формализованы. И прежде чем изучать существующие и проектируемые СИА во всем их многообразии, с учётом разной степени сложности реализации, необходимо предварительно классифицировать данный тип ИС и выработать адекватные подходы к исследованию характеристик надёжности и безопасности в зависимости от назначения и сущности применяемых технологий ИА.
Возможно, из-за сложности темы автор данной статьи обнаружил в открытых источниках лишь две работы [4, 5], посвящённые вопросам классификации СИА. Разработанная более 10 лет назад Р. Смитом классификация СИА [4] касается, главным образом, вопросов ИА пользователей корпоративных ИС при предоставлении им сетевого доступа. В качестве основного механизма аутентификации здесь рассматривается пароль. За прошедшие годы технологии шагнули далеко вперёд, предложенная Р. Смитом классификация представляется неполной и устаревшей, а терминология, не в последнюю очередь из-за не совсем удачного перевода, не стала общепринятой. К сожалению, все указанные недостатки относительно нечётких критериев классификации были повторены в работе [5].
Принципы классификации. В работе по теоретическим проблемам использования системного анализа [6] в качестве общих подходов описания сложных систем предлагается использование принципов:
Рассмотрим, как можно применить эти принципы для систематизации и классификации процессов ИА.
Принцип цели. Выделим основные цели создания СИА. В [7, 8] определены две основные цели аутентификации:
Аутентификация сторон, как правило, является онлайн-сервисом безопасности. Его основные задачи:
Первая задача в полной мере применима к СИА, поскольку системы управления доступом пользователей ИС или отдельных информационных ресурсов включают СИА в качестве одной из подсистем. Идентификация владельца ЭП и обеспечение неотказуемости при подписи электронного документа входят в задачу предоставления доступа к модулям прикладного программного обеспечения, использующим подпись как один из сервисов безопасности. Другими словами, задачи идентификации и обеспечения неотказуемости также сводятся к управлению доступом. Установление доверительных отношений является более сложной задачей, так как участниками взаимодействия могут являться пары «устройство–устройство» (класс задач М2М), «пользователь–устройство» (например, широко применяемая клиент-серверная схема) и «пользователь–пользователь».
Задачи класса М2М могут решаться как службами СИА, так и в рамках сетевых инфраструктурных настроек (например, IPsec). Задачи аутентификации «пользователь–устройство» также могут решаться как СИА, так и вне её (пример: SSL – Secure Socket Layer). Задача установления доверительных отношений «пользователь–пользователь» может входить в функционал СИА, а может решаться с помощью других механизмов, примером в данном случае является почта PGP (Pretty Good Privacy).
Аутентификация источника данных является офлайн-сервисом, основным механизмом которого служит проверка электронной подписи источника данных. Как правило, эта задача не входит в функционал СИА.
Таким образом, основной целью СИА является управление доступом пользователей.
Принцип многоуровневого описания. Процессы аутентификации подробно рассмотрены в [9], где показано, что процесс аутентификации состоит из взаимосвязанной цепочки последовательно выполняемых процедур, разделяющихся на два класса по отношению к времени их выполнения. К первому классу относятся процедуры регистрации нового пользователя ИС и хранения аутентификационной информации (АИ), ко второму классу – процедуры предъявления АИ, протоколы обмена «претендент–проверяющая сторона», валидации и принятия решения о результате прохождения претендентом процесса аутентификации. Принципы многоуровневого моделирования каждой процедуры представлены в [10]. Детализированное рассмотрение процессов и механизмов установления доверительных отношений при УЭВ приводится в [11].
На основе приведённых в указанных работах детализированных описаний можно выполнить классификацию СИА. При этом очень важен выбор признаков и критериев, по которым производится классификация. Покажем, что предлагаемый подход позволяет выбрать признаки и определить критерии для классификации современных СИА.
Классификация СИА по целям и задачам ИБ. В принципе, классифицировать можно что угодно, как угодно и по любым признакам. Вопрос в том, будет ли востребована такая работа по классификации сообществом специалистов. Чтобы избежать судьбы классификации, проведённой в [4, 5], вооружимся системным подходом.
Для определения признаков классификации СИА вспомним, что аутентификация – это один из важнейших сервисов информационной безопасности [12]. Следовательно, предлагаемый сервис безопасности должен обладать такими свойствами защищённости, как доступность, целостность, конфиденциальность.
Основными целями обеспечения доступности при этом будут являться обеспечение гарантий обработки запросов пользователей на аутентификацию, разделение доступа пользователей, управление доступом, а также персонификация доступа, т.е. жесткая привязка идентификационной (ИД) и аутентификационной (АИ) информации пользователя к конкретной личности. Задача обеспечения целостности информации в СИА может быть разбита на цели защиты целостности программного обеспечения системы, учётных записей и АИ пользователей, при этом обеспечение целостности АИ из-за сложности решения может рассматриваться как отдельная цель при переходе к облачным вычислениям.
Согласно требованиям № 152-ФЗ «О персональных данных» в СИА должна обеспечиваться конфиденциальность учётных записей и АИ пользователей. Как показано в [11], АИ пользователей лучше всего защищена, если в качестве механизма аутентификации выступает электронная подпись, при этом безопаснее всего применять персональные пользовательские устройства класса SSCD (Secure Signature Creation Device – устройства аппаратной генерации ключевой информации для подписи внутри чипов, специально спроектированных по требованиям ИБ).
На рисунке представлена классификация СИА по признакам выполнения основных целей и задач ИБ в наглядной форме.
Классификация СИА по целям и задачам информационной безопасности
Рассмотрим подробнее задачи, изображенные на рисунке, при этом остановимся на наиболее существенных задачах СИА. Так, для обеспечения доступа всех зарегистрированных в ИС пользователей необходимо проектировать СИА с учётом её отказоустойчивости по отношению к запросам на аутентификацию. Конечно, производительность СИА, как правило, избыточна, ведь пиковые нагрузки по аутентификации пользователей обычно приходятся на получасовые периоды времени начала и окончания рабочего дня, а в остальное время вычислительные мощности серверов аутентификации могут быть задействованы для других задач. Тем не менее в техническом задании на проектирование СИА следует задавать максимальное время обработки запросов на аутентификацию в зависимости от интенсивности входящего потока заявок λ. Основным условием гарантированной обработки заявок в заданное время, как следует из [10], является соотношение λ/µ 
Приведём несколько примеров СИ, использующих комбинации вышеперечисленных свойств идентификаторов. Так, УХМ означает способ идентификации с помощью универсального анонимного идентификатора многоразового действия. В физическом мире это может быть купюра установленного образца: денежный знак анонимен, принимается везде (универсален). Опустив монетку в монетоприемник, можно пройти в трамвай, метро (в некоторых городах), на аттракцион, в туалет и т.п. В виртуальном мире такому СИ соответствуют платные услуги, не требующие идентификации пользователя, например доступ к Сети из интернет-кафе.
Примером КПМ (корпоративного персонального многоразового идентификатора) в физическом мире служит бумажный пропуск на территорию учреждения или организации, в электронном мире ему соответствует смарт-карта, выполненная в виде пропуска в корпоративном исполнении.
В отличие от систем идентификации СИА являются на порядок более сложными интеллектуальными системами. Напомним, что аутентификация (А) – процесс, состоящий из связанных подпроцессов подтверждения подлинности предъявленных идентификаторов с помощью аутентификатора и подтверждения принадлежности этого аутентификатора конкретному владельцу.
В развитие классификации [5] и используя результаты работы [11], выделим следующие типы СИА:
Локальная. Этот тип полностью совпадает с представленным в [5]. Службы аутентификации расположены на каждом устройстве, там же производится процесс А с помощью одного валидатора (механизма А, которому доверяет владелец ресурса) и принимается решение о доступе. Примерами локальной А является персональный компьютер, ноутбук, сотовый телефон.
Прямая. Также совпадает с [5]. Владелец ресурса в процессе А доверяет одному валидатору, расположенному внутри защищённого периметра локальной вычислительной сети (ЛВС). Прямой А называется потому, что все пользователи, желающие получить доступ к ресурсу, напрямую проходят процесс А, предъявляя аутентификатор валидатору. Примером СИА прямого типа являются небольшие организации численностью до 20 рабочих мест.
Доменная. Отличается от прямой тем, что одному валидатору, расположенному внутри защищённого периметра ЛВС, доверяют владельцы многих ресурсов, расположенных в ЛВС. В количественном отношении СИА доменного типа преобладают в сегментах малого и среднего бизнеса.
Иерархическая. Отличается от доменной наличием подчинённых доменов. В иерархической схеме СИА доступ пользователям может предоставлять подчинённый домен, однако в центре имеется база данных учётных записей пользователей, имеющих право управления доступом. Типичным примером таких СИА является организация с широкой филиальной сетью.
Распределенная сетевая. Отличается от доменной наличием множества доменов, связанных между собой трастовыми (доверенными) отношениями. В каждом домене независимо производится процесс А и принимается решение о доступе. Такие СИА характерны для крупных корпораций и холдингов.
Мостовая. Отличается от распределённой сетевой наличием ДТС (Доверенной третьей стороны). СИА мостового типа характерны для ведомственного взаимодействия с развитым электронным документооборотом.
Браузерная. Отличается от мостовой механизмом А, основанным на организации защищённого канала связи клиент-сервер на сессионном уровне. ДТС может находиться на этом же сервере. Одним из ярких примеров СИА браузерного типа является портал государственных услуг.
Браузерная с трансляцией доверия. Этот тип СИА пока мало известен в Российской Федерации по причине неразвитости публичных облачных сервисов. Предназначен для обеспечения доступа к облачным сервисам и ИС, в которых нет учётной записи данного пользователя. Отличается от браузерной наличием задачи транслирования доверия к аутентификации, которую пользователь успешно прошёл в первичной ИС, в другие ИС, куда данному пользователю необходимо предоставить доступ. Эта задача, как правило, решается с применением федеративной системы трансляции доверия, представленной во многих публикациях, в частности в [13].
Заметим, что классифицировать СИА можно также по следующим признакам:
Заключение. Предложены принципы классификации систем идентификации и аутентификации. На основе анализа отказоустойчивости и задач идентификации и аутентификации показано, что можно подробно рассмотреть каждую задачу СИА, связанную с обеспечением ИБ. Предложенная классификация носит концептуальный характер.
Автор надеется, что данная статья будет обсуждаться в среде специалистов и вызовет отклики, что позволит уточнить предложенный подход к классификации СИА.
В развитие работы предполагается проведение исследования уровней достоверности и надёжности СИА, классифицированных по рассмотренным признакам.