Способы аутентификации пользователей могут применяться в компьютерных системах

Обновлено: 04.07.2024

Рассмотрим способы аутентификации пользователей в компьютерной системе, которые можно подразделить на три группы. К первой группе относятся способы аутентификации, основанные на том, что пользователь знает некоторую подтверждающую его подлинность информацию (парольная аутентификация и аутентификация на основе модели «рукопожатия»).

Ко второй группе относятся способы аутентификации, основанные на том, что пользователь имеет некоторый материальный объект, который может подтвердить его подлинность (например, пластиковую карту с идентифицирующей пользователя информацией).

К третьей группе относятся способы аутентификации, основанные на таких данных, которые позволяют однозначно считать, что пользователь и есть тот самый субъект, за которого себя выдает (биометрические данные, особенности клавиатурного почерка и росписи мышью и т.п.).

В соответствии с «Оранжевой книгой» в защищенных компьютерной системе, начиная с класса С1, должен использоваться хотя бы один из способов аутентификации (например, пароль), а данные аутентификации должны быть защищены от доступа неавторизованного пользователя.

В руководящих документах Гостехкомиссии России в АС, отнесенных к классу защищенности 1Д , должна осуществляться идентификация и проверка подлинности субъектов при входе в систему по паролю условно-постоянного действия Длиной не менее шести буквенно-цифровых символов. Для классов защищенности 1Г и 1В дополнительно требуется использовать идентификатор (код, логическое имя) пользователя. Для отнесения АС к классу защищенности 1Б дополнительно необходимо использовать пароль временного действия длиной не менее восьми буквенно-цифровых символов.

Отмеченные недостатки парольной аутентификации пользователей КС могут быть устранены применением, так называемой двухфакторной аутентификации, при которой пользователь для входа в систему должен не только ввести пароль, но и предъявить элемент аппаратного обеспечения, содержащий подтверждающую его подлинность ключевую информацию. Такими элементами аппаратного обеспечения могут быть:

· магнитные диски, не требующие установки на компьютере пользователя КС никаких дополнительных аппаратных средств, но наиболее уязвимые с точки зрения копирования хранящейся на них ключевой информации;
· элементы Touch Memory (аналогичные изделия других производителей именуются iButton), включающие в себя энергонезависимую память в виде постоянного запоминающего устройства (ПЗУ) с уникальным для каждого изделия серийным номером и (в более дорогих вариантах) оперативного запоминающего устройства (ОЗУ) для хранения идентифицирующей пользователя информации, а также встроенный элемент питания со сроком службы до 10 лет (элемент Touch Memory напоминает миниатюрную батарейку диаметром 16 мм и толщиной 3. 6 мм, он имеет один сигнальный контакт и один контакт заземления, а для контакта элемента с устройством чтения достаточно простого касания);
· пластиковые карты с магнитной полосой, на которой помимо ключевой информации могут размещаться и дополнительные реквизиты пользователя (его фамилия, имя, отчество, фотография, название организации и ее подразделения и т.п.); подобные карты наиболее дешевы, но и наименее защищены от копирования и подделки;
· карты со штрих кодом, покрытым непрозрачным составом, считывание информации с которых происходит в инфракрасных лучах; эти карты также относительно дешевы, но уязвимы для подделки;
· смарт-карты, носителем ключевой информации в которых является специальная бескорпусная микросхема, включающая в себя только память для хранения ключевой информации (простые смарт-карты) или микропроцессор (интеллектуальные карты), позволяющий реализовывать достаточно сложные процедуры аутентификации;
· маркеры eToken (USB-брелки), представляющие собой подключаемое к USB-порту компьютера устройство, которое включает в себя аналогичную смарт-карте микросхему с процессором и защищенной от несанкционированного доступа памятью (в отличие от пластиковых карт не требуется установка устройства их чтения с кабелем для подключения этого устройства к компьютеру).

С помощью только программных средств принципиально нельзя обеспечить надежную защиту информации от несанкционированного доступа к ней в КС.

Рассмотрим вариант комплекса программно-аппаратных средств для защиты от локального несанкционированного доступа к информации в КС.

Определим модель (возможности) нарушителя:

· установка системы защиты производится в его отсутствие;
· нарушитель не может вскрыть системный блок компьютера;
· нарушитель не может перезаписать информацию в ПЗУ BIOS при работающем компьютере;
· нарушитель не имеет пароля установки системы защиты;
· нарушитель не имеет пароля пользователя КС;
· нарушитель не имеет копии ключевой информации пользователя, хранящейся в элементе аппаратного обеспечения (например, в элементе Touch Memory).

Выполнение первых двух условий может быть обеспечено только с помощью методов организационной защиты

Программные средства системы защиты информации должны быть записаны на плате расширения BIOS, для каждой из которых определен уникальный пароль установки. Установка системы защиты информации производится на компьютере, свободном от вредоносных программ типа закладок и вирусов.

После установки платы расширения BIOS выполняется процедура установки системы защиты информации:

после включения питания компьютера программа, записанная на плате расширения BIOS, выдает запрос на ввод пароля;

после ввода пароля установки PS (как правило, администратором системы) происходят загрузка операционной системы и запуск собственно программы установки (проверочные функции системы защиты при этом отключаются);

по запросу программы установки водится пароль пользователя, ключевая информация с элементами аппаратного обеспечения.

Рассмотрим процедуру входа пользователя в КС при использовании данной системы защиты:

· после включения питания компьютера программа на плате расширения BIOS запрашивает пароль пользователя и просит установить элемент аппаратного обеспечения с его ключевой информацией;
· осуществляется проверка целостности выбранных при установке системы защиты файлов путем вычисления хеш-значения для них по приведенному выше правилу и сравнения с расшифрованными эталонными хеш-значениями;
· в зависимости от результатов проверки выполняется либо загрузка операционной системы, либо запрос на повторный ввод пароля.

После завершения работы пользователя элемент аппаратного обеспечения с его ключевой информацией изымается из компьютера.

Доступ же к хеш-значению пароля фактически заблокирован, так как программное обеспечение для его вычисления исчезает из адресного пространства компьютера и не может быть прочитано никакими программными средствами без извлечения платы расширения BIOS.

Если у нарушителя нет пароля пользователя или копии элемента аппаратного обеспечения с его ключевой информацией, то он не сможет выполнить загрузку операционной системы. Если у нарушителя есть пароль установки системы защиты, что позволит ему загрузить операционную систему без проверочных функций, или он получил доступ к терминалу с уже загруженной операционной системой, то он сможет осуществить несанкционированный доступ (НСД) к информации, но не сможет внедрить программные закладки для постоянного НСД. Наличие у нарушителя пароля установки без знания им пароля пользователя или его ключевой информации не позволит нарушителю переустановить систему защиты для постоянного НСД.

Для защиты от несанкционированного доступа к информации в ситуации, когда нарушитель получил доступ к работающему терминалу, необходимо использовать средства разграничения доступа к ресурсам КС или средства шифрования.

Сегодняшние методы аутентификации дают возможность подобрать подходящую конфигурацию под разные ситуации. Для компьютерной игры без микротранзакций подойдет обычный пароль, интернет-банкинг потребует двухфакторной аутентификации, а для некоторых государственных услуг понадобятся не только постоянный и временный пароли, но и документ, подтвержденный электронной цифровой подписью. Статья поможет разобраться, какая защита целесообразна в различных случаях.

Введение

Как отличить специалиста по безопасности от обычного человека? Специалист по безопасности знает разницу между идентификацией, аутентификацией и авторизацией. Неудивительно, впрочем, что эти слова пытаются использовать как синонимы, поскольку все три понятия являются частями одного общего процесса. Первое постепенно перетекает во второе, а второе служит отправной точкой для третьего, так что на первый взгляд не всегда ясно, где заканчивается один этап и начинается следующий. Однако суть каждого из них выделяется четко и ясно.

Аутентификация заслуживает особого внимания, когда речь идет о защите, поскольку ее задача – удостовериться, что пользователь действительно является тем, за кого себя выдает. На третьем шаге процесса авторизация выдаст ему полномочия для действий в информационной системе, и если эти права достанутся постороннему человеку, то последствия могут быть весьма печальны. Соответственно, идет постоянный поиск таких решений, которые с безупречной надежностью отличали бы нужного пользователя от всех остальных.

Российское общество и государство довольно давно информатизируются, догоняя восточные страны и оставляя позади западные. Чем больше сторон жизни людей уходит в информационные системы, тем больше становится нагрузка на средства аутентификации. Важные данные граждан, взаимодействующих с «электронным правительством» или с банками, естественным образом становятся интересны злоумышленникам; органы власти, в свою очередь, закономерно реагируют и выдвигают строгие требования к безопасности таких систем, чтобы не терять контроль над ситуацией и гарантировать людям защищенность их сведений.

Именно поэтому выбор и методов аутентификации в целом, и конкретных решений для их реализации уже не ограничивается только эргономикой и расчетом рисков: влиятельным фактором становится законодательная регуляция, причем со стороны не только государственных нормативных актов, но и отраслевых стандартов. Еще два года назад появился первый прототип ГОСТа по идентификации и аутентификации, что свидетельствует о внимании государства к таким вопросам и о намерении их решать.

Обратимся к существующим методам аутентификации и освежим в памяти то, насколько они соответствуют требованиям времени – в том числе применительно к отечественной специфике.

Однофакторная аутентификация

Фактор аутентификации – это, обобщенно говоря, атрибут, по которому удостоверяется подлинность пользователя. В роли фактора могут выступать материальные объекты (аппаратные устройства, части тела) или нематериальные сущности (кодовые слова, файлы). Простейший случай аутентификации – использование одного фактора.

Пароли

Классика удостоверения личности в информационных системах – пароль. Он так прочно ассоциируется с аутентификацией, что иногда считается ее сущностью. Например, в ГОСТе по судебно-технической экспертизе (Р 57429-2017) значится, что аутентификация пользователя – это «процедура проверки подлинности пользователя путём сравнения введенного им пароля с паролем, сохраненным в базе данных пользователей». Кажется очевидным, что здесь подразумевается постоянный, или многоразовый, пароль, который пользователь запоминает и воспроизводит каждый раз, когда ему нужно подтвердить свою подлинность.

Попытка решить проблему постоянных паролей – концепция паролей временных, или одноразовых, которые нужно получать заново для каждой попытки входа. Такой подход ликвидирует большинство недостатков постоянных кодовых слов – временный пароль не нуждается ни в особой сложности, ни в хранении, ни в запоминании. В то же время пользователю обычно нужно иметь при себе какое-либо устройство, позволяющее получать пароли, а система аутентификации закономерно усложняется изнутри, т.к. хранить в базе данных постоянный пароль гораздо проще, чем генерировать его, сопоставлять с учетными записями, следить за сроком действия и т.п. Впрочем, обработку одноразовых паролей можно переложить на «подрядчика»: скажем, Google предлагает всем желающим воспользоваться приложением Authenticator, которое берет работу с одноразовыми паролями на себя. В этом случае можно не разрабатывать свою систему, а воспользоваться уже существующей – что и делает, например, популярное геймерское приложение Discord. Впрочем, это – уже тема для разговора о двухфакторной аутентификации.

Рисунок 1. Одноразовый пароль по SMS

Для парольной защиты настоящим является тот пользователь, который знает условную комбинацию символов. Вполне очевидно, что этот вариант никак не гарантирует подлинности лица, допускаемого к работе с системой: достаточно узнать пароль тем или иным способом. В случае одноразового пароля эта процедура сложнее, но технически она вполне возможна и реализуема – были бы желание и выгода. Например, передачу временного кода по SMS, которую практикуют многие банки, относительно просто перехватить путем анализа радиосигнала или посредством обычного вируса. Потому, кстати, этот способ доставки одноразовых паролей обоснованно считается ненадежным, и финансовые организации переходят на альтернативные варианты вроде использования Push-уведомлений. Национальный институт стандартов и технологий США призвал отказаться от SMS-аутентификации еще два года назад.

Цифровые сертификаты и ЭЦП

Цифровой сертификат – элемент криптографической защиты информации, электронное удостоверение, которое подтверждает, что открытый ключ шифрования принадлежит определенному пользователю. Он является обязательной частью инфраструктуры открытых ключей (public key infrastructure, PKI), поскольку без подобной верификации открытый ключ уязвим для злонамеренных манипуляций.

Вообще пользователи чаще всего соприкасаются с цифровыми сертификатами при зашифрованных соединениях с ресурсами Интернета по протоколу SSL. Здесь удостоверяется подлинность не пользователя, а сервера – т.е. посетитель имеет возможность убедиться, что подключается к настоящему сайту, а не фишинговой копии, например. Тем не менее, поскольку сертификат сопоставляет ключ с его владельцем, электронное удостоверение можно применять и для аутентификации пользователей. В этом случае информационная система проверит его источник (центр сертификации должен входить в список доверенных) и срок действия, после чего личность пользователя будет считаться подтвержденной.

Помимо прочего, цифровой сертификат является частью механизма электронной цифровой подписи, поскольку ЭЦП является по сути результатом криптографического преобразования документа и тоже основана на инфраструктуре открытых ключей. Открытый ключ позволяет проверить корректность ЭЦП, а сертификат увязывает этот открытый ключ с человеком, которому он принадлежит.

В каком-то смысле электронная цифровая подпись также является средством аутентификации, так как среди ее функций есть подтверждение авторства: она удостоверяет, что документ действительно исходит от определенного лица и может рассматриваться как официальное выражение его намерений. В подобной роли ЭЦП используется, например, в «электронном правительстве», где гражданин может обратиться в органы власти удаленно, заменяя собственноручную подпись на бумажном документе этим специальным реквизитом. Квалифицированная электронная подпись придает документу полную юридическую силу.

При таком подходе, когда фактором аутентификации служит файл или набор данных, настоящим считается тот пользователь, у которого есть сертификат и закрытый (секретный) ключ шифрования. К сожалению, в случае с той же ЭЦП ответственность за хранение закрытого ключа возлагается на самого владельца, и он может принимать те меры, которые сам сочтет необходимыми и достаточными для защиты. В результате образуется риск кражи данных, и если злоумышленник сможет завладеть закрытым ключом, то ничто более не помешает ему выдать себя за легитимного владельца. Конечно, криптографические методы более надежны, чем пароли, однако и здесь нельзя говорить с абсолютной уверенностью о том, что пользователь и владелец ключа – одно и то же лицо.

Аппаратные токены

Аппаратный токен – это устройство, предназначенное специально для аутентификации.

В простейшем случае токен сам по себе является удостоверением, т.е. пользователь должен иметь его при себе и тем или иным образом предъявить системе – например, подключить к компьютеру или поднести к считывателю. В этих же целях используются пластиковые карты с микросхемами, они же смарт-карты, которые при желании можно реализовать программно – создавая тем самым более удобную и практичную виртуальную карту.

В то же время токены или смарт-карты могут служить средством реализации двух предыдущих факторов аутентификации. Так, например, известны токены, которые генерируют одноразовые пароли для ввода вручную. В этом случае сам токен не является удостоверением, поскольку подлинность пользователя определяется не по нему, а по паролю. Также токены и смарт-карты используются для хранения данных электронной цифровой подписи и для ее создания. Тогда устройство будет содержать на себе криптопровайдер – программное обеспечение, выполняющее криптографические преобразования. Там же часто хранится и закрытый ключ шифрования.

Рисунок 2. Аппаратный токен с генерацией одноразовых ключей RSA SecurID

Однако даже в тех случаях, когда токен или смарт-карта играют роль обычного удостоверения, «изнутри» процедура аутентификации тоже может быть построена на сопоставлении временных паролей или на криптографических операциях. Например, устройство пользователя может получать от сервера случайную последовательность данных, шифровать ее и отправлять обратно, позволяя системе определить, чьим именно ключом было проведено преобразование. В отечественных реалиях криптографические алгоритмы токена должны соответствовать ГОСТу и иметь сертификат Федеральной службы безопасности.

Каким бы именно образом ни работал аппаратный токен, для системы будет подлинным тот пользователь, который держит устройство в руках. Так же, как и в двух предыдущих случаях, наличие токена никоим образом не связано с конкретным человеком: устройство можно украсть и использовать злонамеренно. Пусть физическая кража может быть сложнее в исполнении, чем виртуальная, но, как обычно, в конечном счете все упирается в мотивацию и усилия: если нападающий действительно желает добыть токен, то тем или иным образом у него это получится. Так, вневедомственная охрана предпочитает не ставить приборы сигнализации с аппаратными ключами, поскольку в этом случае злоумышленники решают проблему доступа в помещение путем нападения на владельца ключа.

Биометрия

Средства аутентификации, использующие биометрию, полагаются на параметры тела человека или на особенности его поведения. Уникальных параметров относительно много: можно сканировать отпечатки пальцев, как это делают популярные модели смартфонов, можно распознавать лицо или голос, анализировать походку или характерные особенности набора текста на клавиатуре. Все это обещает избавление от традиционных недочетов перечисленных выше методов: биометрические параметры не только уникальны, но и неотделимы от человека, что позволяет с гораздо большей уверенностью говорить о подлинности пользователя. Кроме того, для прохождения такой проверки не нужно никаких дополнительных предметов или устройств, которые можно потерять или забыть дома.

Тем не менее, пока что технологии считывания этих показателей не вполне совершенны, и специалисты еще не могут рекомендовать полагаться всецело на биометрию. Известны случаи, когда исследователям удавалось обмануть считыватели с помощью распечаток на 3D-принтерах или даже просто фотографий в высоком разрешении. Однако это – проблема не самого метода аутентификации как такового, а технических средств его реализации, которые имеют свойство совершенствоваться. Кажется вполне вероятным, что рано или поздно биометрия начнет доминировать над остальными вариантами удостоверения личности. В отечественной практике уже есть проект создания Единой биометрической системы федерального масштаба.

Помимо считывателей, есть еще две проблемы, которые могут возникнуть при биометрической аутентификации. С одной стороны, есть теоретическая вероятность появления «двойников», т.е. людей с параметрами, похожими до степени смешения – в особенности это касается распознавания лиц. С другой стороны, характеристика человека может внезапно измениться (например, в результате травмы), и тогда пользователь утратит доступ к системе. Впрочем, те или иные риски характерны для любого механизма, и присутствие этих проблем кажется скорее естественным побочным эффектом, чем опасным изъяном метода в целом. На данный момент биометрическая аутентификация выглядит наиболее надежной с точки зрения гарантированной подлинности пользователя – если, конечно, разработчики считывателей все же научат их отличать живого человека от искусственной копии пальца.

Многофакторная (двухфакторная) аутентификация

Идеология многофакторной аутентификации (multi-factor authentication, MFA) заключается в том, чтобы взаимно компенсировать недостатки нескольких отдельных факторов, как минимум двух, у которых различаются ключевые риски. Чаще всего на практике используется двухфакторная аутентификация. Например, систему, построенную на аппаратных ключах, которые пользователи должны иметь при себе, можно усилить за счет механизма паролей, которые пользователи должны помнить. Тогда злоумышленник с токеном не будет знать пароля, а взломщик, укравший пароль, не будет иметь токена. Конечно, самый распространенный и общеизвестный вариант двухфакторной аутентификации – это два пароля, постоянный и одноразовый; однако сущность этой конструкции аналогична описанной выше, потому что базовым способом доставки одноразового пароля остается мобильная связь. Иными словами, подлинным признается тот пользователь, который знает постоянный пароль и имеет при себе смартфон, куда приходит пароль временный – так что устройство связи де-факто играет роль аппаратного токена.

Популярность и относительная надежность двухфакторной аутентификации приводят к тому, что на рынке появляются готовые решения, избавляющие клиента от необходимости разрабатывать все самому. Одно из них – упоминавшийся выше Google Authenticator, однако это приложение – не единственный вариант. Например, Symantec предлагает сервис VIP – Validation and Identity Protection (бывший VeriSign Identity Protection), который не бесплатен, но предлагает довольно разнообразные функции вроде бесконтактной разблокировки, когда сотруднику не нужно ничего вставлять в считыватель или подносить к нему – достаточно находиться рядом.

В целом, если нет специальных требований к системе защиты, а риски, связанные с компрометацией учетной записи, не слишком велики, то двухфакторная аутентификация вполне надежна (и в любом случае превосходит большинство однофакторных вариантов) – особенно в том случае, если сотрудники или клиенты обучены базовым мерам безопасности. В корпоративной среде у потенциального злоумышленника меньше пространства для маневра, чем, например, при дистанционном банковском обслуживании, поэтому здесь двухфакторная аутентификация может успешно заменить биометрию (тем более что в пределах организации она поддерживается другими средствами защиты информации).

Выводы

Как обычно, при выборе элементов системы безопасности необходимо подчиняться требованиям законов и стандартов, а также соизмерять риски с затратами.

Большинство методов удостоверения личности в информационных системах основано на произвольных атрибутах, т. е. таких, которые не имеют прямой связи с личностью человека и могут переходить от одного пользователя к другому. Это создает очевидные риски, однако постольку, поскольку этих мер оказывается достаточно и для них нет более выгодных альтернатив, эксплуатанты готовы мириться с их недостатками. В конце концов, идеальная защищенность в любом случае недостижима, а если система аутентификации справляется со своими задачами, то менять ее на нечто более совершенное ни к чему.

Безусловную гарантию того, что пользователь действительно является тем, за кого себя выдает, обеспечивает только биометрия, поскольку она использует неотъемлемые атрибуты вроде частей тела человека, которые невозможно передать другому. При условии, что считыватели будут технически совершенны, просты в производстве и экономичны, можно ожидать, что информационные системы с важными данными будут полагаться исключительно на этот метод аутентификации в качестве основного. Однако двухфакторные (и многофакторные) варианты вряд ли исчезнут: в конце концов, два фактора всегда лучше одного, и даже биометрию всегда полезно подкрепить дополнительным уровнем защиты.

Аутентификация (англ. authentication – подтверждение подлинности) – это процедура, во время которой определяется достоверность предоставленной информации (логин, пароль). То есть выясняется, действительно ли пользователь тот, кем представляется согласно введенным данным.

Виды аутентификации

Выделяют два типа – слабую (или однофакторную) и сильную (или двухфакторную, двойную) аутентификацию.

Однофакторная аутентификация

Классический вариант – аутентификация с помощью пароля. Некоторые пользователи грешат тем, что придумывают себе единый пароль для всех сайтов, которые требуют ввода данных для регистрации.

Логично, что один легче запомнить, чем десять разных. Впрочем, его легко и подобрать. По этой причине некоторые информационные системы используют временные пароли, смс-коды и т.д. Такой вариант интересен тем, что не нужно запоминать комбинации из «не менее 8 букв и цифр». Но от пользователя требуется иметь при себе устройство (например, мобильный телефон), на которое придет вышеуказанный идентификатор.

Двухфакторная аутентификация

По названию понятно, что двухфакторная аутентификация – это подтверждение личности пользователя с помощью двух или более факторов. Просто одного пароля недостаточно. Причина в том, что существует возможность подобрать комбинацию символов, даже самую мега-сложную.

Двусторонний тип аутентификации обеспечивают многие сервисы, предлагая пользователю самостоятельно выбрать цепочку взаимосвязи факторов.

Гарантировать максимальную безопасность может только двухэтапная аутентификация, когда одним из факторов выступает биометрия.

Способы аутентификации

С применением пароля

Парольная аутентификация ─ это когда пользователь идентифицируется по определенной комбинации символов, известной только ему. В качестве идентификатора используют и многоразовый пароль, что повторяется каждый раз для входа в систему (PIN код карточки или пароль для разблокировки телефона), и временный одноразовый, что присылают на email или телефон клиента.

Установка паролей ─ самый часто встречающийся вид однофакторной аутентификации, хоть он и не гарантирует подлинность пользователя. Одним паролем могут пользоваться несколько сотрудников-коллег. В таком случае, одному из них ничего не стоит изменить его или подменить владельца пароля. Тайна, известная двум людям, перестает быть тайной.

Взлом, кража, перехват паролей. Технологии развиваются и не каждый использует их для благого дела. Приходится искать альтернативные варианты защиты персональных данных и надежной парольной защиты:

Технические ограничения. Другими словами, это требования к паролям – не менее 6 символов, только латиница, обязательно с упоминанием цифр и т.д.
Срок действия. Периодическая смена комбинации символов повышает надежность защиты.
Ограничение доступа к файлу, где хранятся пароли.
Ограничение на число попыток входа. Если неправильный пароль вводится свыше допустимого числа раз, система получает уведомление об ошибке аутентификации и блокирует дальнейшие попытки.
Использование генератора паролей.
Обучение сотрудников элементарным способам информационной безопасности.

Перечисленные методы применяют и в случае выбора других типов аутентификации.

С применением пользовательского предмета

Зависимо от данных, которые передают в систему, носителями информации могут выступать:

Цифровой сертификат или электронная подпись
Аппаратный токен
Смарт-карта
Электронная таблетка iButton (или Touch Memory)
Карта с магнитной полоской

Человек, который держит в руках один из вышеуказанных носителей информации, будет являться подлинным пользователем. И здесь следует помнить о человеческом факторе и возможности кражи.

С применением биометрических данных

Биометрические системы аутентификации опираются на неповторимые человеческие физиологические и психологические характеристики.

Физиологические (или статические) знают все благодаря голливудским фильмам: это и отпечаток пальца, и рисунок сетчатки глаза, и геометрия лица, руки и т.д.
Психологические (или динамические) более редкие, но тоже эффективные: тембр голоса, сила нажатия кнопок, динамика личной подписи, координация движений рук и глаз и т.д.

Биометрическая аутентификация ─ это один из надежных и совершенных типов аутентификации, поскольку «информационные носители» невозможно украсть и сложно подделать. Есть гарантия, что пользователь именно тот, за которого себя выдает, реальный и подлинный.

С применением личной информации пользователя

Пользовательская личная информация редко используется в качестве единого фактора для аутентификации. Зачастую она выступает в связке с несколькими идентификаторами и используется для восстановления пароля (логина или других данных). Для аутентификации система запрашивает информацию, которая напрямую касается человека, что выполняет вход/регистрируется:

номер телефона,
дату рождения,
название любимой футбольной команды,
кличку питомца,
девичью фамилию матери.

С помощью местонахождения пользователя

Аутентификация пользователя по его местоположению – новое направление в категории защитных механизмов. Смысл работы в том, что за основу аутентификации берутся данные GPS (Global Positioning System) ─ системы спутниковой навигации.

Пользователь применяет GPS аппаратуру для отправки своих координат. С помощью спутников месторасположение определяется вплоть до метра. Следовательно, пользователю разрешают или запрещают доступ. Этот тип аутентификации характеризуется высокой надежностью, потому что отследить и перехватить спутниковый сигнал достаточно сложно. При этом GPS аппаратура проста в использовании.

С помощью ключа

Это тип аутентификации в wi fi сетях характерный для гаджетов, телефонов. Для нее используются ключи разных типов: динамическая аутентификация WPA, WPA2, по MAC-адресу. Что это такое, вы можете почитать в статье Wikipedia о сетевых методах аутентификации wi fi.

С применением комбинаций методов удостоверения личности (многофакторная аутентификация)

Объединение методов идентификации юзера повышает уровень защиты. Выбирая элементы безопасности опирайтесь на законы и бизнес-стандарты, потребности и удобство пользователя. Не стоит объединять пароль и одноразовый код активации, отправленный по email, когда у человека нет возможности этот email получить и прочитать.

Протоколы аутентификации

Пользователь использует для аутентификации персональный идентификатор ─ неповторимый ключ (при идентификации через протокол) или пароль.

Характеристики протоколов аутентификации:

Говоря о безопасности протоколов и их возможности противостоять ряду атак, выделяют одностороннюю аутентификацию, двухстороннюю аутентификацию и криптографические протоколы аутентификации.

Какие бывают протоколы аутентификации

Выбор протокола зависит от того, где происходит аутентификация – на ПК или в сети.

Смысл его работы следующий:

Итого, при аутентификации пользователя на ПК используются такие методы, как: ввод логина и пароля, биометрические данные, USB-токены и сертификаты.

Для аутентификации в сети существуют протоколы и сертификаты, которые идентифицируют пользователя и собирают статистику о его действиях и предпочтениях. Часто мы, будучи пользователями, встречаем информацию о файлах Cookies. Своего рода открытую аутентификацию. Куки привязываются к IP-адресу и используются для отслеживания действий и предпочтений пользователя.

Как видите, аутентификация – это этап для подтверждения личности пользователя при входе в систему. Способы и методы аутентификации продолжают развиваться, совершенствоваться и улучшаться.

В этой статье мы рассмотрим методы аутентификации, которые используются на данный момент и даже затронем способы аутентификации, которые вероятно получат распространение в ближайшем будущем.

Начнем с того, что на данный момент наиболее часто встречается парольная аутентификация. Она проста и привычна для большинства пользователей. Пароли используются как при аутентификации в приложениях, так и при аутентификации на сайтах в личных кабинетах или профилях пользователей. Недостатки паролей такие, как фишинг, подбор, и другие, всем известны, но простота и дешевизна использование такого способа аутентификации позволяет ему занимать крепкое лидерство среди прочих методов аутентификации.

Защита должна соответствовать угрозе и потенциальным потерям, поэтому одними из первых осознали необходимость двухфакторной аутентификации банки и финансовые организации. Двухфакторная аутентификация представляет собой обычно сочетание пароля и еще одного метода аутентификации: чего-то, чем пользователь владеет или какого-либо биометрического параметра пользователя.

Перечислим способы аутентификации, а точнее те вторые факторы, которые сейчас дополняют или заменяют парольную защиту:

Одноразовые коды по СМС,
Одноразовые пароли, сгенерированные на смартфоне (Google authenticator, Nexus TruID, FreeOTP и другие) или на аппаратном генераторе(напр, Display Card),
PKI-сертификаты на смарт карте, токене или в файле,
Мобильные приложения, производящие аутентификацию, или, так называемая, мобильная аутентификация,
Различного вида биометрическая аутентификация (отпечаток пальца, сканер сетчатки, сканер лица, аутентификация по голосу и др.).

Пройдемся по методам по порядку и рассмотрим их преимущества и недостатки.

Одноразовые коды по СМС

Опять же из-за простоты использования и распространения мобильных телефонов, очень часто встречается, когда второй фактор приходит по СМС. Многие сталкивались с этим, например при аутентификации на сайте Госуслуг.

Метод работает очень просто. Сазу после успешного ввода логина и пароля, система аутентификации генерирует рандомный код, который отправляется на номер телефона по SMS. Пользователь вводит полученный код в форму на сайте или в приложении и успешно проходит этап аутентификации.

Мобильные телефоны есть почти у всех, что делает этот метод универсальным. Но в действительности сейчас существуют достаточно недорогие типы атак, позволяющие перехватить SMS с одноразовым кодом или просто перевыпустить SIM-карту абонента другим лицом (по поддельной доверенности, в сговоре с сотрудником оператора). Стоит заметить, что способы защиты от перевыпуска карт есть: некоторые операторы просто блокируют услугу отправки и приема SMS на срок до одних суток, а системы аутентификации пользователей могут детектировать изменение IMSI — номера SIM карты и не позволять ему получать одноразовые коды до прохождения дополнительной аутентификации, например, в банкомате или лично в офисе. Хоть эти ограничения несколько усложняют действия пользователей, нельзя не согласиться с их положительным эффектом с точки зрения защиты от действий злоумышленников.

Еще стоит отметить, что аутентификация СМС не является полноценной двухфактоной, а в действительности представляет собой двухэтапную аутентификацию (от английского two-step verification). Просто объяснить отличие можно так: при двухфакторной аутентификации клиент не знает результата до отправки на проверку системе аутентификации обоих факторов; двухэтапная аутентификация позволяет получить ответ об успехе прохождения первого этапа перед тем, как клиент переходит к использованию второго метода. Таким образом, двухэтапная аутентификация проигрывает двухфакторной тем, что позволяет осуществить атаку на каждый метод аутентификации в отдельности.

Немного стороной идет использование email канала для доставки одноразовых кодов. Но тут дело вот в чем. Доступ к почте сам по себе почти всегда защищается простым паролем, а значит, считать такую аутентификацию двухфакторной можно с большой натяжкой. Обладание статическим паролем (первого фактора) и паролем от почты позволит успешно войти в приложение или на сайт.

Одноразовые пароли

Тут есть много вариантов и подходов. Давайте разберемся последовательно.

Во-первых, разделим генераторы одноразовых паролей на те, что поддерживают открытые стандарты OATH и те, что используют проприетарные алгоритмы генерации одноразовых паролей. Говорить о том, что какой-то алгоритм лучше или хуже не следует. Однако надо понимать, что открытые стандарты позволяют избавиться от привязки к определенному производителю.

Во-вторых, генератор одноразовых паролей может быть программным (обычно приложение на смартфоне, например Nexus TruID) или аппаратным (всевозможные брелоки, пластиковые карты с дисплеем, например Display Card). Тут уже можно утверждать, что аппаратные генераторы превосходят свои программные аналоги с точки зрения безопасности. Если программные генераторы запущены как приложения в операционной системе, то аппаратные представляют собой изолированные устройства, доступные только физически их владельцу.

По алгоритмам генераторы OTP можно разделить на такие:

формируют одноразовый пароль на основе счетчика количества сгенерированных ранее одноразовых паролей. Пример — OATH HOTP.
формируют одноразовый пароль на основе временного окна, то есть счетчиком тут выступает количество шагов обычно по 30 секунд. Для алгоритмов этого типа важна синхронизация времени сервера аутентификации и генератора. Пример — OATH TOTP.
Запрос-ответ (Challenge-response) — система аутентификации формирует код, который клиент переносит в генератор OTP(кнопками, сканированием QR-кода, прослушиванием аудио записи), где в ответ генерируется одноразовый пароль. Этот одноразовый пароль клиент вводит для аутентификации на сайте или в программе. Пример — OATH OCRA.

Отдельно отметим такие алгоритмы как CAP/DPA, которые используют чипы на платежных картах для аутентификации и подписи транзакций. Для работы этих алгоритмов требуется устройство, в которое вставляется платежная карта - криптокалькулятор. Но не будем останавливаться в этой статье на частных случаях.

Минусы программных генераторов перед аппаратными мы уже рассмотрели. Плюсом же их будет нулевая стоимость. Поэтому для системы аутентификации с большим количеством пользователей этот критерий может быть существенным.

Генерация пароля на основе времени на первый взгляд кажется более безопасной, ведь у пароля появляется срок жизни. Но, в действительности, время — не секретный параметр и у злоумышленника фактически уже есть данные об этой части секрета. К тому же легальный владелец генератора OTP не узнает, если у злоумышленника появится дубликат генератора. Все попытки аутентификации — и пользователя и злоумышленника - будут успешными.

Если же используется генерация пароля по счетчику, дубликат генератора будет быстро обнаружен, так как произойдет рассинхронизация счетчика в системе аутентификации и в генераторе. Да и угадать текущее положение счетчика сложнее, чем узнать время.

Преимуществом алгоритмов основанных на запросе-ответе является возможность взаимной аутентификации сервера и клиента, а так же возможность подписи транзакции. Для этого данные транзакции используются при формировании запроса.

PKI аутентификация (по сертификатам)

Этот метод аутентификации основан на асимметричной криптографии. У клиента есть закрытый ключ, которым он подписывает запрос сервера аутентификации. Система аутентификации может проверить электронную подпись, используя открытый ключ клиента (обычно в виде сертификата). Таким образом подтверждается владение клиентом закрытым ключом.
Закрытый или, по-другому, секретный ключ пользователя может быть на смарт карте, криптографическом токене или просто в файле на диске или съемном накопителе. Токен, как и смарт карта в основе своей использует криптографический чип с неизвлекаемой памятью. Закрытый ключ генерируется непосредственно внутри чипа и этот ключ нельзя скопировать на другой носитель. Хранение же секретного ключа в файле менее безопасно, так как сделать копию файла можно достаточно просто.

Огромным плюсом аутентификации по сертификатам является практическая невозможность скомпрометировать криптографический токен за обозримое время с использованием ограниченного бюджета. К тому же, если остальные методы аутентификации требуют для хранения некую секретную информацию централизованно на сервере аутентификации, то в случае с PKI аутентификацией система аутентификации ничего не хранит и не оперирует секретной информацией. Единственное, что нужно серверу — знать, какой Удостоверяющий Центр (УЦ) выпускает сертификаты для аутентификации. Это означает, что просто невозможны какие-либо утечки паролей или других секретных параметров с сервера аутентификации.

Но у всего есть своя цена и низкий уровень удобства пользователей при работе с токенами и картами для аутентификации, а так же ограниченность устройств, к которым можно подключить смарт карту или USB токен, объясняют столь малое распространение этого метода.

Мобильная аутентификация

Под мобильной аутентификацией мы в этой статье понимаем использование мобильных устройств, таких как смартфоны, для подтверждения входа. Причем в данном случае рассматриваются не просто программы-генераторы одноразовых паролей, а криптографические системы аутентификации, которые подобно PKI аутентификации используют асимметричную криптографию. Говоря проще, на смартфоне при регистрации в системе аутентификации генерируется ключевая пара. Открытый ключ отправляется на сервер аутентификации, а закрытый не покидает смартфон и используется как при обычной аутентификации по сертификатам.

Процесс проверки этого фактора происходит обычно так:

Пользователь вводит имя пользователя в браузере/приложении
Сервер отправляет запрос в приложение на смартфоне. Обычно это рандомное значение (nounce).
Пользователь подтверждает аутентификацию на смартфоне вводом PIN кода.
Приложение производит криптографическую подпись и отправляет подписанный ответ на сервер аутентификации.

Это один из наиболее перспективных методов двухфакторной аутентификации. С одной стороны он не требует затрат на покупку дополнительных устройств. А с другой стороны - обеспечивает высокий уровень защиты, основанной на криптографии с открытым ключом. Более того, мобильная аутентификация характеризуется еще одним преимуществом — использование отдельного логического канала (Out of band).

Биометрическая аутентификация

В настоящее время существует много систем биометрической аутентификации. В качестве биометрической характеристики человека в них используют:

отпечаток пальца
лицо
сетчатка глаза
радужная оболочка глаза
голос
почерк
сердечный ритм
и другие

Есть примеры централизованных систем аутентификации по биометрическим параметрам, однако преимущественно биометрия используется для локальной аутентификации на устройстве: ноутбуке, смартфоне. Такие системы позволяют исключить покидание биометрических данных тех устройств, где они были собраны и где проверяются.

Привычным для многих является замена пароля на ноутбуке сканированием отпечатка пальца или разблокировка смартфона тем же отпечатком или сканированием лица. Приложения используют эти возможности для защиты входа, заменяя PIN код. Это действительно несколько упрощает взаимодействие пользователей с этими приложениями. Но не стоит забывать, что биометрическая аутентификация основана на "похожести" текущего отпечатка, лица, голоса и т.п. на тот, что был изучен системой ранее. Небольшие отклонения от имеющегося в системе аутентификации образца не приведут к отказу аутентификации, в отличие от небольшого изменения пароля даже на 1 символ. То есть такую аутентификацию нельзя назвать строгой.

Более того для каждого варианта биометрической аутентификации нужно четко представлять возможности злоумышленников по обходу. Например, отсканировать отпечаток пальца во сне можно и без ведома владельца. Есть случаи, когда системы биометрической аутентификации обманываются более топорными методами.

Универсальный второй фактор U2F

Альянс FIDO занимается решением проблемы аутентификации в интернете и предлагает стандарт U2F (Universal Second Factor) — протокол двухфакторной аутентификации. Этот протокол позволяет использовать аппаратные криптографические токены но не требует сложных централизованных систем вроде единого сервера аутентификации или инфраструктуры открытых ключей. Это упрощает использование преимуществ асимметричной криптографии и делает ее доступной широкому кругу пользователей и систем. Кроме прочего, стандарт позволяет защищать процессы аутентификации от фишинга, а так же клонирования токена. Более подробно на этом методе аутентификации мы останавливаться не будем, отметим лишь, что уже сейчас его позволяют использовать такие гиганты интернет индустрии, как Google и Facebook.

Мы не рассматривали такие экзотические методы аутентификации, как матричные карты, распечатанные списки одноразовых кодов, так как они практически изжили себя и встречаются крайне редко.

Связаться с авторами статьи, чтобы сообщить об ошибках или если у вас есть дополнения, вы можете по форме обратной связи.

Читайте также: