Курс лекций по "Информатике"

Недостатки:

- после исчерпания  списка одноразовых ключей возникает  вопрос, какой ключ передавать следующим. Зацикливать эту последовательность нельзя, так как злоумышленник, слушающий канал связи, мог видеть всю предысторию передаваемых паролей, а значит, сможет корректно формировать пароли.

Для устранения этого недостатка, используют подход, основанный на передаче перед формированием последовательности одноразовых ключей случайного числа R  от сервера клиенту. Это случайное число будет участвовать в формировании последовательности одноразовых ключей. Когда клиент исчерпает весь список паролей сервер передает клиент другое случайное число, и сформированная последовательность ключей будет другой:

 

Лекция № 4

Технические устройства идентификации и аутентификации

При идентификации  и аутентификации пользователей  с помощью технических устройств в качестве пользовательского идентификатора используется некое техническое устройство, содержащее уникальный идентификационный код, который используется для решения задач идентификации владельца, а отдельных случаях данное устройство содержит и аутентифицирующую информацию, ограничивающее доступ к устройству. Наиболее распространенными техническими устройствами, используемыми для идентификации и аутентификации, являются:

1. iButton (Touch Memory)
2. бесконтактные радиочастотные карты Proximity
3. пластиковые карты (со штрих-кодом и магнитной полосой)
4. карты с памятью
5. смарт-карты
6. электронные ключи e-Token

Устройства iButton (Touch Memory)

Разработано Dallas Semiconductor.Представляет собой устройство идентификации пользователя, включает в себя уникальные идентификаторы, присваиваемые пользователю. Данное устройство включает в себя 3 компонента:

1. ПЗУ, которое хранит 64-разрядный код, состоит из 8-битового кода устройства, 48 бит – код идентификатора, 8 бит – контрольная сумма. Содержание ПЗУ уникально и не может быть перепрошито в дальнейшем.
2. ОЗУ (энергонезависимая статическая память) предназначена для хранения некой информации. В одном из типов эта энергонезависимая память защищена от НСД. В остальных типах – не защищена.
3. Элемент питания – встроенная литиевая батарейка 3В, питающая энергонезависимую память

После истечения 10 лет, память становится не доступна. Данное устройство может быть использовано для решения задачи идентификации (доступно только ПЗУ).

Виды устройств:

Тип (iButton)	Объем ОЗУ (байт)	Примечание
DS1990	-	Только идентификатор
DS 2400	-
DS1992	128
DS 1993	512
DS 1994	512	Таймер-календарь
DS1996	8192
DS1920	512	Термометр

 

iButton с идентификатиром

iButton с энергонезависимой памятью

Статическая память не защищена от несанкционированного доступа операции чтения и записи возможны без ограничений. Элемент питания подпитывает статическую память и буфер обмена для хранения в них информации. В случае разряда литиевой батарейки доступ возможен только к ПЗУ. Буфер используется для обеспечения корректной записи данных в статическую память для защиты от сбоев. При записи данных происходит следующий процесс: диспетчер памяти вначале записывает данные в буфер, далее читает эти данные из буфера и сравнивает их с эталонными, в случае совпадения диспетчер памяти дает команду на перенос информации из блокнотной памяти в статическую

.

iButton с энергонезависимой памятью и таймером

Данный тип  содержит внутри себя энергонезависимый  таймер, который может использоваться для защиты устройств по сроку использования.

DS1994L

 

В регистр статуса  помещают свои флаги по наступлению  событий таймер-календарь, интервальный таймер и счетчик цикла.

В регистр управления могут закладываться ограничения  на доступ к таймеру-календарю, интервальному таймеру, регистру статуса, условия для таймера-календаря, интервального таймера, счетчика цикла, для которого будут устанавливаться флаги в регистре статуса. Например, идентификатор может быть выдан пользователю на 3 месяца. В этом случае можно заложить условие установки в регистр статуса флага, говорящего об истечении срока действия идентификатора.

Преимущества: небольшая стоимость, может использоваться в промышленных приложениях «с жесткими условиями внешней среды»

Недостатки: сравнительно низкая скорость передачи информации от iButtonа к устройству чтения, большая вероятность сбоя в процессе чтения\записи.

Вообще iButton не предназначена для хранения аутентифицирующей информации в силу того, что энергонезависимая память не защищена от НСД. Однако, при использовании различных приемов на внешних устройствах его можно приспособить для хранения конфиденциальной информации. Например в устройствах «Соболь» (плата) в iButton хранятся закрытые пароли пользователей. Замок Соболь хранит некий ключ внутри себя, который используется при шифровании пароля. В iButton же в энергонезависимой памяти хранятся зашифрованные на этом ключе пароль пользователя.

Бесконтактные радиочастотные карты Proximity

 

Данное устройство используется только для идентификации владельца, хранит в себе уникальный код, используемый для идентификации, не требует четкого позиционирования перед устройством чтения, передают код на расстоянии.

Proximity-карта содержит внутри себя ПЗУ с идентификационным кодом, питающиеся через антенну при попадании в электромагнитное поле считывателя. Считыватель Proximity-карт постоянно генерирует электромагнитное излучение определенной частоты, карта, попадая в электромагнитное поле запитывается через антенну, заряжается конденсатор, который «выстреливает» идентификационным кодом на определенной частоте. Идентификационный код принимается считывателем. Сама карта элемента питания не имеет.

Пластиковые карты

Пластиковая карта  – пластина 85,6*53,9*0,76 мм, изготовлена  из специальной устойчивой к термическим и механическим воздействиям пластмассы.

Все требования к пластиковым картам изложены в стандарте ISO7816.

Данные карты  выполняют функцию идентификации  владельца, а отдельные типы карт еще и функцию аутентификации.

Выделяют 2 типа пластиковых карт: пассивные и активные.

Пассивные карты  выполняют только функцию хранения информации без её обработки в  активном режиме работы.

Активные карты  могут кроме хранения информации выполнять её обработку.

К пассивным  картам относятся карты со штрих-кодом и карты с магнитной полосой.

Карты со штрих-кодом  нашли наибольшее применение при  идентификации товаров в магазинах  и на складах. В настоящее время  часто для решения этой задачи также используют бесконтактные  радиочастотные карты.

Карты с магнитной  полосой используют магнитную полосу для хранения информации. Магнитная полоса состоит из трех дорожек, расположенных с обратной стороны карты имеют ширину 0,5 дюйма.

Первые две  дорожки используют для хранения информации, на третью дорожку информация может записываться. Однако из-за невысокой стойкости подобных карт, возможности манипулирования, запись на третью дорожку, как правило, не практикуют.

Для изготовления этих карт используют устройства типа Plextor, Cardpress.

Активные карты: относят карты-счетчики, карты с памятью и карты с микропроцессором. Данные карты позволяют выполнять обработку информации.

Карты-счетчики используются для выполнения тех  операций, которые требуют уменьшение остатка на лицевом счету держателя  карты на некоторую фиксированную  сумму. Как правило, это приложение с предоплатой.

Карты с памятью  – это перезаписываемая карта (объем памяти от 32 байт до 16 Кбайт), содержит область идентификационных данных (записывается только один раз, далее только читается без ограничений) и некий объем перезаписываемой памяти, доступ по чтению к которой не ограничен, а для осуществления записи требуется ввод секретного PIN – кода. В них реализуется защита от несанкционированной записи. Достаточно часто используется для оплаты услуг телефонной связи, для хранения неконфиденциальной информации, которую нужно защитить от несанкционированного изменения целостности.

Карты с микропроцессором используются для защиты, хранения и обработки информации, хранимой на них.

 

Архитектура SMART-карт

 

Данные карты  содержат следующие основные компоненты:

1. CPU - микропроцессор, используемый для обработки и защиты информации, хранимой и обрабатываемой на смарт-карте
2. ROM - ПЗУ, хранение ОС смарт-карты (8 Кб)
3. RAM - оперативная память (256 б), используется для временного хранения информации при выполнение криптографических операций
4. EEPROM - энергонезависимая память, используется для хранения файловой системы.
5. система ввода/вывода

Файловая система  – система каталогов, каждый из которых  отвечает за поддержку какого – либо приложения. В этих каталогах хранятся различные типы файлов. Каждый из каталогов ответственен за определенное приложение, например, электронный кошелек, ключи VPN для создания криптозащищенных тоннелей, защищенной электронной почты, ЭЦП. Для доступа к конкретному приложению и связи с ним файла требуется применение ключа, для каждого приложения такой ключ уникален. Для каждого типа объектов файловой системы определены свои операции, которые могут быть выполнены над одним типом объектов, но не могут быть применены к объектам других типов. Например, для файла ключей не определено операций чтения, зато определена операция «использовать».

 

Лекция № 5

Идентификация и аутентификация пользователей с помощью биометрических устройств

Архитектура

 

 

Например, (390, 418, 502,471,355)

        (389, 416, 501, 468, 353)

 

. Устанавливается пороговое  значение.

N – количество попыток аутентификации легальных пользователей

M – количество отказов легальным пользователям

- коэффициент ошибочных отказов

K – общее количество попыток аутентификации нелегальных пользователей

L – количество процедур аутентификации

- коэффициент ошибочных подтверждений

 

Системы контроля доступа (СКД)

Системы контроля доступа используется для реализации заданного режима доступа на охраняемый объект и реализуют следующие основные функции:

- обеспечение  санкционированного доступа сотрудников  организации и внешних посетителей  на территорию предприятия с  помощью физических идентификаторов.  В качестве ограничений по  доступу участвует номер помещения, этаж, день недели, время суток

- сигнализация  при попытках НСД;

- ведение списка  пользователей;

- учет рабочего  времени сотрудников;

- учет движения  сотрудников по организации;

- определение  текущего местоположения;

- ведение архивов событий.

Основными составными элементами СКД являются:

- устройство  чтения идентификаторов;

- исполнительные устройства (электронные замки, турникеты, шлюзы, шлагбаумы);

- ПО, которое  управляет СКД, содержит политику  разграничения доступа и осуществляет комплексный сбор и мониторинг информации;

- контроллер  управления доступом, принимает  решения о допуске\недопуске пользователя  на охраняемый объект.

По способу  управления преграждающими устройствами СКД можно поделить на следующие  типы:

- автономные (локальные) используется для управления одним или несколькими преграждающими устройствами без передачи информации на центральный пульт и без контроля со стороны оператора;

- централизованные (сетевые) используется для управления преграждающими устройствами с обменом информацией с центральным пультом, контролем и управлением системой со стороны оператора;

- универсальные – включает в себя функции как автономных, так и централизованных СКД. Работают в сетевом режиме под руководством центрального пульта, но способны перейти в автономный режим при отказе сети.

По количеству точек доступа СКД делится  на 3 класса:

- малые, для  которых единица точек доступа  - это офис;

- средние –  десятки точек доступа, тысячи  пользователей;

- большие –  сотни точек доступа, десятки тысяч пользователей.