A hitelesítés ( angol hitelesítés ← görögül αὐθεντικός [authentikos] „igazi, hiteles” ← αὐτός [autos] „önmaga; ő a legtöbb”) hitelesítési eljárás, például:
Oroszul a kifejezést főleg az információs technológia területén használják .
Tekintettel a rendszerek bizalmának és biztonsági politikájának mértékére, a biztosított hitelesítés lehet egyirányú vagy kölcsönös . Általában kriptográfiai módszerekkel hajtják végre .
A hitelesítést nem szabad összetéveszteni a jogosultsággal (az alanynak bizonyos jogok biztosításának eljárása) és az azonosítással (az alany azonosítója alapján történő felismerésének eljárása ).
Az ókor óta az emberek meglehetősen nehéz feladattal szembesültek - a fontos üzenetek hitelességének ellenőrzése. Feltalálták a beszédjelszavakat, az összetett pecséteket. A mechanikus eszközöket használó hitelesítési módszerek megjelenése nagymértékben leegyszerűsítette a feladatot, például a hagyományos zárat és kulcsot már régen feltalálták. A hitelesítési rendszer példája látható az "Ali Baba és a negyven tolvaj kalandjai" című régi mesében . Ez a mese egy barlangban elrejtett kincsekről szól. A barlangot egy kő zárta el. Csak egyedi beszédjelszóval lehetett visszatolni : " Sim-Sim , nyissa meg !".
Napjainkban a hálózati technológiák kiterjedt fejlődése miatt mindenhol alkalmazzák az automatikus hitelesítést.
Hitelesítési szabványokat meghatározó dokumentumok
GOST R ISO/IEC 9594-8-98 - A hitelesítés alapjaiEz a szabvány:
Ez a nemzetközi szabvány kétféle hitelesítést határoz meg: egyszerű, jelszóval az igényelt személyazonosság ellenőrzéseként, és erős, kriptográfiai technikákkal létrehozott azonosságokkal.
FIPS 113 – Számítógépes adathitelesítésEz a szabvány meghatároz egy adathitelesítési algoritmust (DAA), amely felhasználható az adatok szándékos és véletlenszerű jogosulatlan módosításainak észlelésére, a Data Encryption Standard (DES) Szövetségi Információfeldolgozási Szabványok Kiadványában (FIPS PUB) 46 meghatározott algoritmus alapján, és kompatibilis mind a Pénzügyminisztérium elektronikus pénzeszközök és biztonsági átutalási politikájával, mind az Amerikai Nemzeti Szabványügyi Intézettel (ANSI), valamint a Pénzügyi intézmények üzenet-hitelesítési szabványával.
Ez a szabvány a továbbított információ integritásának kriptográfiai hitelesítéssel történő ellenőrzésére szolgál.
Bármely hitelesítési rendszerben általában több elemet lehet megkülönböztetni:
| Hitelesítési elem | A 40 tolvaj barlangja | Regisztráció a rendszerben | ATM |
|---|---|---|---|
| Tantárgy | Az a személy, aki ismeri a jelszót | Jogosult felhasználó | Bankkártya tulajdonos |
| Jellegzetes | Jelszó " Sim-Sim , nyissa meg !" | Titkos jelszó | Bankkártya és személyi azonosító |
| A rendszer tulajdonosa | 40 rabló | A rendszer tulajdonosa | Bank |
| Hitelesítési mechanizmus | Varázseszköz, amely reagál a szavakra | Jelszó-ellenőrző szoftver | Szoftver, amely ellenőrzi a kártyát és a személyi azonosítót |
| Beléptető mechanizmus | A mechanizmus, amely elmozdítja a követ a barlang bejáratától | Regisztrációs folyamat, beléptetés | Engedély banki tevékenység végzésére |
Már a számítógépek megjelenése előtt is használták a téma különféle jellegzetességeit, jellemzőit. Most a rendszer egyik vagy másik jellemzőjének használata a szükséges megbízhatóságtól, biztonságtól és a megvalósítás költségétől függ. Három hitelesítési tényező létezik:
Az elektronikus aláírásról szóló, 2011. április 6-i 63-FZ szövetségi törvény (módosítva) a következő típusú elektronikus aláírásokat írja elő:
A számítógépes rendszerben történő hitelesítés egyik módja a felhasználói azonosító, köznyelvi nevén „ login ” ( angolul login – felhasználónév, fiók) és egy jelszó – néhány bizalmas információ – megadása. Az érvényes (hivatkozási) bejelentkezési-jelszó pár egy speciális adatbázisban van tárolva.
Az egyszerű hitelesítés a következő általános algoritmussal rendelkezik :
Az alany által megadott jelszó kétféle módon továbbítható a hálózaton:
A jelszavak tárolásának és továbbításának legjobb biztonsága érdekében egyirányú funkciókat kell használni . Általában kriptográfiailag erős hash függvényeket használnak erre a célra . Ebben az esetben csak a jelszó képét tárolja a szerver. A jelszó kézhezvétele és a hash transzformáció elvégzése után a rendszer összehasonlítja az eredményt a benne tárolt referencia képpel. Ha azonosak, a jelszavak ugyanazok. Egy támadó számára, aki hozzáfért a képhez, szinte lehetetlen magát a jelszót kiszámítani.
Az újrafelhasználható jelszavak használatának számos jelentős hátránya van. Először is, magát a fő jelszót vagy annak kivonatolt képét a hitelesítési szerver tárolja. A jelszót gyakran kriptográfiai átalakítások nélkül tárolják rendszerfájlokban. Miután hozzáfért hozzájuk, a támadó könnyen hozzájuthat a bizalmas információkhoz. Másodszor, az alany kénytelen megjegyezni (vagy leírni) újrafelhasználható jelszavát. A támadó egyszerűen a social engineering készségeinek alkalmazásával szerezheti meg , technikai eszközök nélkül. Ezenkívül a rendszer biztonsága nagymértékben csökken, ha az alany saját maga választja meg a jelszavát. Gyakran kiderül, hogy ez egy szó vagy szóösszetétel szerepel a szótárban. A GOST 28147-89 szabványban a kulcs hossza 256 bit (32 bájt). Álvéletlen számgenerátor használatakor a kulcs jó statisztikai tulajdonságokkal rendelkezik. A jelszó, amely például egy szótárból származó szó, 16 bites pszeudo-véletlen számra redukálható, ami 16-szor rövidebb, mint a GOST kulcs. Ha elegendő idő áll rendelkezésre, a támadó egy egyszerű brute force támadással feltörheti a jelszót. A probléma megoldása a véletlenszerű jelszavak használata vagy az alany jelszavának időtartamának korlátozása, amely után a jelszót meg kell változtatni.
SzámlaadatbázisokUNIX operációs rendszerrel rendelkező számítógépeken az alap az /etc/master.passwd fájl (a Linux disztribúciókban az /etc/shadow fájl általában csak root által olvasható), amelyben a felhasználói jelszavak a nyitott jelszavakból származó hash függvényekként tárolódnak , emellett ugyanaz a fájl a felhasználó jogaira vonatkozó információkat is tárol. Eredetileg a Unix rendszereken a jelszó (titkosított formában) az /etc/passwd fájlban volt tárolva , amelyet minden felhasználó olvashatott, ami nem volt biztonságos.
A Windows NT / 2000 / XP / 2003 rendszert futtató számítógépeken (nem szerepel a Windows tartományban ) egy ilyen adatbázist SAM-nak ( Security Account Manager - Account Protection Manager) hívnak. A SAM-bázis felhasználói fiókokat tárol , amelyek a védelmi rendszer működéséhez szükséges összes adatot tartalmazzák. A %windir%\system32\config\ könyvtárban található.
A Windows Server 2000/2003 tartományokban ez az adatbázis az Active Directory .
A hitelesítési adatok tárolásának megbízhatóbb módja azonban a speciális hardver (összetevők) használata.
Ha az alkalmazottak különböző számítógépeken történő munkáját kell biztosítani (biztonsági rendszer támogatásával), akkor olyan hardver- és szoftverrendszereket alkalmaznak, amelyek lehetővé teszik a hitelesítési adatok és kriptográfiai kulcsok tárolását a szervezet szerverén. A felhasználók szabadon dolgozhatnak bármely számítógépen ( munkaállomáson ), hozzáférve hitelesítési adataikhoz és kriptográfiai kulcsaikhoz.
Egyszeri jelszó-hitelesítésMiután megszerezte az alany újrafelhasználható jelszavát, a támadó állandó hozzáféréssel rendelkezik a feltört bizalmas információkhoz. Ezt a problémát egyszeri jelszavak ( OTP - One Time Password ) használatával oldják meg. Ennek a módszernek az a lényege, hogy a jelszó csak egy bejelentkezésre érvényes, minden további hozzáférési kérésnél új jelszót kell megadni. Az egyszeri jelszavak hitelesítési mechanizmusa hardveren és szoftveresen is megvalósítható.
Az egyszeri jelszavak használatának technológiái a következőkre oszthatók:
Az első módszer egy pszeudo-véletlen számgenerátort használ, amelynek értéke azonos az alany és a rendszer számára. Az alany által generált jelszó átadható a rendszernek egyirányú funkció egymás utáni használatakor, vagy minden új kérés esetén egy korábbi kérés egyedi információi alapján.
A második módszer időbélyegeket használ. Ilyen technológia például a SecurID . Hardverkulcsok használatán és időszinkronizáláson alapul. A hitelesítés véletlenszerű számok generálásán alapul bizonyos időközönként. Az egyedi titkos kulcsot csak a rendszerbázis és az alany hardvereszköze tárolja. Amikor az alany hozzáférést kér a rendszerhez, a rendszer felkéri a PIN-kód megadására, valamint egy véletlenszerűen generált számra, amely abban a pillanatban megjelenik a hardvereszközön. A rendszer összeegyezteti a megadott PIN-kódot és az alany titkos kulcsát az adatbázisából, és az adatbázisból származó titkos kulcs paraméterei és az aktuális idő alapján véletlen számot generál. Ezután a generált szám és az alany által beírt szám azonosságát ellenőrizzük.
A harmadik módszer az alany és a rendszer egyetlen jelszavas adatbázisán, valamint a köztük lévő nagy pontosságú szinkronizáláson alapul. Ebben az esetben a készlet minden egyes jelszava csak egyszer használható fel. Emiatt még akkor sem lesz érvényes, ha egy támadó elkapja az alany által használt jelszót.
Az újrafelhasználható jelszavakhoz képest az egyszeri jelszavak nagyobb fokú biztonságot nyújtanak.
A mobilkommunikáció, például az ip-phone biztonságának sürgőssége új fejlesztéseket ösztönöz ezen a területen. Ezek közé tartozik az SMS-es hitelesítés.
A hitelesítési eljárás a következő lépéseket tartalmazza:
Ennek a módszernek a vonzereje abban rejlik, hogy a kulcsot nem azon a csatornán keresztül kapják meg, amelyen keresztül a hitelesítés (sávon kívüli) történik, ami gyakorlatilag kiküszöböli az „ ember a közepén ” típusú támadást. További biztonsági szintet jelenthet a mobilkészülék PIN kódjának megadásának követelménye.
Ez a módszer széles körben elterjedt az interneten keresztüli banki műveletekben.
Az emberi biometrikus paraméterek mérésén alapuló hitelesítési módszerek közel 100%-os azonosítást tesznek lehetővé, megoldva a jelszavak és személyi azonosítók elvesztésének problémáit.
E módszerek megvalósítására példák a szivárványhártya mintázatán, tenyérlenyomatokon, fülformákon, a kapilláris erek infravörös képén, kézíráson, szagláson, hangszínen, sőt DNS-en alapuló felhasználóazonosító rendszerek.
Új irány a biometrikus jellemzők alkalmazása az intelligens fizetési kártyákban, a belépőtokenekben és a mobilkommunikációs elemekben. Például, amikor egy boltban fizet, a kártyabirtokos az ujját a szkennerre teszi, hogy megbizonyosodjon arról, hogy a kártya valóban az övé.
Leggyakrabban használt biometrikus attribútumok és kapcsolódó rendszerekUgyanakkor a biometrikus hitelesítésnek számos hátránya van:
A hitelesítés legújabb trendje a távoli felhasználó hitelességének hely szerinti bizonyítása. Ez a védelmi mechanizmus egy űrnavigációs rendszer, például a GPS ( Global Positioning System ) használatán alapul.
A GPS berendezéssel rendelkező felhasználó ismételten elküldi a látómezőben lévő adott műholdak koordinátáit. A hitelesítési alrendszer a műholdak pályáját ismerve akár méteres pontossággal meg tudja határozni a felhasználó helyét. A hitelesítés nagy megbízhatóságát az határozza meg, hogy a műholdak pályája ingadozásoknak van kitéve, amelyeket nehéz előre jelezni. Ezenkívül a koordináták folyamatosan változnak, ami tagadja az elfogásuk lehetőségét.
A rendszer feltörésének bonyolultsága abban rejlik, hogy a berendezés számítások nélkül továbbítja a digitalizált műholdjelet. Minden helyszámítás a hitelesítési szerveren történik.
A GPS-berendezések használata egyszerű és megbízható, és viszonylag olcsó. Ez lehetővé teszi olyan esetekben, amikor egy jogosult távoli felhasználónak a megfelelő helyen kell lennie.
Internetes helyalapú hitelesítésEz a mechanizmus a szerverek, vezeték nélküli hozzáférési pontok helyére vonatkozó információk felhasználásán alapul, amelyeken keresztül az internethez kapcsolódik.
A hackelés viszonylagos egyszerűsége abban rejlik, hogy a helyadatokat úgynevezett proxyszerverek vagy névtelen hozzáférési rendszerek segítségével lehet megváltoztatni.
Az utóbbi időben egyre inkább elterjedt az úgynevezett kiterjesztett, vagy többtényezős hitelesítés. Több hitelesítési tényező megosztására épül. Ez nagymértékben növeli a rendszer biztonságát.
Példa erre a SIM - kártyák használata mobiltelefonokban . Az alany behelyezi hardverkártyáját (hitelesítési eszközét) a telefonba, és bekapcsolásakor beírja PIN kódját (jelszavát).
Például néhány modern laptopban van ujjlenyomat -szkenner . Így a bejelentkezéskor az alanynak végig kell mennie ezen az eljáráson ( biometrikus adatok ), majd meg kell adnia egy jelszót .
A rendszer hitelesítésének egyik vagy másik tényezője, módszere kiválasztásakor mindenekelőtt a szükséges biztonsági fokra, a rendszer kiépítésének költségére és az alany mobilitásának biztosítására kell építeni.
Itt van egy összehasonlító táblázat:
| A kockázat szintje | Rendszerkövetelmények | Hitelesítési technológia | Alkalmazási példák |
|---|---|---|---|
| Rövid | A rendszerhez való hozzáféréshez hitelesítés szükséges, a lopás, feltörés, bizalmas információk nyilvánosságra hozatala nem jár jelentős következményekkel | Az ajánlott minimális követelmény az újrafelhasználható jelszavak használata | Regisztráció az internetes portálon |
| Átlagos | A rendszerhez való hozzáféréshez hitelesítés szükséges, és a lopás, feltörés, bizalmas információk nyilvánosságra hozatala csekély kárt okoz | Az ajánlott minimális követelmény egyszeri jelszavak használata | Teljesítmény a banki műveletek tárgya szerint |
| Magas | A rendszerhez való hozzáféréshez hitelesítés szükséges, a lopás, feltörés, bizalmas információk nyilvánosságra hozatala jelentős károkat okoz | Az ajánlott minimális követelmény a többtényezős hitelesítés használata | Fontosabb bankközi tranzakciók lebonyolítása a vezetőség által |
A hitelesítési eljárást a számítógépek közötti információcserére használják, míg nagyon összetett kriptográfiai protokollok segítségével védik a kommunikációs vonalat az interakció egyik résztvevőjének lehallgatásától vagy helyettesítésétől. És mivel rendszerint mindkét objektum esetében szükséges a hitelesítés, amely létrehozza a hálózati interakciót, a hitelesítés kölcsönös lehet.
Így a hitelesítésnek több családja különböztethető meg:
Felhasználó hitelesítés PC-n:
Hálózati Azonosítás:
A Windows NT 4 család operációs rendszerei az NTLM (NT LAN Manager) protokollt használják. A Windows 2000/2003 tartományokban pedig a sokkal fejlettebb Kerberos protokollt használják .
A hitelesítés szükséges olyan szolgáltatások eléréséhez, mint például:
A hitelesítés pozitív eredménye (a bizalmi kapcsolatok létesítésén és a munkamenet kulcs generálásán kívül) a felhasználó jogosultsága , azaz hozzáférési jogok biztosítása a feladatai ellátásához meghatározott erőforrásokhoz.
| Hitelesítési és kulcscsere protokollok | |
|---|---|
| Szimmetrikus algoritmusokkal | |
| Szimmetrikus és aszimmetrikus algoritmusokkal | |
| Az interneten használt protokollok és szolgáltatások | |