Системы аутентификации / идентификации пользователей

Система аутентификации/идентификации пользователей является важнейшим компонент корпоративной системы информационной безопасности. Более того, в некоторых приложениях задача идентификации доступа человека или процесса к защищаемому ресурсу является даже более важной, чем собственно задача обеспечения конфиденциальности. Эта система должна подтвердить личность пользователя информационной системы и поэтому должна быть надежной и адекватной. Дело в том, что аутентификация тесно связана с другими процессами в системе информационной безопасности, например, с протоколированием действий пользователей. Поэтому, не имея строгой идентификации пользователя, при расследовании инцидента очень тяжело установить причину и виновников.

 

На данный момент, средства аутентификации/идентификации можно разделить на три группы, в соответствии с применяемыми принципами:

Системы строгой аутентификации/идентификациииспользуют комбинации факторов.

Самыми дешевыми являются средства аутентификации группы «you know». Они же имеют самую низкую надежность. Судите сами, пароль пользователя можно подсмотреть, перехватить в канале связи или просто подобрать. В том случае если политика безопасности требует применения сложных паролей, пользователям трудно их запоминать, и «самые одаренные» начинают записывать их прикрепляя листочки с паролями в таких «безопасных» местах, как монитор или обратная сторона клавиатуры. Этот подход особенно опасен в системах, где сотрудник применяет один пароль для аутентификации и работы со многими приложениями и информационными системами. Парольная защита полностью дискредитирует себя, если, не осознавая важности аутентификации, сотрудники передают личный пароль коллегам, для «удобства».

 

Системы строгой аутентификации/идентификации, построенные на комбинации факторов «you know» и «you have» дают значительно больше возможностей для усиления защиты. Примерами этого подхода могут служить USB-ключи, являющиеся, по сути, контейнерами для электронно-цифровой подписи. Кроме самого ключа, вставляемого для идентификации в USV-порт компьютера, необходимо ввести еще и и ПИН-код, являющийся по сути паролем. Использование таких устройств возможно для проведения аутентификации при удаленном доступе с рабочего места, имеющего низкий уровень доверия, например, при работе в офисе клиента или интернет-кафе. Разумеется, данный способ также не лишен недостатков – USB-ключ, например, тоже может быть передан вместе с ПИН-кодом другому пользователю.

Очевидно, что более строгую идентификацию обеспечивают средства, основанные на так называемых биометрических методах. Реально используемые на данный момент биометрические системы идентификации включают системы доступа по отпечатку пальца, форме уха, клавиатурному почерку, отпечатку ладони, структуре сетчатки глаза, рисунку радужной оболочки глаза, подписи и голосу. Наиболее широко используются аутентификация по отпечаткам пальцев.

 

АВК может предложить своим клиентам системы аутентификации/идентификации, построенные на любом из вышеописанных факторов и на их комбинации, с использованием безопасных протоколов передачи данных по открытым каналам, что дает возможность аутентификации/идентификации пользователя, находящегося вне помещений предприятия и использующего Интернет для соединения с корпоративными информационными системами.