Подлинность данных. Достоверность информации: определение, проверка и контроль

Вам понадобится

• Читательский билет
• Доступ к интернету
• Умение работать с библиотечными каталогами
• Умение работать с поисковыми службами интернета

Инструкция

Выясните, с чем вы имеете дело - с фактом или оценкойПервое, с чем мы сталкиваемся при получении новой информации – это факты. Фактом называются сведения, уже проверенные на достоверность. Та информация, которую не проверили или которую невозможно проверить, фактом не является.Фактами могут быть числа, даты, имена, события. Все, что можно потрогать, измерить, перечислить, подтвердить. Факты предоставляются различными источниками – научно-исследовательскими институтами, социологическими агентствами, агентствами статистики и т.д. Главное, что отличает факт от оценки – объективность. Оценка всегда выражает чью-то субъективную позицию, эмоциональное отношение, призыв к каким-то действиям. Факт не дает никакой оценки, ни к чему не призывает.

Проверьте источники информацииВторое, с чем мы сталкиваемся – это источники информации. Далеко не все факты мы можем проверить самостоятельно, поэтому наше знание во многом основывается на доверии к источникам. Как проверить источник информации? Известно, что критерием истинности является практика, иными словами истинно только то, с помощью чего мы можем решить конкретную задачу. Информация должна быть эффективной. Эту эффективность отражает число людей, которые успешно применили данные сведения. Чем больше людей доверяют источнику, ссылаются на него, тем достовернее предоставляемая информация.

Сравните источники информацииК счастью, популярность и авторитетность источника еще не являются гарантией достоверности. Одним из признаков достоверной информации является ее непротиворечивость. Любой факт должен быть подтвержден результатами независимых исследований, т.е. он должен повториться. Независимые исследователи должны придти к одним и тем же выводам. К случайным, единичным сведениям необходимо относиться с большой осторожностью. Чем больше одинаковых сведений получено от разных источников, тем эти сведения достовернее.

Проверьте репутацию источника информацииДело в том, что источник всегда несет ответственность за предоставляемые факты. Эта ответственность не только морально-нравственная, но и вещественная. За предоставление сомнительных данных организации, их предоставляющие, могут лишиться средств к существованию. Потеря читателей, штраф или даже тюремное заключение – последствия для лжецов могут быть самыми тяжкими. Солидные организации берегут репутацию и никогда не станут рисковать, публикуя недостоверную информацию. Почитайте историю организации, узнайте имена ее руководителей, ознакомьтесь с отзывами читателей и мнениями экспертов.

Узнайте об авторе источника информацииЛюбая информация, в конечном итоге, передается людьми. Если информация вызывает у вас сомнения, проверьте, кто является автором. Почитайте другие работы автора, узнайте его биографию, имеет ли он научную степень, какую должность занимает, каким опытом обладает в данной области и, конечно, на кого ссылается. Если невозможно узнать об авторе, то и доверять сомнительной информации не рекомендуется.

механизмы близко связаны, потому что механизм или комбинация механизмов применяются, чтобы обеспечить обслуживание. Механизм может использоваться в одной или нескольких услугах. Ниже эти механизмы кратко обсуждаются, чтобы понять их общую идею. Далее они будут рассмотрены более подробно.

ITU -T (X.800) определил пять услуг, связанных с целями информационной безопасности и атаками, типы которых мы определили в предыдущих секциях. Рисунок 1.3 показывает классификацию пяти общих услуг.

Рис. 1.3.

Чтобы предотвратить атаки на информационную безопасность, о которых мы говорили, надо просто иметь одну или больше показанных выше услуг для одного или большего количества целей информационной безопасности.

Конфиденциальность данных

Конфиденциальность данных разработана, чтобы защитить данные от попытки их раскрытия. Эта широкая услуга, определенная в рекомендации ITU -T X.800. Она может охватывать конфиденциальность целого сообщения или его части, а также защищает от наблюдения за трафиком и его анализа - собственно, она разработана для предотвращения вмешательства и наблюдения за трафиком.

Целостность данных

Целостность данных разработана для защиты данных от модификации, вставки, удаления и повторной передачи информации противником. Она может защищать целое сообщение или часть сообщения.

Установление подлинности (аутентификация)

Эта услуга обеспечивает установление подлинности (аутентификацию) оператора на другом конце линии. При соединении, ориентированном на подключение, она обеспечивает установление подлинности передатчика или приемника в течение установления соединения ( установление подлинности объектов равного уровня). При соединении без установления подключения она подтверждает подлинность источника данных (установление подлинности происхождения данных).

Исключение отказа от сообщений

Услуга исключение отказа от сообщений защищает от отказа от сообщения передатчиком или приемником данных. При исключении отказа от сообщения передатчиком приемник данных может потом доказать происхождение сообщения, используя опознавательный код (идентификатор) передатчика. При исключении отказа от сообщений приемником передатчик, используя подтверждение доставки, может потом доказать, что данные доставлены предназначенному получателю.

Управление доступом

Управление доступом обеспечивает защиту против неправомочного доступа к данным. Доступ в этом определении - термин очень широкий и может включать чтение, запись, изменение данных, запуск выполнения программы и так далее.

Механизмы безопасности

Для обеспечения услуг информационной безопасности ITU -T (X.800) рекомендует некоторые механизмы безопасности , определенные в предыдущей секции. Рисунок 1.4 дает классификацию этих механизмов.

Рис. 1.4.

Шифрование

Шифрование . Засекречивая или рассекречивая данные, можно обеспечить конфиденциальность. Шифрование также дополняет другие механизмы, которые обеспечивают другие услуги. Сегодня для шифрования используются два метода: криптография и стеганография - тайнопись ( steganography ). Мы коротко обсудим их в дальнейшем.

Целостность данных

Механизм целостности данных добавляет в конце данных короткий контрольный признак (check value), который создается определенным процессом отдельно от данных. Приемник получает данные и контрольный признак. На основании полученных данных он создает новый контрольный признак и сравнивает только что созданный с полученным. Если эти два контрольных признака совпадают, целостность данных была сохранена.

Цифровая подпись

Цифровая подпись - средство, которым отправитель может с помощью электроники подписать данные, а приемник может с помощью компьютера проверить подпись. Отправитель использует процесс, который может указать, что эта подпись имеет частный ключ, выбранный из общедоступных ключей, которые были объявлены публично для общего пользования. Приемник использует общедоступный ключ отправителя, чтобы доказать, что сообщение действительно подписано отправителем, который утверждает, что послал сообщение.

Обмен сообщениями для опознавания

При обмене сообщениями для опознавания два объекта обмениваются некоторыми сообщениями, чтобы доказать, что эти объекты известны друг другу. Например, одно юридическое лицо может доказать, что оно знает тайный признак, который только оно может знать (скажем, последнее место встречи с партнером).

Заполнение трафика

Заполнение трафика означает возможность вставлять в трафик данных некоторые фиктивные данные, чтобы сорвать попытки злоумышленников использовать его для анализа.

Управление маршрутизацией

Управление маршрутизацией означает выбор и непрерывное изменение различных доступных маршрутов между отправителем и приемником для того, чтобы препятствовать противнику в перехвате информации на определенном маршруте.

Доверенность

Доверенность означает выбор третьей стороны, с целью доверить ей контроль обменом между двумя объектами. Это может быть сделано, например, для того, чтобы предотвратить отказ от сообщения. Приемник может вовлечь третью сторону, которой можно доверить хранение запросов отправителя, и тем самым предотвратить последующее отрицание отправителем факта передачи сообщения.

Контроль доступа

Контроль доступа использует методы доказательства, что пользователь имеет право доступа к данным или ресурсам, принадлежащим системе. Примеры такого доказательства - пароли и

Идентификация и аутентификация представляют собой основу современных программно-технических средств безопасности, так как любые другие сервисы в основном рассчитаны на обслуживание указанных субъектов. Эти понятия представляют собой своеобразную первую линию обороны, обеспечивающую пространства организации.

Что это такое?

Идентификация и аутентификация имеют разные функции. Первая предоставляет субъекту (пользователю или процессу, который действует от его имени) возможность сообщить собственное имя. При помощи аутентификации уже вторая сторона окончательно убеждается в том, что субъект действительно представляет собой того, за кого он себя выдает. Нередко в идентификация и аутентификация заменяются словосочетаниями «сообщение имени» и «проверка подлинности».

Сами они подразделяются на несколько разновидностей. Далее мы рассмотрим, что собой представляют идентификация и аутентификация и какими они бывают.

Аутентификация

Данное понятие предусматривает два вида: одностороннюю, когда клиент предварительно должен доказать серверу свою подлинность, и двустороннюю, то есть когда ведется взаимное подтверждение. Стандартный пример того, как проводится стандартная идентификация и аутентификация пользователей, - это процедура входа в определенную систему. Таким образом, разные типы могут использоваться в различных объектах.

В сетевой среде, когда идентификация и аутентификация пользователей осуществляются на территориально разнесенных сторонах, рассматриваемый сервис отличается двумя основными аспектами:

• что выступает в качестве аутентификатора;
• как именно был организован обмен данными аутентификации и идентификации и как обеспечивается его защита.

Чтобы подтвердить свою подлинность, субъектом должна быть предъявлена одна из следующих сущностей:

• определенная информация, которая ему известна (личный номер, пароль, специальный криптографический ключ и т. д.);
• определенная вещь, которой он владеет (личная карточка или какое-то другое устройство, имеющее аналогичное назначение);
• определенная вещь, являющаяся элементом его самого (отпечатки пальцев, голос и прочие биометрические средства идентификации и аутентификации пользователей).

Особенности систем

В открытой сетевой среде стороны не имеют доверенного маршрута, а это говорит о том, что в общем случае информация, передаваемая субъектом, может в конечном итоге не совпадать с информацией, полученной и используемой при проверке подлинности. Требуется обеспечение безопасности активного и пассивного прослушивания сети, то есть защита от корректировки, перехвата или воспроизведения различных данных. Вариант передачи паролей в открытом виде является неудовлетворительным, и точно так же не может спасти положение и шифрование паролей, так как им не обеспечивается защита от воспроизведения. Именно поэтому сегодня используются более сложные протоколы аутентификации.

Надежная идентификация имеет трудности не только по причине различных но еще и по целому ряду других причин. В первую очередь практически любые аутентификационные сущности могут похищаться, подделываться или выведываться. Также присутствует определенное противоречие между надежностью используемой системы, с одной стороны, и удобствами системного администратора или пользователя - с другой. Таким образом, из соображения безопасности требуется с некоторой частотой запрашивать у пользователя повторное введение его аутентификационной информации (так как вместо него может уже сидеть какой-нибудь другой человек), а это не только создает дополнительные хлопоты, но еще и значительно увеличивает шанс на то, что кто-то может подсматривать ввод информации. Помимо всего прочего, надежность средства защиты существенно сказывается на его стоимости.

Современные системы идентификации и аутентификации поддерживают концепцию единого входа в сеть, что в первую очередь позволяет удовлетворять требования в плане удобства для пользователей. Если стандартная корпоративная сеть имеет множество информационных сервисов, предусматривающих возможность независимого обращения, то в таком случае многократное введение личных данных становится чересчур обременительным. На данный момент пока еще нельзя сказать, что использование единого входа в сеть считается нормальным, так как доминирующие решения еще не сформировались.

Таким образом, многие стараются найти компромисс между доступностью по цене, удобством и надежностью средств, которыми обеспечивается идентификация/аутентификация. Авторизация пользователей в данном случае осуществляется по индивидуальным правилам.

Отдельное внимание стоит уделить тому, что используемый сервис может быть выбран в качестве объекта атаки на доступность. Если выполнена таким образом, чтобы после некоторого числа неудачных попыток возможность ввода была заблокирована, то в таком случае злоумышленниками может останавливаться работа легальных пользователей путем буквально нескольких нажатий клавиш.

Парольная аутентификация

Главным достоинством такой системы является то, что она является предельно простой и привычной для большинства. Пароли уже давным-давно используются операционными системами и другими сервисами, и при грамотном использовании ими обеспечивается уровень безопасности, который является вполне приемлемым для большинства организаций. Но с другой стороны, по общей совокупности характеристик подобные системы представляют собой самое слабое средство, которым может осуществляться идентификация/аутентификация. Авторизация в таком случае становится достаточно простой, так как пароли должны быть запоминающимися, но при этом простые комбинации нетрудно угадать, особенно если человек знает пристрастия конкретного пользователя.

Иногда бывает так, что пароли, в принципе, не держатся в секрете, так как имеют вполне стандартные значения, указанные в определенной документации, и далеко не всегда после того, как устанавливается система, их меняют.

При вводе пароль можно посмотреть, причем в некоторых случаях люди используют даже специализированные оптические приборы.

Пользователи, основные субъекты идентификации и аутентификации, нередко могут сообщать пароли коллегам для того, чтобы те на определенное время подменили владельца. В теории в таких ситуациях будет правильнее всего применять специальные средства управления доступом, но на практике это никем не используется. А если пароль знают два человека, это крайне сильно увеличивает шансы на то, что в итоге о нем узнают и другие.

Как это исправить?

Есть несколько средств, как может быть защищена идентификация и аутентификация. Компонент обработки информации может обезопаситься следующим:

• Наложением различных технических ограничений. Чаще всего устанавливаются правила на длину пароля, а также содержание в нем определенных символов.
• Управлением срока действия паролей, то есть необходимостью их периодической замены.
• Ограничением доступа к основному файлу паролей.
• Ограничением общего количества неудачных попыток, доступных при входе в систему. Благодаря этому злоумышленниками должны выполняться только действия до выполнения идентификации и аутентификации, так как метод перебора нельзя будет использовать.
• Предварительным обучением пользователей.
• Использованием специализированных программных генераторов паролей, которые позволяют создавать такие комбинации, которые являются благозвучными и достаточно запоминающимися.

Все указанные меры могут использоваться в любом случае, даже если вместе с паролями будут применяться также и другие средства аутентификации.

Одноразовые пароли

Рассмотренные выше варианты являются многоразовыми, и в случае раскрытия комбинации злоумышленник получает возможность выполнять определенные операции от имени пользователя. Именно поэтому в качестве более сильного средства, устойчивого к возможности пассивного прослушивания сети, используются одноразовые пароли, благодаря которым система идентификации и аутентификации становится гораздо более безопасной, хоть и не такой удобной.

На данный момент одним из наиболее популярных программных генераторов одноразовых паролей является система под названием S/KEY, выпущенная компанией Bellcore. Основная концепция этой системы заключается в том, что имеется определенная функция F, которая известна как пользователю, так и серверу аутентификации. Далее представлен секретный ключ К, который известен только определенному пользователю.

При начальном администрировании пользователя данная функция используется к ключу определенное количество раз, после чего происходит сохранение полученного результата на сервере. В дальнейшем процедура проверки подлинности выглядит так:

1. На пользовательскую систему от сервера приходит число, которое на 1 меньше количества раз использования функции к ключу.
2. Пользователем используется функция к имеющемуся секретному ключу то количество раз, которое было установлено в первом пункте, после чего результат отправляется через сеть непосредственно на сервер аутентификации.
3. Сервером используется данная функция к полученному значению, после чего результат сравнивается с сохраненной ранее величиной. Если результаты совпадают, то в таком случае подлинность пользователя является установленной, а сервер сохраняет новое значение, после чего снижает счетчик на единицу.

На практике реализация данной технологии имеет несколько более сложную структуру, но на данный момент это не столь важно. Так как функция является необратимой, даже в случае перехвата пароля или получения несанкционированного доступа к серверу аутентификации не предоставляет возможности получить секретный ключ и каким-либо образом предсказать, как конкретно будет выглядеть следующий одноразовый пароль.

В России в качестве объединенного сервиса используется специальный государственный портал - "Единая система идентификации/аутентификации" ("ЕСИА").

Еще один подход к надежной системе аутентификации заключается в том, чтобы новый пароль генерировался через небольшие промежутки времени, что тоже реализуется через использование специализированных программ или различных интеллектуальных карт. В данном случае сервер аутентификации должен воспринимать соответствующий алгоритм генерации паролей, а также определенные ассоциированные с ним параметры, а помимо этого, должна присутствовать также синхронизация часов сервера и клиента.

Kerberos

Впервые сервер аутентификации Kerberos появился в середине 90-х годов прошлого века, но с тех пор он уже успел получить огромнейшее количество принципиальных изменений. На данный момент отдельные компоненты данной системы присутствуют практически в каждой современной операционной системе.

Главным предназначением данного сервиса является решение следующей задачи: присутствует определенная незащищенная сеть, и в ее узлах сосредоточены различные субъекты в виде пользователей, а также серверных и клиентских программных систем. У каждого такого субъекта присутствует индивидуальный секретный ключ, и для того чтобы у субъекта С появилась возможность доказать собственную подлинность субъекту S, без которой тот попросту не станет его обслуживать, ему необходимо будет не только назвать себя, но еще и показать, что он знает определенный секретный ключ. При этом у С нет возможности просто отправить в сторону S свой секретный ключ, так как в первую очередь сеть является открытой, а помимо этого, S не знает, да и, в принципе, не должен знать его. В такой ситуации используется менее прямолинейная технология демонстрации знания этой информации.

Электронная идентификация/аутентификация через систему Kerberos предусматривает ее использование в качестве доверенной третьей стороны, которая имеет информацию о секретных ключах обслуживаемых объектов и при необходимости оказывает им помощь в проведении попарной проверки подлинности.

Таким образом, клиентом сначала отправляется в систему запрос, который содержит необходимую информацию о нем, а также о запрашиваемой услуге. После этого Kerberos предоставляет ему своеобразный билет, который шифруется секретным ключом сервера, а также копию некоторой части данных из него, которая засекречивается ключом клиента. В случае совпадения устанавливается, что клиентом была расшифрована предназначенная ему информация, то есть он смог продемонстрировать, что секретный ключ ему действительно известен. Это говорит о том, что клиент является именно тем лицом, за которое себя выдает.

Отдельное внимание здесь следует уделить тому, что передача секретных ключей не осуществлялась по сети, и они использовались исключительно для шифрования.

Проверка подлинности с использованием биометрических данных

Биометрия включает в себя комбинацию автоматизированных средств идентификации/аутентификации людей, основанную на их поведенческих или физиологических характеристиках. Физические средства аутентификации и идентификации предусматривают проверку сетчатки и роговицы глаз, отпечатков пальцев, геометрии лица и рук, а также другой индивидуальной информации. Поведенческие же характеристики включают в себя стиль работы с клавиатурой и динамику подписи. Комбинированные методы представляют собой анализ различных особенностей голоса человека, а также распознавание его речи.

Такие системы идентификации/аутентификации и шифрования используются повсеместно во многих странах по всему миру, но на протяжении длительного времени они отличались крайне высокой стоимостью и сложностью в применении. В последнее же время спрос на биометрические продукты значительно увеличился по причине развития электронной коммерции, так как, с точки зрения пользователя, намного удобнее предъявлять себя самого, чем запоминать какую-то информацию. Соответственно, спрос рождает предложение, поэтому на рынке начали появляться относительно недорогие продукты, которые в основном ориентированы на распознавание отпечатков пальцев.

В преимущественном большинстве случаев биометрия используется в комбинации с другими аутентификаторами наподобие Нередко биометрическая аутентификация представляет собой только первый рубеж защиты и выступает в качестве средства активизации интеллектуальных карт, включающих в себя различные криптографические секреты. При использовании данной технологии биометрический шаблон сохраняется на этой же карте.

Активность в сфере биометрии является достаточно высокой. Уже существует соответствующий консорциум, а также довольно активно ведутся работы, направленные на стандартизацию различных аспектов технологии. Сегодня можно увидеть множество рекламных статей, в которых биометрические технологии преподносятся в качестве идеального средства обеспечения повышенной безопасности и при этом доступного широким массам.

ЕСИА

Система идентификации и аутентификации ("ЕСИА") представляет собой специальный сервис, созданный для того, чтобы обеспечить реализацию различных задач, связанных с проверкой подлинности заявителей и участников межведомственного взаимодействия в случае предоставления каких-либо муниципальных или государственных услуг в электронной форме.

Для того чтобы получить доступ к "Единому порталу государственных структур", а также каким-либо другим информационным системам инфраструктуры действующего электронного правительства, для начала нужно будет пройти регистрацию учетной записи и, как следствие, получить ПЭП.

Уровни

Портал предусматривает три основных уровня учетных записей для физических лиц:

• Упрощенная. Для ее регистрации достаточно просто указать свою фамилию и имя, а также какой-то определенный канал коммуникации в виде адреса электронной почты или мобильного телефона. Это первичный уровень, с помощью которого у человека открывается доступ только к ограниченному перечню различных государственных услуг, а также возможностей существующих информационных систем.
• Стандартная. Для ее получения изначально нужно оформить упрощенную учетную запись, а потом уже предоставить также дополнительные данные, включая информацию из паспорта и номер страхового индивидуального лицевого счета. Указанная информация автоматически проверяется через информационные системы Пенсионного фонда, а также Федеральную миграционную службу, и, если проверка проходит успешно, учетная запись переводится на стандартный уровень, что открывает пользователю расширенный перечень государственных услуг.
• Подтвержденная. Для получения такого уровня учетной записи единая система идентификации и аутентификации требует от пользователей стандартный аккаунт, а также подтверждение личности, которое выполняется через личное посещение отделения уполномоченной службы или посредством получения кода активации через заказное письмо. В том случае, если подтверждение личности окажется успешным, учетная запись перейдет на новый уровень, а перед пользователем откроется доступ к полному перечню необходимых государственных услуг.

Несмотря на то что процедуры могут показаться достаточно сложными, на самом деле ознакомиться с полным перечнем необходимых данных можно непосредственно на официальном сайте, поэтому полноценное оформление вполне возможно на протяжении нескольких дней.

Стоимость коммерческих решений двухфакторной проверки подлинности нередко высока, а размещать устройства идентификации и управлять ими сложно. Однако можно создать собственное решение для двухфакторной проверки подлинности с использованием IP-адреса пользователя, файла-«маяка» или цифрового сертификата.

Различные коммерческие решения обеспечивают защиту Web-узлов, выходящую за рамки традиционных методов проверки подлинности с использованием одного фактора (т. е. комбинации имени пользователя и пароля). В качестве второго фактора можно взять географическое положение, поведение пользователя, запросы с изображениями, а также более знакомые смарт-карты, устройства и отпечатки пальцев. Дополнительные сведения о двухфакторных коммерческих решениях можно найти в статьях, перечисленных во врезке «Дополнительная литература».

Но коммерческие решения - не единственный вариант. Двухфакторную процедуру проверки подлинности можно подготовить самостоятельно. В данной статье предлагаются некоторые рекомендации по проектированию двухфакторной проверки подлинности для Web-приложений, а также приводятся примеры исходного текста, на основе которых можно начать собственный проект.

Обзор двухфакторной проверки

Вернемся к краткому обзору двухфакторной проверки подлинности, т. е. использования двух различных форм идентификации потенциальных пользователей. Проверить подлинность можно с применением трех форм:

Чего-то известного;

Какой-то характеристики пользователя;

Чего-то, что имеется у пользователя.

В большинстве приложений применяется только одна из этих форм, обычно первая. Имя пользователя и пароль представляют собой известные данные.

Этот уровень безопасности вполне приемлем для большинства Web-узлов и приложений. Однако, учитывая значительное увеличение числа краж личных данных и других видов мошенничества в сети, на некоторых Web-узлах вводится двухфакторная проверка подлинности. В соответствии с новым законодательством начиная с 2007 г. все электронные банковские сайты должны применять двухфакторную проверку. В скором времени эти требования могут быть распространены на сайты по подбору персонала, медицинские, правительственные и другие сайты, на которых можно получить доступ к личным данным.

Как отмечалось выше, существует много коммерческих продуктов для двухфакторной проверки. Их цены самые различные, хотя начальный уровень довольно высок. Не у каждой компании есть средства для крупного решения. А некоторые компании используют узкоспециализированные программы, плохо совместимые с коммерческими продуктами. В любом случае полезно подумать о собственном двухфакторном решении. Приведенные в этой статье рекомендации помогут выйти на верный путь проектирования.

Применение IP-адреса

В статье «Защитите сайт от атак», опубликованной в ., дается краткое описание применения IP-адреса для дополнительной идентификации пользователя. Этот метод относится к категории «какой-то характеристики пользователя». Во многих коммерческих решениях используются биологические характеристики (например, отпечатки пальцев или узор радужной оболочки глаза). Благодаря снижению стоимости аппаратных средств и совершенствованию программ этот вариант стал более практичным, но цены все еще довольно высоки.

Кроме того, некоторые пользователи возражают против хранения их биометрических данных в компании. Одно дело, если кто-то посторонний узнает номер карты социального обеспечения, и совсем другое - кража отпечатков пальцев!

Использовать решение, основанное на программном коде, проще и дешевле. Естественно, его достоверность уступает физическим решениям, но для многих случаев применения оно обеспечивает достаточную точность. У каждого пользователя есть IP-адрес, который может использоваться как второй фактор проверки.

Суть метода сводится к тому, что при попытке регистрации IP-адрес пользователя извлекается из журналов Web-сервера или иного источника. Затем адрес подвергается одной или нескольким проверкам. В случае успеха и если имя регистрации и пароль верны, пользователю предоставляется доступ. Если пользователь не проходит этот уровень проверки, запрос отвергается или направляется на более глубокий уровень анализа. В частности, пользователю могут быть заданы дополнительные личные вопросы (например, назвать девичью фамилию матери) или предложено обратиться по телефону к уполномоченному представителю для внесетевой проверки.

Существует несколько способов проверки IP-адреса, каждый из которых обеспечивает определенный уровень достоверности при идентификации пользователя. Самый простой тест - сравнить IP-адрес пользователя со списком известных нежелательных адресов вне области обслуживания. Например, если пользователи находятся в основном в одной стране, то можно проводить сравнение со списком нежелательных адресов вне этой страны. Учитывая, что значительная часть попыток кражи личных данных исходит из-за пределов конкретной страны, блокирование опасных адресов за пределами страны наверняка позволит предотвратить большое число попыток мошенничества.

Получить списки опасных адресов не составит труда. Список Bob’s Block List по адресу http://www.unixhub.com/block.html начинается с блоков адресов в Азии, Латинской Америке и странах Карибского бассейна. Сопоставление с ним может быть полезным, если у компании нет пользователей в этих регионах. Следует отметить, что в списки, полученные с бесплатных узлов, требуется внести некоторые изменения, чтобы не блокировать полезные сайты. Коммерческие списки отличаются более высокой точностью, например MaxMind по адресу http://www.maxmind.com . В листинге 1 показан образец псевдокода для реализации этого подхода.

Однако, если нежелательно блокировать пользователей по регионам или необходима более высокая избирательность, можно записывать IP-адрес пользователя при регистрации во время первого посещения, при условии что процесс регистрации располагает средствами проверки пользователя. В частности, можно предложить пользователю ответить на один или два вопроса (например, попросить назвать номер школы, в которой он учился) или попросить ввести регистрационный код, предварительно переданный ему по электронной почте. После того как получен IP-адрес и проведена проверка, можно использовать этот адрес для оценки последующих попыток регистрации.

Если все пользователи будут обращаться за доступом только с корпоративных сайтов с известными и фиксированными IP-адресами, то очень эффективный метод - сопоставление со списком заранее одобренных адресов. При этом пользователи с неизвестных сайтов лишаются права доступа. Однако если пользователи обращаются с сайтов, адреса которых неизвестны заранее, например из дома, где обычно нет статического IP-адреса, то точность определения резко снижается.

Менее надежное решение - сравнивать «нечеткие» IP-адреса. Internet-провайдеры домашних пользователей назначают IP-адреса из принадлежащего им диапазона, обычно подсети класса C или B. Поэтому для проверки подлинности можно использовать лишь первые два или три октета IP-адреса. Например, если для пользователя зарегистрирован адрес 192.168.1.1, то впоследствии для него, возможно, придется принимать адреса с 192.168.1.1 до 192.168.254.254. Такой подход связан с некоторым риском атаки со стороны злоумышленника, пользующегося услугами того же провайдера, но тем не менее он дает хорошие результаты.

Кроме того, пользователей можно проверять, используя IP-адреса для определения их местонахождения. Необходимо купить коммерческую базу данных, содержащую все известные области IP-адресов и их приблизительное местоположение, например у такой компании, как MaxMind или Geobytes (http://www.geobytes.com). Если зарегистрированное местоположение пользователя - Хьюстон и впоследствии он попробует обратиться к сайту из Румынии или даже из Нью-Йорка, то в доступе можно отказать или, по крайней мере, выполнить более глубокую проверку. Этот метод решает проблемы смены провайдером блока адресов. Однако у злоумышленника остается шанс доступа из того места, где есть зарегистрированные пользователи.

Можно выполнить проверку подлинности с двойным вторым фактором, начиная с исключения всех IP-адресов, совпадающих со списком блокировки, или сопоставления с «белым» списком. Если применяется «белый» список и в нем нет проверяемого IP-адреса, то пользователю может быть задан дополнительный вопрос. Если IP-адрес наконец одобрен, то пользователю можно предложить добавить текущий IP-адрес в «белый» список (пользователям следует объяснить, что в список можно вносить только адреса регулярно используемых компьютеров). В листинге 2 показан псевдокод для сопоставления со списком блокировки и «белым» списком.

Проверка подлинности с применением IP-адресов не годится для тех случаев, когда многочисленные мобильные пользователи обращаются к сайту из гостиничных номеров и других мест в стране и за ее пределами, постоянно меняя IP-адреса, Internet-провайдеров и местонахождение. Для таких пользователей нельзя применить список запрещенных IP-адресов. Этих пользователей не окажется и в списке дозволенных IP-адресов. Однако они все же могут ответить на контрольный вопрос в ходе проверки подлинности.

Чтобы предоставить более надежную защиту для «странствующих пользователей», можно углубить проверку, приняв во внимание версию браузера (которая, как правило, меняется нечасто), операционной системы и даже MAC-адрес сетевой платы. Однако при использовании таких методов обычно требуется запустить специальную программу на клиенте для доступа к необходимым параметрам. Правда, MAC-адреса и версии браузера и операционной системы можно подделать, и этот метод защиты не является безупречно надежным.

Использование файлов-«маяков» и сертификатов

Альтернативный вариант - задействовать одну из двух других форм проверки: «чего-то, что имеется у пользователя». Аппаратные системы проверки запрашивают специальное устройство. В самостоятельно проектируемых программных системах можно использовать файлы-«маяки» или сертификат, хранящийся в компьютерах пользователей. Этот подход подобен сертификатам безопасности на Web-узлах электронной коммерции, которые удостоверяют, что информация о заказе передается на нужный сайт.

Проще всего применить файлы-«маяки». Многие компании используют их для отслеживания сеансовых ключей и другой информации для пользователей. Нужно лишь создать постоянный файл-«маяк» и сохранить его в компьютере пользователя для опознавания в будущем. Можно не ограничиваться простыми файлом-«маяком» и зашифровать часть файла, чтобы мошеннику было труднее подделать его.

Более высокий уровень безопасности обеспечивают цифровые сертификаты. Они требуют определенной подготовки со стороны пользователя: сертификат необходимо создать внутри компании или получить из центра сертификации (Certificate Authority, CA). Последний метод более надежный, так как подделать внешний сертификат труднее. Однако текущие расходы на поддержание сертификата сопоставимы с затратами на двухфакторное решение на основе устройств идентификации.

Конечно, файлы-«маяки» и сертификаты применимы только на домашних компьютерах сотрудников и других компьютерах, зарегистрированных в системе проверки подлинности. Нужен альтернативный метод для опознания пользователей, работающих с компьютерами, которые им не принадлежат. Один из таких методов - контрольные вопросы, упомянутые выше и приведенные в листинге 2. Однако подумайте, оправданно ли предоставление доступа к важным приложениям из общедоступных компьютеров, учитывая угрозу со стороны программ, регистрирующих нажатия на клавиши, шпионских и других вредоносных программ.

В статье рассмотрены два способа организовать простую двухфакторную проверку подлинности для Web-приложений: один с использованием «какой-то характеристики пользователя» (IP-адрес), другой с использованием «чего-то, что имеется у пользователя» (файлы-«маяки» или сертификаты). Следует помнить, что эти решения не обеспечивают очень высокого уровня безопасности, необходимого, например, в финансовой сфере, для которой больше подходят аппаратные средства. Но приведенные в статье решения превосходно сочетаются с другими методами для более надежной защиты корпоративных сетей и сайтов электронной коммерции.

Поль Хенсарлинг ([email protected]) - аналитик по безопасности в консалтинговой компании. Имеет сертификат CSSA;

Тони Хаулетт ([email protected]) - президент сетевой консалтинговой фирмы Network Security Services. Имеет сертификаты CISSP и CSNA

Аккредитив — условное денежное обязательство, принимаемое банком по поручению плательщика, которое позволяет выполнять платежи в пользу получателя средств. Банк может выполнять платежи продавцу или давать полномочия другому банку произвести такие платежи при выполнении условий аккредитива.

Аутентификация

Аутентификация — это процесс определения личности клиента по предоставленной им информации. Аутентификация осуществляется следующими способами:

Аутентичность данных

Свойство данных быть подлинными и свойство систем быть способными обеспечивать подлинность данных.

Подлинность данных означает, что они были созданы законными участниками информационного процесса и не подвергались случайным или преднамеренным искажениям.

Способность системы обеспечивать подлинность данных означает, что система способна обнаружить все случаи искажения данных с вероятностью ошибки, не превышающей заданной величины.

Закрытый ключ

Закрытый ключ (private key) — закрытая (секретная) часть пары криптографических ключей. Служит для создания электронных подписей, которые потом можно проверять с помощью , и для расшифровки сообщений, которые были зашифрованы .

Закрытый ключ хранит только его владелец, ни в коем случае не раскрывая его никому. Потеря закрытого ключа означает возможность раскрытия третьими лицами любой информации, зашифрованной для его владельца, а также возможность подделки ЭП его владельца третьими лицами. В любой криптографической системе закрытый ключ всегда является самым важным секретом, именно поэтому он должен сохраняться в тайне.

Открытый ключ

Открытый ключ (public key) — открытая (несекретная) часть пары криптографических ключей. Служит для проверки электронных подписей, созданных с помощью парного ему , и для шифрования сообщений, которые будут потом расшифрованы .

Открытый ключ направляется на регистрацию в центр сертификации — организацию, занимающуюся регистрацией открытых ключей и их владельцев, а также выдачей электронных , подтверждающих принадлежность открытых ключей конкретным лицам. В центре сертификации сертификаты всех открытых ключей абонентов помещаются в базу данных, откуда могут предоставляться по запросу любому обратившемуся в центр лицу.

Паспорт сделки по контракту

Паспорт сделки по контракту — документ, который оформляется при осуществлении валютной операции по контракту.

Паспорт сделки по кредитному договору

Паспорт сделки по кредитному договору — документ, который оформляется при осуществлении валютной операции по кредитному договору или договору займа.

Протокол SSL

SSL (Secure Sockets Layer) был разработан компанией Netscape. Он позволяет идентифицировать обменивающиеся данными стороны на основе электронных сертификатов, осуществлять передаваемых данных и гарантировать отсутствие искажения данных в процессе передачи.

Обратите внимание! Возможность использования протокола SSL определяется наличием флажка в поле SSL 2.0 или SSL 3.0 , установленной при настройке Интернет-обозревателя.

Резидент

Резидент - юридическое или физическое лицо, постоянно зарегистрированное или постоянно проживающее в данной стране.

Сертификат

Сертификат представляет собой документ (возможно в электронной форме), содержащий, который принадлежит держателю сертификата, вместе с дополнительной информацией о его владельце (например, ФИО и название организации, адрес электронной почты и т.п.), подписанный удостоверяющим центром (Certificate Authority).

Основная задача сертификата — связать открытый ключ с личностью его владельца (владельца парного ему закрытого ключа).

Сертификаты имеют срок действия, по окончании которого они становятся недействительными. Срок действия отражен в содержании сертификата.

Сертификаты хранятся в реестре Windows или на других носителях ключевой информации. Доступ к сертификатам, зарегистрированным в реестре Windows, можно получить из Internet Explorer, в котором есть мастер импорта/экспорта сертификатов и закрытых ключей.

Шифрование

Шифрование информации — это способ предотвращения неавторизованного просмотра или использования информации. Для осуществления шифрования применяются специальные математические алгоритмы (криптоалгоритмы). Шифрование гарантирует защиту секретной информации от несанкционированного доступа со стороны третьих лиц. Для восстановления зашифрованной информации осуществляется обратное преобразование — расшифровка. Для расшифровки информации необходимо наличие соответствующего секретного (закрытого) ключа.

В современных системах используется пара ключей шифрования: открытый ключ (public key), который может быть известен любому, и парный ему закрытый ключ (private key), известный только владельцу этого ключа. Пара соответствующих ключей может применяться для шифрования, а также для создания и проверки электронной подписи (ЭП), и при этом обладает следующими свойствами:

• Зашифрованное с помощью открытого ключа сообщение может быть расшифровано только с помощью парного ему закрытого ключа.
• ЭП, созданная с помощью закрытого ключа, может быть проверена на соответствие с помощью парного ему открытого ключа.

Электронная подпись

Для подписания электронных документов используется электронная подпись. Электронная подпись (ЭП) — это реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе.

Электронная подпись формируется с помощью , который может храниться на дискете, в системном реестре, на смарт-картах и т.д.

ЭП может быть проверена с помощью , парного тому закрытому ключу, с помощью которого формировалась эта ЭП. Таким образом, зная открытый ключ пользователя, можно с точностью установить, кто подписывал данный документ.

Для отправки документа в банк необходимо наличие хотя бы одной электронной подписи. Количество применяемых ЭП под каждым документом определяется в банке индивидуально для каждого клиента и устанавливается в Договоре на обслуживание в системе «Интернет-клиент для юридических лиц».