Авторизация и аунтификация в информационных системах

[1, п. 5.

4.8]

Также обозначены следующие положения:

Комплекс средств защиты должен контролировать доступ наименованных субъектов (пользователей) к наименованным объектам (файлам, программам, томам и т. д.).

Для каждой пары (субъект — объект) в системе должно быть задано явное и недвусмысленное перечисление допустимых типов доступа (читать, писать и т. д.), т. е. тех типов доступа, которые являются санкционированными для данного субъекта (индивида или группы индивидов) к данному ресурсу системы (объекту).

Комплекс средств защиты должен содержать механизм, претворяющий в жизнь дискреционные правила разграничения доступа.

Контроль доступа должен быть применим к каждому объекту и каждому субъекту (индивиду или группе равноправных индивидов). Механизм, реализующий дискреционный принцип контроля доступа, должен предусматривать возможности санкционированного изменения правил разграничения доступа, в том числе возможность санкционированного изменения списка пользователей системы и списка защищаемых объектов.

Права изменять правила разграничения доступа должны предоставляться выделенным субъектам (администрации, службе безопасности и т. д.). [1, Прил. Б, п. Б.1]

С традиционной точки зрения средства управления позволяют специфицировать и контролировать действия, которые субъекты (пользователи и процессы) могут выполнять над объектами (информацией и другими ресурсами). Управление доступом — это основной механизм многопользовательских систем, предназначенный обеспечивать конфиденциальность и целостность объектов системы и их доступность, что происходит путем запрета на обслуживание неавторизованных пользователей. Допустим, имеется множество пользователей и набор объектов, а задача управления доступом состоит в том, чтобы для каждой пары «пользователь-объект» обозначить множество допустимых операций и производить контроль выполнения установленного ранее порядка.

Связь «пользователи-объекты» представляют в виде матрицы доступа, в строках которой указаны субъекты, в столбцах — объекты, а в ячейках на пересечении указаны дополнительные условия (например, время и место действия) и разрешенные виды доступа.

Таблица 1

Фрагмент матрицы доступа

Файл

(объект 1) Программа

(объект 2) Линия_связи

(объект 3) Реляционная таблица (объект 4) Пользователь1 Read

Write

с системной консоли Execute Read

Write

с 9:00 до 20:00 Пользователь2 Add «read» — чтение; «write» — запись; «execute» — выполнение; «add» — добавление информации.

Можно выделить общие критерии, на основании которых решается вопрос о предоставлении доступа, и общие методы хранения матрицы доступа. При принятии решения о возможности доступа пользователя анализируется следующая информация:

идентификатор пользователя (логин, сетевой адрес компьютера и т. п.);

атрибуты требуемого объекта (метка безопасности, группа пользователя и т. п.).

Большинство ячеек матрицы доступа пустые, поэтому считается неразумным хранить ее в двухмерном массиве. Обычно ее хранят по столбцам, т. е. для каждого объекта указывается список субъектов-пользователей, допущенных к нему с указанием их прав.

При большом количестве пользователей традиционные подсистемы управления доступом становятся крайне сложными для администрирования. Число связей в многопользовательских системах пропорционально произведению количества пользователей системы на количество ее объектов. Решением проблем управления является ролевое управление доступом. Между пользователя и их привилегиями появляются промежуточные сущности — роли. Для каждого пользователя одновременно могут быть активными несколько ролей, каждая из которых дает ему определенные права (см. рисунок 2).

Рис. 2 Пользователи, объекты и роли

Ролевое управление доступом оперирует такими понятиями как: пользователь, сеанс работы, роль, объект, операция, право доступа.

Между ролями может быть определено отношение частичного порядка, называемое наследованием. Наследование является иерархической структурой, при этом права доступа и пользователи распространяются по уровням иерархии навстречу друг другу. Таким образом, формирование иерархии ролей начинается с минимального набора прав. Фрагмент подобной иерархии показан на рисунке 3.

Рис. 3 Фрагмент иерархии ролей Основные функции, необходимые для администрирования ролевого управления доступом:

Административные функции — создание и сопровождение ролей;

Вспомогательные функции — обслуживание сеансов работы пользователей;

Информационные функции — получение сведений о текущей конфигурации с учетом отношения наследования.

Все остальные функции являются необязательными. К ним относятся: получение информации о правах, приписанных роли, о правах заданного пользователя (которым он обладает как член множества ролей), об активных в данный момент сеанса ролях и правах, об операциях, которые роль-пользователь правомочны сделать над определенным объектом, о статическом-динамическом разделении обязанностей.

[3, 176 — 183]

Заключение

В процессе выполнения данной работы в соответствии с поставленной целью и заранее определенными задачами были:

Изучены понятия и основные положения теории безопасности информационных систем, выявлены факторы, влияющие на повышение степени безопасности системы;

Рассмотрена схема совместной работы процессов идентификации и аутентификации пользователей, изучены существующие методы установления подлинности пользователя, подробно рассмотрен способ аутентификации пользователя с помощью пароля;

Определено назначение процесса авторизации пользователя, рассмотрены уровни доступа к системе, изучены и приведены в работе основные положения ГОСТа Р51 241−98 о контроле доступа пользователя к объектам системы, рассмотрено понятие «управление доступом», приведено описание правил составления матриц доступа, рассмотрена технология ролевого управления доступом.

В процессе изучения темы «Авторизация и аутентификация в информационных системах» еще раз была обоснована актуальность данной темы, рассмотрены положительные моменты применения данных процессов при организации системы обеспечения безопасности информационной системы, указаны четкие отличия и проведено разграничение терминов — этапов идентификации, аутентификации и авторизации пользователя при входе в систему.

Список литературы

ГОСТ Р51 241−98 средства и системы контроля и управления доступом классификация. Общие технические требования. Методы испытаний Мельников В. В. Защита информации в компьютерных системах. — М.: Финансы и статистика; Электронинформ, 1997

Основы информационной информации / Галатенко В. А. Под ред. Члена-корреспондента РАН В. Б. Бетелина / М.: ИНТУИТ.РУ «Интернет-Университет Информационных Технологий», 2003

Партыка Т. Л., Попов И. И. Информационная безопасность. Учебное пособие для студентов учреждений среднего профессионального образования. — М.: ФОРУМ: ИНФРА-М, 2002

http://ru.wikipedia.org Свободная энциклопедия ВИКИПЕДИЯ

http://www.bre.ru/security Институт экономической безопасности

http://www.connect.ru

* пункты 4 и 5, как правило, не используются для доступа к информационной системе

Блокировка

Уведомление о попытке несанкционированного доступа в систему

нет

да

Количество попыток исчерпано?

Уведомление пользователя об отказе

конец

Уведомление пользователя о входе в систему

да

нет

Пароль верен?

Ввод пароля и учетной информации

Начало

Вызов процедуры установления подлинности

Пользователь 1

Пользователь 1

…

Пользователь N

Роль 1

Роль K

…

Право доступа 1

Право доступа 2

Право доступа M

…

Сотрудник

Системный администратор

Бухгалтер

…

Руководитель

Главный бухгалтер