В рубрику "Оборудование и технологии" | К списку рубрик | К списку авторов | К списку публикаций
КОММЕНТАРИЙ ЭКСПЕРТАФедор Смирнов,заместитель директора службы безопасности ЗАО " Электроизолит" Защита информационных систем корпоративных пользователей является довольно сложной задачей в плане разумного баланса рисков потери или кражи информации и финансовых затрат на мероприятия по ее защите. Кража информации часто приносит более значительные убытки, чем потеря той же информации, однако если злоумышленник не пойман на месте, то руководство компании зачастую списывает уменьшение доходов на второстепенные факторы. Это происходит по нескольким причинам: - безграничное, часто ничем не обоснованное доверие своему администратору компьютерной сети и системе безопасности сети, которую он внедряет; - вера в добросовестность пользователей сети в плане использования паролей и идентификаторов. На практике имеет место совсем неидеальный вариант развития событий. Если политикой безопасности компании не предусмотрено разделение ответственности между "сетевым администратором" и "администратором безопасности сети", а также ведение достаточно детализированного сетевого аудита, то самым уязвимым звеном такой системы в плане похищения информации может являться администратор сети. Уменьшить вероятность злонамеренных действий администратора может помочь также хранение информации на сервере сети в зашифрованном виде. В этом случае информация обрабатывается на клиентских машинах и после преобразования криптографическими программами по методу прозрачного шифрования помещается на сервер. Следующим по уровню риска является недобросовестность пользователей, которые в случае парольной защиты либо пишут пароли в легко определяемых местах, либо создают легко подбираемые пароли. А в случае применения аппаратной аутентификации получается еще хуже - оставляют идентификаторы в USB-портах компьютеров (часто с написанным на них же PIN-кодом), уходя на перерывы или домой, оставляют их в столах, на рабочих местах. Известны случаи передачи USB-токена другим лицам для вывода какой-либо справки. Причем если в результате этих действий информация будет похищена и компания понесет убытки, пользователь все равно скроет факт нарушения порядка использования идентификатора. И соответственно факт похищения информации не будет доказан. Не стоит забывать, что даже при добросовестном использовании существует вероятность похищения USB-токена у владельца. Не составляет труда и подсмотреть PIN-код либо снять его с помощью клавиатурного шпиона. Кроме того, есть уязвимости, которым подвержены все системы, реализующие принцип смарт-карт или ОТР. Наиболее серьезной из них является возможность подмены сервера аутентификации. В данном случае пользователь будет отправлять свои данные злоумышленнику, который использует их для доступа к этому серверу. В случае применения метода "Запрос -ответ" компьютер хакера должен сыграть роль "посредника", пропуская через себя обмен информацией между сервером и клиентом. Средством определения именно конкретного пользователя, которому разрешен доступ к информации, а не абстрактного обладателя знания о пароле или владельца брелка-идентификтор а является использование биометрических признаков. Чтобы уменьшить риск похищения и порчи информации в корпоративных сетях за счет исключения доступа посторонних лиц и повышения ответственности персонала путем предъявления присущего только данному лицу признака, можно использовать биометрические идентификаторы. Даже в случае применения только биометрических считывателей, например считывателей отпечатков пальца, на практике достигается высокий уровень защищенности данных в корпоративной сети за счет: - однозначности распознавания пользователя по уникальным, присущим ему одному признакам; В практических реализациях считывателей отпечатков пальца используются математические защищенные шаблоны отпечатков, которые не могут быть преобразованы в изображение отпечатка пальца пользователя. Следовательно, не возникает проблем в свете требований ФЗ "О персональных данных".- невозможности хищения, утраты, подмены идентификационных признаков и овладения ими обманным путем; - предотвращения возможного обмена идентификаторами и соответствующими полномочиями пользователей; - реализации принципа "невозможности отказа" пользователя от транзакций, совершенных с применением идентификаторов, отвечающих перечисленным выше критериям. В основе сильной аутентификации лежит двух- или трех-факторный процесс проверки, по результатам которого пользователю предоставляется доступ к запрашиваемым ресурсам. На первом этапе сотрудник доказывает, что он знает пароль или PIN и имеет определенный персональный идентификатор (электронный ключ или смарт-карту), а на втором этапе предъявляет еще один тип идентификационных данных - биометрические данные. Существующий недостаток биометрических считывателей - хранение шаблона биометрических данных в недоверенной среде - легко устраняется применением комбинированных идентификаторов, основанных на двух- или трехфактор-ной аутентификации, включая уникальный PIN-код, аппаратный ключ или смарт-карту и биометрию. Цифровые шаблоны отпечатков пальцев пользователей хранятся в памяти ключа или карты. В процессе аутентификации они сравниваются с моделями отпечатков пальцев, полученных с биометрического сканера, как это реализовано, например, в продуктах компаний Dekart и BioLink Technologies, ОКБ "САПР", Transcend Information или компании "Интегратор". В любом из перечисленных вариантов сохраняется главное преимущество биометрической идентификации - точная, безопасная, быстрая и удобная аутентификация пользователя и его документальная ответственность за действия в корпоративной среде, что невозможно реализовать в случае применения других способов аутентификации. |
Опубликовано: Журнал "Information Security/ Информационная безопасность" #7+8, 2008