Структура ролевого разграничения доступа.

Для защиты информации обычно используются многофакторная идентификация и аутентификация пользователя для его

авторизации в системе.Тонкую настройку разграничения уровней доступа к

конфиденциальной информации обычно реализуют на основе ролевого разграничения дос-

тупа. Однако в случае смены пользователей и их ролей резко возрастает опасность

компрометации ценной информации. Кроме того, остается нерешенным вопрос об опера-

тивном изменении и синхронизации конфиденциальных данных, относящихся к пользо-

Такая система позволяет решать следующие задачи: аутентификация пользователя;

безопасная синхронизация конфиденциальных данных; разграничение доступа пользова-

телей при работе с частично изменяемой информацией на удаленном компьютере автома-

тизированной системы, управляемой с сервера в головной организации.

Предлагаемая компьютерная система (рис. 1) состоит из сервера (включенного в ло-

кальную сеть головной организации), связанного с удаленными подсетями филиалов ор-

ганизации при помощи компьютерной сети. Поскольку дополнительных требований безо-

пасности к сети связи не предъявляется, это может быть сеть Интернет. Сервер хранит

базу данных с учетными записями пользователей (логины и пароли), а также список дос-

тупных пользователям ролей. Такую базу данных назовём базой данных пользователей и

ролей, а информацию, отнесенную к одному пользователю, выступающему в текущей

роли, назовем текущей записью пользователя.

На этапе загрузки операционной системы на клиентском компьютере происходит

синхронизация базы данных пользователей и ролей. Для этого используется модифициро-

ванный протокол rsync [5], работающий в защищенном режиме с использованием крип-

тографических методов при обмене информацией [4]. Главная изменяемая администрато-

ром безопасности база данных пользователей и ролей филиала расположена на сервере

На клиентский компьютер по защищенному каналу передаются лишь изменения,

внесённые на сервере головной организации. Возможность изменения базы данных поль-

Ролевое разграничение доступа реализовано на основе пакета RSBAC (Rule Set Based

Access Control), в частности, с использованием его модуля RC, определяющего правила

ролевого разграничения доступа [4]. Использование такой системы приводит к тому, что

на клиентском компьютере пользователь может авторизоваться только если ему разреше-

но в это время находиться в данном филиале по своим служебным обязанностям (огра-

ничение по времени) и только с той ролью, что соответствует хранящейся в базе данных

Процедура аутентификации пользователя на автоматизированном рабочем месте про-

исходит следующим образом. Сотрудник, роль которого подходит, чтобы воспользовать-

ся ресурсами данного автоматизированного рабочего места в режиме аудита, подключает

свой USB FLASH. В этом случае происходит чтение идентификатора и пароля FLASH-

устройства, который сверяется с извлеченным из синхронизованной базы данных поль-БЕЗОПАСНОСТЬ ТЕЛЕКОММУНИКАЦИОННЫХ СИСТЕМ

зователей и ролей. При успешном окончании этой операции система просит пользователя

выполнить дополнительную процедуру аутентификации с клавиатуры путем ввода пароля

пользователя, что исключает компрометацию идентификатора на USB FLASH-устройстве,

Разметку USB FLASH-устройства проводит администратор безопасности при помощи

специализированной утилиты сервера единовременно при создании нового пользователя.

Успешная аутентификация пользователя приводит к авторизации его в системе. При

этом пользователю становится доступна лишь защищенная папка на компьютере. В ней

могут сохраняться введенные с клавиатуры документы. После авторизации и в процессе

завершения сеанса работы в системе происходит синхронизация этой защищенной папки

с информацией в базе данных на сервере головной организации. Процедура выполняется

во временных рамках, заданных расписанием работы пользователя [4]. Временные рам-

ки задаются указанием даты и времени начала и конца, соответственно, легитимности

текущей записи пользователя и являются часть такой записи в базе данных пользовате-

лей и ролей. При первом разрешенном входе пользователя защищенная папка создается,

вне временных рамок при старте системы защищенная папка удаляется.

Предложенная защищенная компьютерная система, включающая сервер головной ор-

ганизации и набор автоматизированных рабочих мест пользователя в каждом удаленном

филиале, позволяет повысить надежность защиты часто изменяемой информации и пред-

ставляется эффективной для проведении аудита филиалов в распределенной организации.

20) Аутентифика́ция (англ. Authentication) — процедура проверки подлинности[1], например: проверка подлинности пользователя путём сравнения введённого им пароля с паролем в базе данных пользователей; подтверждение подлинности электронного письма путём проверки цифровой подписи письма по ключу проверки подписи отправителя; проверка контрольной суммы файла на соответствие сумме, заявленной автором этого файла.

Ещё до появления компьютеров использовались различные отличительные черты субъекта, его характеристики. Сейчас использование той или иной характеристики в системе зависит от требуемой надёжности, защищенности и стоимости внедрения. Выделяют 3 фактора аутентификации[4]:

Что-то, что мы знаем — пароль. Это секретная информация, которой должен обладать только авторизованный субъект. Паролем может быть речевое слово, текстовое слово, комбинация для замка или персональный идентификационный номер (PIN). Парольный механизм может быть довольно легко реализован и имеет низкую стоимость. Но имеет существенные минусы: сохранить пароль в секрете зачастую бывает проблематично, злоумышленники постоянно придумывают новые методы кражи, взлома и подбора пароля (см. бандитский криптоанализ). Это делает парольный механизм слабозащищенным.

Что-то, что мы имеем — устройство аутентификации. Здесь важен факт обладания субъектом каким-то уникальным предметом. Это может быть личная печать, ключ от замка, для компьютера это файл данных, содержащих характеристику. Характеристика часто встраивается в специальное устройство аутентификации, например, пластиковая карта, смарт-карта. Для злоумышленника заполучить такое устройство становится более проблематично, чем взломать пароль, а субъект может сразу же сообщить в случае кражи устройства. Это делает данный метод более защищенным, чем парольный механизм, однако, стоимость такой системы более высокая.

Что-то, что является частью нас — биометрика. Характеристикой является физическая особенность субъекта. Это может быть портрет, отпечаток пальца или ладони, голос или особенность глаза. С точки зрения субъекта, данный метод является наиболее простым: не надо ни запоминать пароль, ни переносить с собой устройство аутентификации. Однако, биометрическая система должна обладать высокой чувствительностью, чтобы подтверждать авторизованного пользователя, но отвергать злоумышленника со схожими биометрическими параметрами. Также стоимость такой системы довольно велика. Но несмотря на свои минусы, биометрика остается довольно перспективным фактором.

ЧТО И КАК ПИСАЛИ О МОДЕ В ЖУРНАЛАХ НАЧАЛА XX ВЕКА Первый номер журнала «Аполлон» за 1909 г. начинался, по сути, с программного заявления редакции журнала...

Что делает отдел по эксплуатации и сопровождению ИС? Отвечает за сохранность данных (расписания копирования, копирование и пр.)...

ЧТО ПРОИСХОДИТ ВО ВЗРОСЛОЙ ЖИЗНИ? Если вы все еще «неправильно» связаны с матерью, вы избегаете отделения и независимого взрослого существования...

Что делать, если нет взаимности? А теперь спустимся с небес на землю. Приземлились? Продолжаем разговор...

Не нашли то, что искали? Воспользуйтесь поиском гугл на сайте: