kiev-security.org.ua-Защита информационных систем.Управление доступом

Управление доступом. ------------------Эти процедуры сводятся к взаимному опознанию пользователя и системы и установлению факта допустимости использования ресурсов конкретным пользователем в соответствии с его запросом.Управление доступом решает задачу разрешения обслуживания системой запроса пользователя и получения доступа к файлам данных.Средства управления доступом обеспечивают защиту информации как от неавтоматизированного использования, так и от несанкционированного обслуживания системой. Защита реализуется процедурами идентификации, установления подлинности и регистрации обращений. Процедура идентификации реализует задачу присвоения каждому объекту ( пользователю, терминалу, файлу,программе или ее части)конкретного имени с целью последующего опознания и учета фактов обращения.Принятая система идентификации служит исходной предпосылкой для последующего контроля подлинности доступа. Процедура установления подлинности заключается в проверке пользователя с помощью определенной информации, позволяющей убедиться в истинности обращения. Это в одинаковой мере необходимо как для разрешения обращения к файлам ограниченного доступа, так и для оплаты израсходованного машинного времени. Установление подлинности обычно реализуется в форме диалога, в частности обменом паролями между пользователем и СОД.При обмене паролями пользователь вводит строку символов(пароль)со своего терминала. Система сверяет поступивший пароль с хранящимся в его памяти и при совпадении разрешает пользователю доступ. С целью обеспечения сохранности информации пароль используют обычно только один раз.Пользователю выдается последовательный список паролей, из которого он и система вычеркивают использованный пароль. Идентификация пользователя обычно выполняется, если задание или терминальная сессия инициируется как единица работы для операционной системы. Очевидно, что способы идентификации различны для разных операционных систем, но, как правило, идентификация пользователя осуществляется после того, как задание поступит из очереди на выполнение. Программа операционной системы, ответственная за инициализацию терминальной сессии или задания как единицы работы, называется инициализатором. В режиме пакетной обработки инициализатор получает информацию для работы с управляющей карты или от ее эквивалента, хранящегося в памяти.В интерактивной окружающей среде информация для работы поступает от пользователя по каналам связи. Если система предоставляет средство управления доступом, коды идентификации пользователя, пароли и другая информация обеспечения безопасности хранятся в таблице авторизации. Таблица авторизации может находиться в защищенной зоне основной памяти или храниться как файл данных на дополнительном устройстве. Каждый авторизованный пользователь имеет свою запись в таблице авторизации. Код идентификаци пользователя ( имя, или число, или то и другое) представляет индекс в таблице авторизации. Если кода идентификации пользователя нет, то доступ запрещается. В режиме пакетной обработки задание снимается с очереди и из последовательности выбирается следующее задание для проверки и выполнения. В окружающей среде разделенного времени сообщение об ошибке посылается пользователю. Именно здесь и осуществляется управление. Если неправильный код идентификации пользователя вводится определенное число раз, то линия связи с пользователем разъединяется, и оператор информируется о такой ситуации. После того, как правильный код идентификации использован для поиска записи в таблице авторизации, инициализатор проводит вторичную верификацию, проверяя пароль или используя другие приемы обеспечения безопасности. Вторичная верификация заключается в следующем. Пользователь входит в систему и идентифицирует себя. Система выдает пользователю псевдослучайное число, над которым он осуществляет простое преобразование по известному ему алгоритму.Получаемый результат возвращается системе. Система в свою очередь по этому же алгоритму выполняет заданное преобразование. Даже в случае прослушивания линий связи практически невозможно дешифровать алгоритм преобразования и получить доступ в систему. Другим способом проверки подлинности пользователя является диалог по методу "запрос-ответ". Пользователь должен ответить правильно на вопросы, задаваемые операционной системой из списка, хранящегося в памяти ЭВМ. В зависимости от степени важности глубина и продолжительность диалога различны. Возможна также передача операционной системой управления служебной программе пользователя для проведения диалога. Вторичная верификация в окружающей среде режима пакетной обработки ограничена. Однако тот факт, что большинство заданий в пакетном режиме обрабатывается оператором, уже является мерой безопасности. Кроме таблицы авторизации, для контроля доступом к определенному ресурсу служит матрица доступа, представляющая собой, например, список пользователей и список защищаемых объектов. Средством реализации мер безопасности данных является также способ, в котором единица работы представляется в системе.В большинстве систем единица работы представляется фиксированным блоком памяти, называемым блоком контроля задания. Для активных заданий эти блоки связываются вместе в защищенной зоне основной памяти и обращения к ним могут производиться только привилегированными программными системами. Другими словами, программа пользователя не может производить обращения к собственному блоку контроля или к такому же блоку любой другой программы. Блок контроля используется для хранения критической информации о задании, такой, как приоритет, классы привилегий, различные коды авторизации, информация таймера, параметры выполнения и контрольная информация, тогда, когда задание находится в нерабочем состоянии. Контрольная информация должна обязательно включать контрольную точку, константы регистров, информацию о распределении устройств, границах памяти, а также таблицы страниц. С целью обеспечения безопасности данных блок контроля задания содержит информацию о контрольных точках, которые программа доступа к конкретному ресурсу может определить, если пользователь затребует доступ к частному объекту и получит соответствующую авторизацию. Если программа требует доступа к макробиблиотеке, которая, например, доступна только для системных программистов, открытая программа системы управления данными ожидает проверки блока контроля пользователя. Идентификация и подтверждение подлинности могут осуществляться в процессе работы неоднократно, чтобы исключить возможность входа в систему нарушителя, выдающего себя за истинного пользователя. Запросы на идентификацию и подтверждение подлинности формулируются системными программами. Во всех случаях положительной проверки подлинности пользователь получает право работать с системой. При отрицательной проверке вся необходимая информация регистрируется и вводится временная задержка ответов на запросы этого пользователя с целью исключения раскрытия механизма защиты методом проб и ошибок. После установления подлинности пользователя в соответствии с запросом проверяются его полномочия. Для выполнения этих действий система защиты должна иметь информацию по каждому пользователю, терминалуц или другому ресурсу о допустимых процедурах со стороны запрашивающего.Все попытки входа в систему(как удачные, тавк и отвергнутые)должны регистрироваться в системном журнале с целью воссоздания при необходимости ретроспективы обращений к пользователю, терминалу, файлу, программе или любому другому ресурсу. По установленной периодичности пользователям для проверки направляются выписки из системного журнала, что позволяет следить за попытками нарушения сохранности защищаемых ресурсов и принимать необходимые меры при наличии угроз.

8. Управление доступом