Аутентификация в современных информационных системах. Алексей  Задонский

Сегодня трудно представить работу практически любой организации без компьютерных сетей и баз данных, следовательно, вопросы информационной безопасности приобретают все большее значение.
В настоящее время коммерческие, государственные и личные секреты доверяются компьютерам, подключенным к сетям передачи данных. Современные технологии не только предоставляют новые возможности организации бизнеса, но и создают потребность в надежных средствах безопасности для защиты корпоративных данных.

Российский рынок информационных технологий, несмотря на свою специфику, все же следует по пути развитых стран, которые уже пережили компьютерный бум и теперь пришли к пониманию информационных технологий как составной части бизнеса. Среди основных тенденций в области информационной безопасности прежде всего выделим следующую: построение единой комплексной системы безопасности, объединяющей разрозненные средства защиты.
Создание единой, централизованной системы безопасности является необходимым условием существования современных информационных инфраструктур, однако до сих пор все сводится к защите периметра и реализации дополнительных средств антивирусной и иной защиты рабочих станций. Между тем известно, что более 80% всех злоупотреблений в компьютерной области совершается именно внутренними пользователями.
В связи с этим можно определить основные вопросы информационной безопасности:
- какие именно ресурсы требуют защиты;
- кто, с помощью каких средств и на каком уровне имеет доступ к защищаемым ресурсам;
- как выстроена политика безопасности и что следует предпринимать в случаях ее нарушения.
Как видно, корнем этих вопросов являются понятия идентификации и аутентификации.
И если идентификация – это получение ответа на вопросы «кто вы?» и «что вы?», то аутентификация служит доказательством того, что вы являетесь именно тем, за кого себя выдаете.
Несовершенство аутентификации и широкое распространение интернет-технологий (в том числе программ для взлома) привели к тому, что злоумышленники, используя подмену имен, подбор паролей или воспользовавшись уязвимостью системы и т. д., достаточно просто получают административные права для нелегального доступа.

Методы аутентификации
Аутентификация означает доказательство идентичности. Однако идентичность кого или чего следует подтверждать, кому или чему следует предъявлять доказательства, когда можно считать аутентификацию завершенной?

Само понятие аутентификации имеет тысячелетнюю историю, поскольку необходимость подтверждения полномочий существует всегда, когда их нужно делегировать. Аутентификацией пользовались еще в древнем Китае (глиняные таблички с подписями), в древнем Египте. Сейчас большое распространение получили криминалистика и цифровые сертификаты.

В настоящее время можно выделить три основных типа аутентификации: «человек – компьютер», «компьютер – компьютер» и «человек – человек».

 

Аутентификация «Человек – компьютер»

Эта схема используется для идентификации пользователя компьютерной системы с целью предоставления или не предоставления ему сервисов. У пользователя можно запросить информацию о том, кем он является (биометрия), что он знает (пароли), что имеет (переносные устройства) и где находится (адрес).

Выделяют следующие методы аутентификации пользователей:

-          статические и одноразовые пароли;

-          биометрия – метод автоматизированного распознавания человека по его уникальным физиологическим или поведенческим характеристикам. Ряд компаний (Microsoft, IBM, Novell, Compaq и др.) образовали консорциум BioAPI (http://www.bioapi.org/), призванный сделать распознавание речи, лица и отпечатков пальцев базовыми технологиями персональных компьютеров с помощью стандартизации интерфейсов прикладного программирования (API), которые встраиваются в операционные системы и прикладное программное обеспечение. Вариантов биометрических методов более 600, среди них можно выделить следующие:

-          по отпечаткам пальцев. Одна из относительно дешевых и популярных систем аутентификации. Наиболее распространены два типа:

-          оптическое сканирование с помощью маленькой камеры, встраиваемой, например, в клавиатуру. Полученное изображение преобразуется в цифровую свертку – карту микроточек, которая характеризуется разрывами и пересечениями линий. Она шифруется и записывается в базу данных. При этом сам отпечаток пальца не сохраняется и не может быть воссоздан по микроточкам. Однако недорогие сканеры легко поддаются обману;

-          ультразвуковое сканирование. Преимуществом данного метода является возможность работы с грязными пальцами и пальцами в перчатках;

-          по форме ладони – метод, основанный на уникальности трехмерной геометрии кисти руки;

-          по расположению вен на ладони – метод основан на инфракрасном сканировании лицевой стороны ладони или кисти руки;

-          по сетчатке глаза – метод идентификации по рисунку кровеносных сосудов глазного дна;

-          по радужной оболочке глаза. Уникальный для каждого человека рисунок радужной оболочки глаза сканируется камерой, в которую инсталлировано специальное программное обеспечение.