Контроль доступа к информации

Программные средства контроля доступа

Средства контроля доступа к документам в MS Office

Пакет Microsoft Office имеет встроенные средства защиты.

В приложениях Word, Excel, Access и PowerPoint имеются функции защиты документов от несанкционированного доступа. Пользователи могут управлять доступом к документам, применяя функцию защиты доступа к файлам. Автор документа может задать пароль, позволяющий открывать документ или вносить в него изменения (рис. 9.1).

При установке парольной защиты на открытие файла запрашивается пароль и при сохранении файла документ шифруется. При шифровании происходит полное изменение исходного текста. Если просмотреть содержимое такого файла, то увидеть можно будет только несвязную мешанину символов. При открытии такого документа программа запрашивает пароль, и если он верен, то документ расшифровывается.

Причем возможен запрет не только на открытие файла, но и на изменение информации в нем, а также разрешение на изменение только отдельных элементов документа.

В зависимости от заданного режима пользователи не смогут вообще просматривать документ или же смогут просматривать его лишь в режиме "только для чтения" до тех пор, пока не введут правильный пароль.

Следует отметить, что соблюдение правил составления пароля заметно влияет на его устойчивость к взлому. Существует целый ряд программ для подбора паролей, которые используют три основных способа: прямой перебор, перебор по маске и перебор по словарю.

Первый способ заключается в переборе всех возможных комбинаций символов. При длине пароля в шесть символов время перебора всех возможных комбинаций на современном персональном компьютере исчисляется днями.

Перебор по маске применяется, если известна какая-либо часть пароля. Например, известно, что в начало всех паролей пользователь вставляет дату своего рождения. В этом случае время перебора сильно сокращается.

Перебор по словарю основан на желании пользователей создавать легко запоминающиеся пароли, содержащие слова. При этом количество возможных комбинаций резко сокращается.

Длина пароля к важному документу должна составлять не менее десяти символов, в пароле должны присутствовать спецсимволы (%^*!@#$и т.д.), цифры, прописные и строчные буквы; пароль не должен состоять из словарных слов, написанных в прямом или в обратном порядке, не должен содержать какую-либо информацию о пользователе (имя, год рождения и др.).

Контроль доступа к Web-ресурсу

Если вы размещали в Сети свои Web-странички, то, вероятно, сталкивались с тем, что для внесения каких-либо изменений в страничку система требовала ввести логин и пароль. Для чего это нужно? Очевидно, для того чтобы любой желающий не имел возможности испортить ваш ресурс, изменить на нем информацию.

Это общее правило. Для того чтобы обеспечить безопасность некоторой информационной системы коллективного пользования, необходимо проверять, кто обращается к информации, убедиться, что этот человек имеет право доступа, а также определить, какие еще права он имеет. Например, владелец Web-странички может изменять в ней информацию, зарегистрированный пользователь ресурса, где помещена эта страничка, может только читать ее содержимое, а человек, не являющийся зарегистрированным пользователем, вообще не должен получать доступа к ресурсу.

Рассмотрим описанную выше процедуру контроля доступа к информации более подробно. На первом этапе происходит аутентификация пользователя - проверка подлинности входящего в систему пользователя.

Аутентификация (authentication) пользователя обычно происходит за счет того, что пользователь вводит правильное имя пользователя (user name), или логин (login) и пароль (password), после чего предоставляется вход. Сервер сравнивает аутентификационные данные пользователя с теми, что хранятся в базе, и если они совпадают, пользователю предоставляется доступ в сеть.

Термины "аутентификация" и "идентификация" часто считают синонимами, однако это не совсем верно. Идентификация - это установление тождества объектов на основе совпадения их признаков. Аутентификация - это процедура проверки подлинности данных и субъектов информационного взаимодействия.

Например, при входе в некоторую информационную систему пользователь обычно идентифицируется именем (идентификатором), а потом аутентифицируется паролем (или другим признаком аутентификации). В данном случае аутентификацией является проверка пароля, доказывающая, что идентифицированное лицо является именно тем, за кого себя выдает.

Следующий после аутентификации шаг - авторизация (authorization) пользователя для выполнения определенных задач. Авторизация - это процесс определения набора полномочий, которыми обладает пользователь - т.е. к каким типам действий, ресурсов и служб он допускается. После того как система произвела аутентификацию пользователя и он зарегистрирован в системе (logged in a system), определяется набор его прав доступа к ресурсам и действиям в системе. Уровень прав доступа (привилегий) определяется администратором системы на основе корпоративных требований безопасности.

Аппаратные средства контроля доступа

При использовании традиционных технологий - логинов и паролей - пользователи вынуждены помнить достаточно большое их количество, кроме того, есть опасность подбора паролей. Часто пользователи применяют одни и те же пароли к различным ресурсам, а сами пароли хранят в общедоступных местах.

Существует целый ряд систем с усиленной или двухфакторной аутентификацией, при которой пользователь должен иметь дополнительные аппаратные средства - смарт-карту или так называемый идентификационный токенСтрого говоря, смарт-карта - это тоже идентификационный токен. Их разделение условно: токены в формфакторе смарт-карты называют на бытовом уровне картами, а USB - токенами. (компактные аппаратные устройства-ключи) и знать определенный персональный идентификационный номер (PIN-код).

Токены используют двухфакторный механизм аутентификации: пользователь знает свой PIN, с помощью которого система опознает определенного владельца токена; в свою очередь токен, получая сигнал от системы, выдает код, который позволяет провести авторизацию. Если токен или карта попадает к постороннему лицу, то после нескольких попыток набрать неверный PIN-код карта блокируется. Если кто-то перехватит PIN, то, кроме этого знания, ему надо еще иметь на руках саму карточку. Поскольку это маловероятно, такой двойной защиты при доступе к защищенным ресурсам бывает вполне достаточно.

Биометрические средства контроля доступа

Биометрическая идентификацияИдентификация, при которой в качестве контролируемых параметров используются уникальные биологические параметры человека (например, отпечаток пальца). позволяет эффективно решать целый ряд проблем:

Доступные по цене микропроцессорные системы, основанные на принципе биометрического контроля, появились в начале 90-х годов XX столетия. Сегодня можно привести достаточно много примеров успешной работы устройств, построенных на биометрическом принципе. В США уже используются банкоматы, которые распознают лица клиентов. Сотни и тысячи подобных устройств работают в различных организациях по всему миру.

В качестве уникального биологического кода человека используется целый ряд параметров. Основные приведены в таблице 9.1.

Как показано в табл. 9.1, их можно разделить на физиологические (основанные на анатомической уникальности каждого человека) и поведенческие, основанные на специфике действий человека. Каждый из параметров имеет свои достоинства и недостатки с точки зрения его использования в качестве критерия идентификации. Рассмотрим подробнее перспективы применения некоторых биологических параметров для организации систем контроля допуска.

Метод сканирования радужной оболочки глаза

Еще несколько десятилетий назад было доказано, что нет двух человек с одинаковой радужной оболочкой глаза, однако программное обеспечение, способное выполнять поиск и устанавливать соответствие образцов и отсканированного изображения, появилось только в конце XX века. Технология допуска, основанная на сканировании радужной оболочки глаза, уже несколько лет применяется в государственных организациях и учреждениях с высоким уровнем секретности.

Метод сканирования геометрии лица

Система допуска по распознаванию лица - наиболее древний и распространенный способ. Именно такая процедура осуществляется, когда мы, например, предъявляем паспорт на пропускном пункте международного аэропорта. Пограничник сверяет фото на паспорте с лицом владельца паспорта и принимает решение - его это паспорт или нет. Примерно такую же процедуру выполняет компьютер, с той только разницей, что фото уже находится в его памяти. О качестве современных систем распознавания лица можно судить по высказыванию вице-президента компании Polaroid, который в качестве доступа к своему ноутбуку использует систему распознавания по лицу FaceIt, разработанную компанией Visionics. "Я все время забывал свой пароль, - говорит он, - но FaceIt мое лицо не забывает. Она узнает меня в очках и без очков, с бородой и без нее".

Распознавание по голосу

Метод узнавания по голосу, как и распознавание лица, был известен до появления биометрии. Поэтому достоинства и недостатки метода знакомы каждому. Как не всегда по ответу на вопрос "кто там?" можно понять, что за дверью находится сосед, и иногда приходится заглядывать в глазок, так и техническая система может ошибаться в силу изменений голоса человека. А голос, как известно, зависит от настроения, состояния здоровья, меняется с возрастом и даже может "ломаться". В связи с этим устройства идентификации по голосу пока не получили широкого распространения.

Распознавание по подписи

Вероятно, все, кто хоть когда-то получал деньги в банке, знакомы с этим методом идентификации личности. Банковские служащие сверяют подпись на глаз и достаточно часто при выдаче крупных сумм просят расписаться несколько раз. То есть вероятность ошибки в данной системе не так уж мала. Известны случаи, когда люди не могли получить деньги из-за изменения почерка и, соответственно, подписи. Компьютерная система, в отличие от банковского служащего, учитывает несколько параметров: саму форму начертания, динамику движения пера, степень нажима, что, как правило, позволяет установить достаточно высокую степень точности при распознавании личности.

Распознавание по отпечатку пальца

Данный метод имеет множество преимуществ - отпечаток пальца компактен, уникален, давно используется как средство дактилоскопического контроля (около 100 лет), поскольку не изменяется в течение всей жизни человека, и поэтому получил массовое распространение. Определенным недостатком, сдерживающим развитие метода, является свойственное многим предубеждение, что не следует оставлять информацию о своих отпечатках пальцев. Разработчики аппаратуры на это возражают, что информация об узоре отпечатка пальца в памяти аппаратуры контроля доступа не хранится - хранится лишь короткий идентификационный код, построенный на базе характерных особенностей вашего отпечатка. По данному коду нельзя воссоздать узор и сравнить его с отпечатками пальца, оставленными, например, на месте преступления.

Основным элементом устройства является сканер, считывающий папиллярный узор, который затем обрабатывается с помощью специального алгоритма, и полученный код сравнивается с шаблоном, хранящимся в памяти.

Сканер отпечатка пальцев может быть встроен в мышь (рис. 9.3) или клавиатуру.

Существует достаточно много компаний, которые занимаются технологиями контроля доступа по отпечатку пальцев, например T-NETIX, American Biometric Company, Attel Communication, National Registry, Strartek. Identix, "Биолинк".