1. Класифікація СІА по цілям і завданням інформаційної безпеки
2. Класифікація систем ідентифікації по трьом властивостям, що характеризує ідентифікатори користувача
3. література

"Електрозв'язок", № 2, лютий, 2014
Стаття Олексія Сабанова, заступника генерального директора "Аладдін Р.Д."

Сформульовано принципи класифікації систем ідентифікації і аутентифікації користувачів за ознаками виконання цілей і завдань забезпечення інформаційної безпеки. Показано, що основною метою систем ідентифікації і аутентифікації є управління доступом користувачів. Розглянуто завдання забезпечення доступності, цілісності і конфіденційності інформації обмеженого доступу при проектуванні і експлуатації систем ідентифікації і аутентифікації.

Вступ. Інтенсивний розвиток державної програми "Інформаційне суспільство (2011-2020 рр.)" [1], яка передбачає, в тому числі, будівництво інфраструктури відкритих ключів (Public Key Infrastructure, PKI), невіддільне від завдань зі створення надійної системи віддаленого електронної взаємодії (УЕВ ) користувачів і інформаційних ресурсів по відкритих каналах зв'язку, що забезпечує юридично значимий електронний документообіг, розвиток державних послуг, електронної комерції та транскордонних операцій із заданим рівнем ризиків.

Вирішити ці завдання неможливо без розвитку систем ідентифікації і аутентифікації (СІА) учасників електронної взаємодії. Засоби аутентифікації (підтвердження автентичності пред'явлених користувачем ідентифікаторів) відносяться до категорії класичних механізмів управління доступом користувачів і інформаційної безпеки (ІБ) як корпоративних, так і глобальних комунікаційних мереж [2]. Вони включають в себе створення, зміна, видалення і аудит облікових записів користувачів. Для аутентифікації стосовно завдань доступу загальновживаним став термін ААА (аутентифікація, авторизація, адміністрування); до цієї абревіатурі іноді додають четверте "А" - аудит.

Згідно з Постановою Уряду РФ від 28 листопада 2011 N 977 [3], в експлуатацію вводиться єдина система ідентифікації і аутентифікації (ЕСІА). При цьому особливої ​​актуальності набуває розробка базових принципів національної універсальної платформи захищеного доступу до інформаційних систем (ІС), що використовуються для надання державних послуг, у тому числі при переході до хмарних обчислень. Створення надійних систем управління віддаленим доступом до конфіденційної інформації, що містить, зокрема, персональні дані громадян (ПДН), для державних ІС є досить складним завданням.

Зауважимо, що з питаннями ідентифікації і аутентифікації (ІА) стикаються не тільки кожен користувач ІС, але і взагалі всі, хто мають справу з сучасними гаджетами. Перш ніж отримати можливість користуватися пристроєм, інформаційною технологією (Інтернетом, електронною поштою і т.д.) або послугою (наприклад, прикладним програмним забезпеченням), потрібно, як мінімум, ввести зареєстрований в системі ідентифікатор користувача (логін) і пароль. При всій найширшої поширеності СІА проблеми їх надійності та безпеки, питання організації таких систем, використання в них тих чи інших технологій і механізмів ІА недостатньо вивчені, а отже, далеко не в повній мірі формалізовані. І перш ніж вивчати існуючі і проектовані СІА в усьому їх різноманітті, з урахуванням різного ступеня складності реалізації, необхідно попередньо класифікувати даний тип ІС і виробити адекватні підходи до дослідження характеристик надійності і безпеки в залежності від призначення і суті застосовуваних технологій ІА.

Можливо, через складність теми автор даної статті виявив у відкритих джерелах лише дві роботи [4, 5], присвячені питанням класифікації СІА. Розроблена більше 10 років тому Р. Смітом класифікація СІА [4] стосується, головним чином, питань ІА користувачів корпоративних ІС при наданні їм мережевого доступу. В якості основного механізму аутентифікації тут розглядається пароль. За минулі роки технології зробили крок далеко вперед, запропонована Р. Смітом класифікація представляється неповною і застарілою, а термінологія, не в останню чергу через не зовсім вдалого перекладу, не стала загальноприйнятою. На жаль, всі зазначені недоліки щодо нечітких критеріїв класифікації були повторені в роботі [5].

Принципи класифікації. У роботі з теоретичних проблем використання системного аналізу [6] в якості загальних підходів опису складних систем пропонується використання принципів:

• мети;
• многоуровнего опису;
• класифікації.

Розглянемо, як можна застосувати ці принципи для систематизації та класифікації процесів ІА.

Принцип мети. Виділимо основні цілі створення СІА. В [7, 8] визначено дві основні мети аутентифікації:

• аутентифікація сторін при УЕВ;
• аутентифікація джерела даних.

Аутентифікація сторін, як правило, є онлайн-сервісом безпеки. Його основні завдання:

1. надання доступу до інформаційного ресурсу або мережі;
2. ідентифікація власника електронного підпису (ЕП) і забезпечення неспростовності при застосуванні ЕП;
3. встановлення довірчих відносин при УЕВ.

Перше завдання в повній мірі може бути застосована до СІА, оскільки системи управління доступом користувачів ІС або окремих інформаційних ресурсів включають СІА в якості однієї з підсистем. Ідентифікація власника ЕП і забезпечення неспростовності при підпису електронного документа входять в задачу надання доступу до модулів прикладного програмного забезпечення, що використовують підпис як один із сервісів безпеки. Іншими словами, завдання ідентифікації і забезпечення неспростовності також зводяться до управління доступом. Встановлення довірчих відносин є більш складним завданням, так як учасниками взаємодії можуть бути пари "пристрій-пристрій" (клас задач М2М), "користувач-пристрій" (наприклад, широко застосовувана клієнт-серверна схема) і "користувач-користувач".

Завдання класу М2М можуть вирішуватися як службами СІА, так і в рамках мережевих інфраструктурних налаштувань (наприклад, IPsec). Завдання аутентифікації "користувач-пристрій" також можуть вирішуватися як СІА, так і поза нею (приклад: SSL - Secure Socket Layer). Завдання встановлення довірчих відносин "користувач-користувач" може входити в функціонал СІА, а може вирішуватися за допомогою інших механізмів, прикладом в даному випадку є пошта PGP (Pretty Good Privacy).

Аутентифікація джерела даних є офлайн-сервісом, основним механізмом якого служить перевірка електронного підпису джерела даних. Як правило, це завдання не входить у функціонал СІА.

Таким чином, основною метою СІА є управління доступом користувачів.

Принцип багаторівневого опису. Процеси аутентифікації детально розглянуті в [9], де показано, що процес аутентифікації складається з взаємопов'язаної ланцюжка послідовно виконуваних процедур, що розділяються на два класи по відношенню до часу їх виконання. До першого класу відносяться процедури реєстрації нового користувача ІС і зберігання аутентификационной інформації (АІ), у другому класі - процедури пред'явлення АІ, протоколи обміну "претендент-яка перевіряє сторона", валідації та прийняття рішення про результат проходження претендентом процесу аутентифікації. Принципи багаторівневого моделювання кожної процедури представлені в [10]. Детальний розгляд процесів і механізмів встановлення довірчих відносин при УЕВ наводиться в [11].

На основі наведених у зазначених роботах деталізованих описів можна виконати класифікацію СІА. При цьому дуже важливим є вибір ознак і критеріїв, за якими проводиться класифікація. Покажемо, що пропонований підхід дозволяє вибрати ознаки і визначити критерії для класифікації сучасних СІА.

Класифікація СІА по цілям і завданням ІБ. В принципі, класифікувати можна що завгодно, як завгодно і за будь-якими ознаками. Питання в тому, чи буде затребувана така робота по класифікації спільнотою фахівців. Щоб уникнути долі класифікації, проведеної в [4, 5], озброїмося системним підходом.

Для визначення ознак класифікації СІА згадаємо, що аутентифікація - це один з найважливіших сервісів інформаційної безпеки [12]. Отже, пропонований сервіс безпеки повинен володіти такими властивостями захищеності, як доступність, цілісність, конфіденційність.

Основними цілями забезпечення доступності при цьому будуть забезпечення гарантій обробки запитів користувачів на аутентифікацію, поділ доступу користувачів, управління доступом, а також персоніфікація доступу, тобто жорстка прив'язка ідентифікаційної (ВД) і аутентификационной (АІ) інформації користувача до конкретної особистості. Завдання забезпечення цілісності інформації в СІА може бути розбита на цілі захисту цілісності програмного забезпечення системи, облікових записів і АІ користувачів, при цьому забезпечення цілісності АІ через складність вирішення може розглядатися як окрема мета при переході до хмарних обчислень.

Згідно з вимогами № 152-ФЗ "Про персональних даних" в СІА повинна забезпечуватися конфіденційність облікових записів і АІ користувачів. Як показано в [11], АІ користувачів найкраще захищена, якщо в якості механізму аутентифікації виступає електронний підпис, при цьому найбезпечніше застосовувати персональні призначені для користувача пристрої класу SSCD (Secure Signature Creation Device - пристрої апаратної генерації ключової інформації для підпису всередині чіпів, спеціально спроектованих за вимогами ІБ).

На малюнку представлена ​​класифікація СІА за ознаками виконання основних цілей і завдань ІБ в наочній формі.

Класифікація СІА по цілям і завданням інформаційної безпеки

Розглянемо докладніше завдання, зображені на малюнку, при цьому зупинимося на найбільш суттєвих задачах СІА. Так, для забезпечення доступу всіх зареєстрованих в ІС користувачів необхідно проектувати СІА з урахуванням її відмовостійкості по відношенню до запитів на аутентифікацію. Звичайно, продуктивність СІА, як правило, надлишкова, адже пікові навантаження по аутентифікації користувачів зазвичай припадають на півгодинні періоди часу початку і закінчення робочого дня, а в решту часу обчислювальні потужності серверів аутентифікації можуть бути задіяні для інших завдань. Проте в технічному завданні на проектування СІА слід задавати максимальний час обробки запитів на аутентифікацію в залежності від інтенсивності вхідного потоку заявок λ. Основною умовою гарантованої обробки заявок в заданий час, як випливає з [10], є співвідношення λ / μ

Як показано в [8], процесу аутентифікації завжди передує процес ідентифікації. Тому при класифікації СІА спочатку врахуємо основні способи ідентифікації (СІ). Можна виділити три незалежні групи властивостей ідентифікаторів:

1. властивості ідентифікаторів як характеристик приналежності (власності): універсальний (У), що формується і видається на федеральному рівні; корпоративний (К); особистий (Л);
2. властивість ідентифікаторів розпізнавати особистість власника: анонімний (Х) або персональний (П);
3. характеристика доступу власника до ресурсів: одноразовий (О) або багаторазовий (М).

Аналіз показує, що у фізичному і віртуальному світі з 12 можливих реалізується лише сім комбінацій. Класифікація СІ з пояснювальними прикладами з реального життя і в віртуальному просторі наводиться в таблиці.

Класифікація систем ідентифікації по трьом властивостям, що характеризує ідентифікатори користувача

Наведемо кілька прикладів СІ, що використовують комбінації перерахованих вище властивостей ідентифікаторів. Так, УХМ означає спосіб ідентифікації за допомогою універсального анонімного ідентифікатора багаторазового дії. У фізичному світі це може бути купюра встановленого зразка: грошовий знак анонімний, приймається скрізь (універсальний). Опустивши монетку в монетоприемник, можна пройти в трамвай, метро (в деяких містах), на атракціон, в туалет і т.п. У віртуальному світі такого СІ відповідають платні послуги, які не потребують ідентифікації користувача, наприклад доступ до Мережі з інтернет-кафе.

УПМ - аналогом такого пропуску в паперовому світі є посвідчення особи, оформлене федеральної організацією. Це може бути цивільний паспорт, ліцензія на право керування транспортним засобом ( "права"), військовий квиток і т.п. У віртуальному світі документу, прийнятому всюди, також буде відповідати ідентифікатор, що міститься в базах даних (реєстрах) федерального рівня. Приклади: ІПН, СНІЛС, електронний паспорт, поліс ОМС і т.п.

Прикладом КПМ (корпоративного персонального багаторазового ідентифікатора) у фізичному світі служить паперовий пропуск на територію установи або організації, в електронному світі йому відповідає смарт-карта, виконана у вигляді пропуску в корпоративному виконанні.

На відміну від систем ідентифікації СІА є на порядок складнішими інтелектуальними системами. Нагадаємо, що аутентифікація (А) - процес, що складається з пов'язаних подпроцессов підтвердження автентичності пред'явлених ідентифікаторів за допомогою аутентифікатора і підтвердження належності цього аутентифікатора конкретному власнику.

У розвиток класифікації [5] і використовуючи результати роботи [11], виділимо наступні типи СІА:

Локальна. Цей тип повністю збігається з представленим в [5]. Служби аутентифікації розташовані на кожному пристрої, там же проводиться процес А за допомогою одного валідатора (механізму А, якому довіряє власник ресурсу) і приймається рішення про доступ. Прикладами локальної А є персональний комп'ютер, ноутбук, стільниковий телефон.

Пряма. Також збігається з [5]. Власник ресурсу в процесі А довіряє одному валідатора, розташованих у межах захищеного периметра локальної обчислювальної мережі (ЛОМ). Прямий А називається тому, що всі користувачі, що бажають отримати доступ до ресурсу, безпосередньо проходять процес А, пред'являючи аутентифікатор валідатора. Прикладом СІА прямого типу є невеликі організації чисельністю до 20 робочих місць.

Доменна. Відрізняється від прямої тим, що одному валідатора, розташованих у межах захищеного периметра ЛВС, довіряють власники багатьох ресурсів, розташованих в ЛВС. У кількісному відношенні СІА доменного типу переважають в сегментах малого і середнього бізнесу.

Ієрархічна. Відрізняється від доменної наявністю підлеглих доменів. В ієрархічній схемі СІА доступ користувачам може надавати підлеглий домен, проте в центрі є база даних облікових записів користувачів, які мають право керування доступом. Типовим прикладом таких СІА є організація з розгалуженою філіальною мережею.

Розподілена мережева. Відрізняється від доменної наявністю безлічі доменів, пов'язаних між собою трастовими (довіреними) відносинами. У кожному домені незалежно проводиться процес А і приймається рішення про доступ. Такі СІА характерні для великих корпорацій і холдингів.

Мостова. Відрізняється від розподіленої мережевої наявністю ДТЗ (Довіреною третьої сторони). СІА мостового типу характерні для відомчого взаємодії з розвиненим електронним документообігом.

Браузерна. Відрізняється від бруківки механізмом А, заснованим на організації захищеного каналу зв'язку клієнт-сервер на сесійному рівні. ДТС може перебувати на цьому ж сервері. Одним з яскравих прикладів СІА браузерного типу є портал державних послуг.

Браузерна з трансляцією довіри. Цей тип СІА поки мало відомий в Російській Федерації через нерозвиненість публічних хмарних сервісів. Призначений для забезпечення доступу до хмарних сервісів і ІС, в яких немає облікового запису даного користувача. Відрізняється від браузерної наявністю завдання транслювання довіри до аутентифікації, яку користувач успішно пройшов в первинної ІС, в інші ІС, куди даному користувачеві необхідно надати доступ. Це завдання, як правило, вирішується із застосуванням федеративної системи трансляції довіри, представленої в багатьох публікаціях, зокрема в [13].

Зауважимо, що класифікувати СІА можна також за такими ознаками:

• за механізмом аутентифікації (валідатора): пароль, ОТР (One-Time-Password), закритий ключ; приклад такої класифікації розглянуто в [8];
• за видами доступу (дискреційний, мандатний, рольової); така класифікація найбільш актуальна для корпоративних систем, приклад наводиться в [5].

Висновок. Запропоновано принципи класифікації систем ідентифікації і аутентифікації. На основі аналізу відмовостійкості і завдань ідентифікації і аутентифікації показано, що можна докладно розглянути кожну задачу СІА, пов'язану із забезпеченням ІБ. Запропонована класифікація носить концептуальний характер.

Автор сподівається, що дана стаття буде обговорюватися в середовищі фахівців і викличе відгуки, що дозволить уточнити запропонований підхід до класифікації СІА.

У розвиток роботи передбачається проведення дослідження рівнів достовірності та надійності СІА, класифікованих за розглянутими ознаками.

література

1. Розпорядження Уряду РФ від 25 грудня 2013 р № 2516-р "Концепція розвитку механізмів надання державних і муніципальних послуг в електронному вигляді".
2. Груші А.А., Применко Е.А., Тимонина Е.Е. Теоретичні основи комп'ютерної безпеки. - М .: Академія 2009.
3. Постанова Уряду РФ від 28 листопада 2011 року № 977 "Про федеральної державну інформаційну систему" Єдина система ідентифікації і аутентифікації в інфраструктурі, яка забезпечує інформаційно-технологічну взаємодію інформаційних систем, використовуваних для надання державних і муніципальних послуг в електронній формі ".
4. Р. Сміт. Аутентифікація: від паролів до відкритих ключів. - М .: Вільямс, 2002.
5. Запечніков С.В., Милославська Н.Г., Толстой А.І., Ушаков Д.В. Інформаційна безпека відкритих систем / Уч. для вузів. Т. 2. - М .: Гаряча лінія-Телеком, 2006.
6. Цигічко В.Н. Прогнозування соціально-економічних процесів. Вид. 3. - М .: УРСС. 2009.
7. ДСТУ ISO / IEC 9594-8-98. Інформаційна технологія. Взаємозв'язок відкритих систем / Довідник. Ч. 8. Основи аутентифікації.
8. Сабанов А.Г. Класифікація процесів аутентифікації // Питання захисту інформації. - 2013. - № 3.
9. Сабанов А.Г. Основні процеси аутентифікації // Питання захисту інформації. - 2012. - № 3.
10. Сабанов А.Г. Моделі для дослідження безпеки та надійності процесів аутентифікації // Електрозв'язок. - 2013. - № 10.
11. Сабанов А.Г. Аутентифікація як частина єдиного простору довіри // Електрозв'язок. - 2012. - № 8.
12. Сабанов А.Г. Методи дослідження надійності віддаленої аутентифікації // Електрозв'язок. - 2012. - № 10.
13. State Identity Credential and Access Management (SICAM). Guidance and Roadmap. Sept. 2012. URL: http://www.nascio.org/publications/documents/SICAM.pdf.