Главный Каталог Статей РФ
69085 авторов, размещено 45612 статей, сейчас на сайте пользователей: 30 Статистика
Аватар Prutkov

Парольные системы идентификации и аутентификации пользователей

Категория:  Безопасность  | Автор:  Prutkov | Опубликовано: 07.09.2009
Парольные системы идентификации/аутентификации является одними из основных и наиболее распространенных в СЗИ методов пользовательской аутентификации. В данном случае информацией, аутентифицирующей пользователя, является некоторый секретный пароль, известный только легальному пользователю.
Совокупность идентификатора и пароля пользователя - основные составляющие его учетной записи. База данных пользователей парольной системы содержит учетные записи всех пользователей КС.
Парольные системы являются зачастую «передним краем обороны» всей системы безопасности. Отдельные ее элементы могут быть расположены в местах, открытых для доступа потенциальному злоумышленнику (в том числе и база данных учетных записей пользователей). В связи с этим, парольные системы становятся одним из наиболее привлекательных для злоумышленника объектов атаки. Основными типами угроз безопасности парольных систем являются следующие.
1. Перебор паролей в интерактивном режиме.
2. Подсмотр пароля.
3. Преднамеренная передача пароля его владельцем другому лицу.
4. Кража базы данных учетных записей с дальнейшим ее анализом, подбором пароля.
5. Перехват вводимого пароля путем внедрения в КС программных закладок (клавиатурных шпионов); перехват пароля, передаваемого по сети.
6. Социальная инженерия.
Многие недостатки парольных систем связаны с наличием человеческого фактора, который проявляется в том, что пользователь, зачастую, стремится выбрать пароль, который легко запомнить (а значит и подобрать), записать сложно запоминаемый пароль. Легальный пользователь способен ввести пароль так, что его могут увидеть посторонние, передать пароль другому лицу намеренно или под влиянием заблуждения.
Для уменьшения деструктивного влияния человеческого фактора необходимо реализовать ряд требований к выбору и использованию паролей
1. Задание минимальной длины пароля для затруднения подбора пароля злоумышленником «в лоб» (полный перебор, brute-forcing) и подсмотра.
2. Использование в пароле различных групп символов для усложнения подбора злоумышленником пароля «в лоб».
3. Проверка и отбраковка пароля по словарю для затруднения подбора пароля злоумышленником с использованием словарей.
4. Установление максимального срока действия пароля для затруднения подбора пароля злоумышленником «в лоб», в том числе и в режиме «off-line» при взломе предварительно похищенной базы данных учетных записей пользователей.
5. Применение эвристического алгоритма, бракующего «плохие» пароли для усложнения подбора пароля злоумышленником «по словарю» или с использованием эвристического алгоритма.
6. Ограничение числа попыток ввода пароля для предотвращения интерактивного подбора пароля злоумышленником.
7. Использование задержки при вводе неправильного пароля для предотвращения интерактивного подбора пароля злоумышленником.
8. Поддержка режима принудительной смены пароля пользователя для эффективности реализации требования, ограничивающего максимальный срок действия пароля.
9. Запрет на выбор пароля самим пользователем и автоматическая генерация паролей для затруднения использования злоумышленником эвристического алгоритма подбора паролей.
Количественная оценка стойкости парольных систем может быть выполнена с помощью следующего подхода
Пусть A – мощность алфавита паролей (количество символов, которые могут быть использованы при составлении пароля). Например, если при составлении пароля могут быть использованы только малые английские буквы, то A=26
L – длина пароля.
- число всевозможных паролей длины L, которые можно со-ставить из символов алфавита A. S также называют пространством атаки.
V – скорость перебора паролей злоумышленником.
T – максимальный срок действия пароля.
Тогда, вероятность P подбора пароля злоумышленником в течении срока его действия Т определяется по следующей формуле.
Эту формулу можно обратить для решения следующей задачи:

Справочник по информационной безопасности - Do-protect.ru
Комментарии
К этой статье пока нет комментариев. Станьте первым! У нас гости не могут комментировать статьи. Пожалуйста авторизуйтесь или зарегистрируйтесь, чтобы прокомментировать.
Интересные статьи по теме
Аватар kern
Безопасность для интернет-пользователя: анонимайзеры, прокси, VPN Какие цели преследуют пользователи сети Интернет, использующие анонимайзеры и другие средства защиты персональных данных?...
Категория: Безопасность | Автор: kern | Добавлено: 08.08.2013
Аватар radiobug
Шпионские очки с камерой. В мире шпионских гаджетов появилась новинка, требующая несомненного рассмотрения. Солнечные очки со встроенной шпионской камерой. Дизайн очков сложно назвать классическим, носить их в купе с элегантны...
Категория: Безопасность | Автор: radiobug | Добавлено: 26.10.2009
Аватар Dmitrii
Какой антивирус лучше, Kaspersky (Касперский) или Dr.Web (Доктор Веб)! Какой антивирус лучше, Kaspersky (Касперский) или Dr.Web (Доктор Веб)!...
Категория: Безопасность | Автор: Dmitrii | Добавлено: 10.10.2009
Аватар spora69
Инструкция снятия/постановки Барьер-8. Подробная инструкция как поставить на охрану или снять с охраны, охранный прибор "Барьер-8"...
Категория: Безопасность | Автор: spora69 | Добавлено: 06.10.2009
Аватар spora69
Инструкция постановки/снятия Барьер-16. Подробная инструкция о том, как поставить на сигнализацию или снять с сигнализации, охранный прибор "Барьер-16"...
Категория: Безопасность | Автор: spora69 | Добавлено: 06.10.2009
Лучшие авторы
Аватар newzeland
Увлекаюсь спортивной обувью, маркетингом и копирайтином.

Читать

Аватар Second Life
Активный пользователь виртуального мира Second Life

Читать

Аватар ded004
дед мороз рунета

Читать

Аватар eyesky
Информационно-развлекательный портал eyesky.ru при...

Читать

Аватар Inna
Работодатель www.bridesandlovers.com/ru

Читать

Свежие комментарии
Ув. Queen Bazi, Вы настоящая королева в бацзы! Я каждый день хожу на в...

Читать

Беговая дорожка которая используется для бега, а не для ходьбы. Она ре...

Читать

Спасибо за полезную информацию, эти знания и правду пригодятся многим ...

Читать

Считаю, что Minecraft заслуживает популярности, потому что хорошо влия...

Читать

Обсолютно согласен

Читать

Напишите нам