Идентификация и аутентификация представляют собой основу современных программно-технических средств безопасности, так как любые другие сервисы в основном рассчитаны на обслуживание указанных субъектов. Эти понятия представляют собой своеобразную первую линию обороны, обеспечивающую пространства организации.
Что это такое?
Идентификация и аутентификация имеют разные функции. Первая предоставляет субъекту (пользователю или процессу, который действует от его имени) возможность сообщить собственное имя. При помощи аутентификации уже вторая сторона окончательно убеждается в том, что субъект действительно представляет собой того, за кого он себя выдает. Нередко в идентификация и аутентификация заменяются словосочетаниями «сообщение имени» и «проверка подлинности».
Сами они подразделяются на несколько разновидностей. Далее мы рассмотрим, что собой представляют идентификация и аутентификация и какими они бывают.
Аутентификация
Данное понятие предусматривает два вида: одностороннюю, когда клиент предварительно должен доказать серверу свою подлинность, и двустороннюю, то есть когда ведется взаимное подтверждение. Стандартный пример того, как проводится стандартная идентификация и аутентификация пользователей, - это процедура входа в определенную систему. Таким образом, разные типы могут использоваться в различных объектах.
В сетевой среде, когда идентификация и аутентификация пользователей осуществляются на территориально разнесенных сторонах, рассматриваемый сервис отличается двумя основными аспектами:
- что выступает в качестве аутентификатора;
- как именно был организован обмен данными аутентификации и идентификации и как обеспечивается его защита.
Чтобы подтвердить свою подлинность, субъектом должна быть предъявлена одна из следующих сущностей:
- определенная информация, которая ему известна (личный номер, пароль, специальный криптографический ключ и т. д.);
- определенная вещь, которой он владеет (личная карточка или какое-то другое устройство, имеющее аналогичное назначение);
- определенная вещь, являющаяся элементом его самого (отпечатки пальцев, голос и прочие биометрические средства идентификации и аутентификации пользователей).
Особенности систем
В открытой сетевой среде стороны не имеют доверенного маршрута, а это говорит о том, что в общем случае информация, передаваемая субъектом, может в конечном итоге не совпадать с информацией, полученной и используемой при проверке подлинности. Требуется обеспечение безопасности активного и пассивного прослушивания сети, то есть защита от корректировки, перехвата или воспроизведения различных данных. Вариант передачи паролей в открытом виде является неудовлетворительным, и точно так же не может спасти положение и шифрование паролей, так как им не обеспечивается защита от воспроизведения. Именно поэтому сегодня используются более сложные протоколы аутентификации.
Надежная идентификация имеет трудности не только по причине различных но еще и по целому ряду других причин. В первую очередь практически любые аутентификационные сущности могут похищаться, подделываться или выведываться. Также присутствует определенное противоречие между надежностью используемой системы, с одной стороны, и удобствами системного администратора или пользователя - с другой. Таким образом, из соображения безопасности требуется с некоторой частотой запрашивать у пользователя повторное введение его аутентификационной информации (так как вместо него может уже сидеть какой-нибудь другой человек), а это не только создает дополнительные хлопоты, но еще и значительно увеличивает шанс на то, что кто-то может подсматривать ввод информации. Помимо всего прочего, надежность средства защиты существенно сказывается на его стоимости.
Современные системы идентификации и аутентификации поддерживают концепцию единого входа в сеть, что в первую очередь позволяет удовлетворять требования в плане удобства для пользователей. Если стандартная корпоративная сеть имеет множество информационных сервисов, предусматривающих возможность независимого обращения, то в таком случае многократное введение личных данных становится чересчур обременительным. На данный момент пока еще нельзя сказать, что использование единого входа в сеть считается нормальным, так как доминирующие решения еще не сформировались.
Таким образом, многие стараются найти компромисс между доступностью по цене, удобством и надежностью средств, которыми обеспечивается идентификация/аутентификация. Авторизация пользователей в данном случае осуществляется по индивидуальным правилам.
Отдельное внимание стоит уделить тому, что используемый сервис может быть выбран в качестве объекта атаки на доступность. Если выполнена таким образом, чтобы после некоторого числа неудачных попыток возможность ввода была заблокирована, то в таком случае злоумышленниками может останавливаться работа легальных пользователей путем буквально нескольких нажатий клавиш.
Парольная аутентификация
Главным достоинством такой системы является то, что она является предельно простой и привычной для большинства. Пароли уже давным-давно используются операционными системами и другими сервисами, и при грамотном использовании ими обеспечивается уровень безопасности, который является вполне приемлемым для большинства организаций. Но с другой стороны, по общей совокупности характеристик подобные системы представляют собой самое слабое средство, которым может осуществляться идентификация/аутентификация. Авторизация в таком случае становится достаточно простой, так как пароли должны быть запоминающимися, но при этом простые комбинации нетрудно угадать, особенно если человек знает пристрастия конкретного пользователя.
Иногда бывает так, что пароли, в принципе, не держатся в секрете, так как имеют вполне стандартные значения, указанные в определенной документации, и далеко не всегда после того, как устанавливается система, их меняют.
При вводе пароль можно посмотреть, причем в некоторых случаях люди используют даже специализированные оптические приборы.
Пользователи, основные субъекты идентификации и аутентификации, нередко могут сообщать пароли коллегам для того, чтобы те на определенное время подменили владельца. В теории в таких ситуациях будет правильнее всего применять специальные средства управления доступом, но на практике это никем не используется. А если пароль знают два человека, это крайне сильно увеличивает шансы на то, что в итоге о нем узнают и другие.
Как это исправить?
Есть несколько средств, как может быть защищена идентификация и аутентификация. Компонент обработки информации может обезопаситься следующим:
- Наложением различных технических ограничений. Чаще всего устанавливаются правила на длину пароля, а также содержание в нем определенных символов.
- Управлением срока действия паролей, то есть необходимостью их периодической замены.
- Ограничением доступа к основному файлу паролей.
- Ограничением общего количества неудачных попыток, доступных при входе в систему. Благодаря этому злоумышленниками должны выполняться только действия до выполнения идентификации и аутентификации, так как метод перебора нельзя будет использовать.
- Предварительным обучением пользователей.
- Использованием специализированных программных генераторов паролей, которые позволяют создавать такие комбинации, которые являются благозвучными и достаточно запоминающимися.
Все указанные меры могут использоваться в любом случае, даже если вместе с паролями будут применяться также и другие средства аутентификации.
Одноразовые пароли
Рассмотренные выше варианты являются многоразовыми, и в случае раскрытия комбинации злоумышленник получает возможность выполнять определенные операции от имени пользователя. Именно поэтому в качестве более сильного средства, устойчивого к возможности пассивного прослушивания сети, используются одноразовые пароли, благодаря которым система идентификации и аутентификации становится гораздо более безопасной, хоть и не такой удобной.
На данный момент одним из наиболее популярных программных генераторов одноразовых паролей является система под названием S/KEY, выпущенная компанией Bellcore. Основная концепция этой системы заключается в том, что имеется определенная функция F, которая известна как пользователю, так и серверу аутентификации. Далее представлен секретный ключ К, который известен только определенному пользователю.
При начальном администрировании пользователя данная функция используется к ключу определенное количество раз, после чего происходит сохранение полученного результата на сервере. В дальнейшем процедура проверки подлинности выглядит так:
- На пользовательскую систему от сервера приходит число, которое на 1 меньше количества раз использования функции к ключу.
- Пользователем используется функция к имеющемуся секретному ключу то количество раз, которое было установлено в первом пункте, после чего результат отправляется через сеть непосредственно на сервер аутентификации.
- Сервером используется данная функция к полученному значению, после чего результат сравнивается с сохраненной ранее величиной. Если результаты совпадают, то в таком случае подлинность пользователя является установленной, а сервер сохраняет новое значение, после чего снижает счетчик на единицу.
На практике реализация данной технологии имеет несколько более сложную структуру, но на данный момент это не столь важно. Так как функция является необратимой, даже в случае перехвата пароля или получения несанкционированного доступа к серверу аутентификации не предоставляет возможности получить секретный ключ и каким-либо образом предсказать, как конкретно будет выглядеть следующий одноразовый пароль.
В России в качестве объединенного сервиса используется специальный государственный портал - "Единая система идентификации/аутентификации" ("ЕСИА").
Еще один подход к надежной системе аутентификации заключается в том, чтобы новый пароль генерировался через небольшие промежутки времени, что тоже реализуется через использование специализированных программ или различных интеллектуальных карт. В данном случае сервер аутентификации должен воспринимать соответствующий алгоритм генерации паролей, а также определенные ассоциированные с ним параметры, а помимо этого, должна присутствовать также синхронизация часов сервера и клиента.
Kerberos
Впервые сервер аутентификации Kerberos появился в середине 90-х годов прошлого века, но с тех пор он уже успел получить огромнейшее количество принципиальных изменений. На данный момент отдельные компоненты данной системы присутствуют практически в каждой современной операционной системе.
Главным предназначением данного сервиса является решение следующей задачи: присутствует определенная незащищенная сеть, и в ее узлах сосредоточены различные субъекты в виде пользователей, а также серверных и клиентских программных систем. У каждого такого субъекта присутствует индивидуальный секретный ключ, и для того чтобы у субъекта С появилась возможность доказать собственную подлинность субъекту S, без которой тот попросту не станет его обслуживать, ему необходимо будет не только назвать себя, но еще и показать, что он знает определенный секретный ключ. При этом у С нет возможности просто отправить в сторону S свой секретный ключ, так как в первую очередь сеть является открытой, а помимо этого, S не знает, да и, в принципе, не должен знать его. В такой ситуации используется менее прямолинейная технология демонстрации знания этой информации.
Электронная идентификация/аутентификация через систему Kerberos предусматривает ее использование в качестве доверенной третьей стороны, которая имеет информацию о секретных ключах обслуживаемых объектов и при необходимости оказывает им помощь в проведении попарной проверки подлинности.
Таким образом, клиентом сначала отправляется в систему запрос, который содержит необходимую информацию о нем, а также о запрашиваемой услуге. После этого Kerberos предоставляет ему своеобразный билет, который шифруется секретным ключом сервера, а также копию некоторой части данных из него, которая засекречивается ключом клиента. В случае совпадения устанавливается, что клиентом была расшифрована предназначенная ему информация, то есть он смог продемонстрировать, что секретный ключ ему действительно известен. Это говорит о том, что клиент является именно тем лицом, за которое себя выдает.
Отдельное внимание здесь следует уделить тому, что передача секретных ключей не осуществлялась по сети, и они использовались исключительно для шифрования.
Проверка подлинности с использованием биометрических данных
Биометрия включает в себя комбинацию автоматизированных средств идентификации/аутентификации людей, основанную на их поведенческих или физиологических характеристиках. Физические средства аутентификации и идентификации предусматривают проверку сетчатки и роговицы глаз, отпечатков пальцев, геометрии лица и рук, а также другой индивидуальной информации. Поведенческие же характеристики включают в себя стиль работы с клавиатурой и динамику подписи. Комбинированные методы представляют собой анализ различных особенностей голоса человека, а также распознавание его речи.
Такие системы идентификации/аутентификации и шифрования используются повсеместно во многих странах по всему миру, но на протяжении длительного времени они отличались крайне высокой стоимостью и сложностью в применении. В последнее же время спрос на биометрические продукты значительно увеличился по причине развития электронной коммерции, так как, с точки зрения пользователя, намного удобнее предъявлять себя самого, чем запоминать какую-то информацию. Соответственно, спрос рождает предложение, поэтому на рынке начали появляться относительно недорогие продукты, которые в основном ориентированы на распознавание отпечатков пальцев.
В преимущественном большинстве случаев биометрия используется в комбинации с другими аутентификаторами наподобие Нередко биометрическая аутентификация представляет собой только первый рубеж защиты и выступает в качестве средства активизации интеллектуальных карт, включающих в себя различные криптографические секреты. При использовании данной технологии биометрический шаблон сохраняется на этой же карте.
Активность в сфере биометрии является достаточно высокой. Уже существует соответствующий консорциум, а также довольно активно ведутся работы, направленные на стандартизацию различных аспектов технологии. Сегодня можно увидеть множество рекламных статей, в которых биометрические технологии преподносятся в качестве идеального средства обеспечения повышенной безопасности и при этом доступного широким массам.
ЕСИА
Система идентификации и аутентификации ("ЕСИА") представляет собой специальный сервис, созданный для того, чтобы обеспечить реализацию различных задач, связанных с проверкой подлинности заявителей и участников межведомственного взаимодействия в случае предоставления каких-либо муниципальных или государственных услуг в электронной форме.
Для того чтобы получить доступ к "Единому порталу государственных структур", а также каким-либо другим информационным системам инфраструктуры действующего электронного правительства, для начала нужно будет пройти регистрацию учетной записи и, как следствие, получить ПЭП.
Уровни
Портал предусматривает три основных уровня учетных записей для физических лиц:
- Упрощенная. Для ее регистрации достаточно просто указать свою фамилию и имя, а также какой-то определенный канал коммуникации в виде адреса электронной почты или мобильного телефона. Это первичный уровень, с помощью которого у человека открывается доступ только к ограниченному перечню различных государственных услуг, а также возможностей существующих информационных систем.
- Стандартная. Для ее получения изначально нужно оформить упрощенную учетную запись, а потом уже предоставить также дополнительные данные, включая информацию из паспорта и номер страхового индивидуального лицевого счета. Указанная информация автоматически проверяется через информационные системы Пенсионного фонда, а также Федеральную миграционную службу, и, если проверка проходит успешно, учетная запись переводится на стандартный уровень, что открывает пользователю расширенный перечень государственных услуг.
- Подтвержденная. Для получения такого уровня учетной записи единая система идентификации и аутентификации требует от пользователей стандартный аккаунт, а также подтверждение личности, которое выполняется через личное посещение отделения уполномоченной службы или посредством получения кода активации через заказное письмо. В том случае, если подтверждение личности окажется успешным, учетная запись перейдет на новый уровень, а перед пользователем откроется доступ к полному перечню необходимых государственных услуг.
Несмотря на то что процедуры могут показаться достаточно сложными, на самом деле ознакомиться с полным перечнем необходимых данных можно непосредственно на официальном сайте, поэтому полноценное оформление вполне возможно на протяжении нескольких дней.
Подлинность данных
"...Подлинность данных - состояние данных, происхождение которых может быть проверено, и которые могут быть однозначно приписаны определенным измерениям..."
Источник:
"ОБЩИЕ ТРЕБОВАНИЯ К ПРОГРАММНОМУ ОБЕСПЕЧЕНИЮ СРЕДСТВ ИЗМЕРЕНИЙ. РЕКОМЕНДАЦИЯ. МИ 2891-2004"
(утв. ФГУП ВНИИМС Ростехрегулирования 07.12.2004)
Официальная терминология . Академик.ру . 2012 .
Смотреть что такое "Подлинность данных" в других словарях:
Подлинность данных - состояние данных, происхождение которых может быть проверено, и которые могут быть однозначно приписаны определенным измерениям. Источник: МИ 2891 2004: Рекомендация. ГСОЕИ. Общие требования к программному обеспечению средств измерений …
Подлинность - 3.5. Подлинность определяющий фактор ценности объекта культурного наследия. Понимание значения подлинности играет фундаментальную роль во всех научных исследованиях по проблемам культурного наследия и определяется четырьмя основными параметрами:… … Словарь-справочник терминов нормативно-технической документации
SPKM - (англ. The Simple Public Key GSS API Mechanism простой механизм GSS API на основе инфраструктуры с открытым ключом) сетевой протокол, обладающий инфраструктурой с открытым, а не симметричным ключом. Протокол применяется для… … Википедия
МИ 2891-2004: Рекомендация. ГСОЕИ. Общие требования к программному обеспечению средств измерений - Терминология МИ 2891 2004: Рекомендация. ГСОЕИ. Общие требования к программному обеспечению средств измерений: Данные измерительная информация, представленная в виде, пригодном для передачи, интерпретации или обработки. Определения термина из… … Словарь-справочник терминов нормативно-технической документации
Шан - (Shang) (ок. 16 11 вв. до н.э.), первая достоверно установленная кит. династия. Подлинность данных о ней была подтверждена в 1920 х гг. найденными рядом с г. Аньяном гадальными костями (драконовые кости). Ведя войны, занимаясь охотой, цари Ш.… … Всемирная история
UniCERT - это система PKI (Инфраструктура Открытых Ключей) для закрытых и открытых типов доверительных структур. Термин PKI можно расшифровать как совокупность аппаратного и программного обеспечения, людей и процедур, необходимых для управления, хранения,… … Википедия
Электронные деньги - (Electronic money) Электронные деньги это денежные обязательства эмитента в электронном виде Все, что нужно знать об электронных деньгах история и развитие электронных денег, перевод, обмен и вывод электронных денег в различных платежных системах … Энциклопедия инвестора
ИОАНН ДУНС СКОТ - [лат. Ioannes (Johannes) Duns Scotus] († 8.11.1308, Кёльн), средневек. философ и богослов, католич. священник, член монашеского ордена францисканцев; в католич. Церкви прославлен в лике блаженных (пам. зап. 8 нояб.). Жизнь. Иоанн Дунс Скот. 1473… … Православная энциклопедия
Критика библейская - т. е. критика книг священных ветхозаветных еврейских и новозаветных христианских. Она имеет своим предметом: 1) исследование их подлинности, т. е. принадлежности тем авторам, которым они приписываются преданием, и вообще обстоятельств их… … Энциклопедический словарь Ф.А. Брокгауза и И.А. Ефрона
ПАВЛА СВ. АПОСТОЛА ПОСЛАНИЯ - раздел новозав. *канона, состоящий из 14 посланий. В каждом из них, кроме Евр, ап.Павел во вступительных словах называет себя по имени. П.а.п. принято делить на 4 группы: 1) Ранние ПОСЛАНИЯ (1–2 Фес; иногда к ним присоединяют Гал); 2) Большие… … Библиологический словарь
Книги
- Велесова книга. Веды об укладе жизни и истоке веры славян , Максименко Георгий Захарович. Это уникальное издание представляет текст Велесовой книги и его дешифровку в сопоставлении с новейшими научными открытиями. Здесь вы найдете ответы на самые сложные вопросы, связанные с… Купить за 1404 руб
- Велесова книга Веды об укладе жизни и истоке веры славян , Максименко Г.. Это уникальное издание представляет текст «Велесовой книги» и его дешифровку в сопоставлении с новейшими научными открытиями. Здесь вы найдёте ответы на самые сложные вопросы, связанные с…
Аккредитив — условное денежное обязательство, принимаемое банком по поручению плательщика, которое позволяет выполнять платежи в пользу получателя средств. Банк может выполнять платежи продавцу или давать полномочия другому банку произвести такие платежи при выполнении условий аккредитива.
Аутентификация
Аутентификация — это процесс определения личности клиента по предоставленной им информации. Аутентификация осуществляется следующими способами:
Аутентичность данных
Свойство данных быть подлинными и свойство систем быть способными обеспечивать подлинность данных.
Подлинность данных означает, что они были созданы законными участниками информационного процесса и не подвергались случайным или преднамеренным искажениям.
Способность системы обеспечивать подлинность данных означает, что система способна обнаружить все случаи искажения данных с вероятностью ошибки, не превышающей заданной величины.
Закрытый ключ
Закрытый ключ (private key) — закрытая (секретная) часть пары криптографических ключей. Служит для создания электронных подписей, которые потом можно проверять с помощью , и для расшифровки сообщений, которые были зашифрованы .
Закрытый ключ хранит только его владелец, ни в коем случае не раскрывая его никому. Потеря закрытого ключа означает возможность раскрытия третьими лицами любой информации, зашифрованной для его владельца, а также возможность подделки ЭП его владельца третьими лицами. В любой криптографической системе закрытый ключ всегда является самым важным секретом, именно поэтому он должен сохраняться в тайне.
Открытый ключ
Открытый ключ (public key) — открытая (несекретная) часть пары криптографических ключей. Служит для проверки электронных подписей, созданных с помощью парного ему , и для шифрования сообщений, которые будут потом расшифрованы .
Открытый ключ направляется на регистрацию в центр сертификации — организацию, занимающуюся регистрацией открытых ключей и их владельцев, а также выдачей электронных , подтверждающих принадлежность открытых ключей конкретным лицам. В центре сертификации сертификаты всех открытых ключей абонентов помещаются в базу данных, откуда могут предоставляться по запросу любому обратившемуся в центр лицу.
Паспорт сделки по контракту
Паспорт сделки по контракту — документ, который оформляется при осуществлении валютной операции по контракту.
Паспорт сделки по кредитному договору
Паспорт сделки по кредитному договору — документ, который оформляется при осуществлении валютной операции по кредитному договору или договору займа.
Протокол SSL
SSL (Secure Sockets Layer) был разработан компанией Netscape. Он позволяет идентифицировать обменивающиеся данными стороны на основе электронных сертификатов, осуществлять передаваемых данных и гарантировать отсутствие искажения данных в процессе передачи.
Обратите внимание! Возможность использования протокола SSL определяется наличием флажка в поле SSL 2.0 или SSL 3.0 , установленной при настройке Интернет-обозревателя.
Резидент
Резидент - юридическое или физическое лицо, постоянно зарегистрированное или постоянно проживающее в данной стране.
Сертификат
Сертификат представляет собой документ (возможно в электронной форме), содержащий, который принадлежит держателю сертификата, вместе с дополнительной информацией о его владельце (например, ФИО и название организации, адрес электронной почты и т.п.), подписанный удостоверяющим центром (Certificate Authority).
Основная задача сертификата — связать открытый ключ с личностью его владельца (владельца парного ему закрытого ключа).
Сертификаты имеют срок действия, по окончании которого они становятся недействительными. Срок действия отражен в содержании сертификата.
Сертификаты хранятся в реестре Windows или на других носителях ключевой информации. Доступ к сертификатам, зарегистрированным в реестре Windows, можно получить из Internet Explorer, в котором есть мастер импорта/экспорта сертификатов и закрытых ключей.
Шифрование
Шифрование информации — это способ предотвращения неавторизованного просмотра или использования информации. Для осуществления шифрования применяются специальные математические алгоритмы (криптоалгоритмы). Шифрование гарантирует защиту секретной информации от несанкционированного доступа со стороны третьих лиц. Для восстановления зашифрованной информации осуществляется обратное преобразование — расшифровка. Для расшифровки информации необходимо наличие соответствующего секретного (закрытого) ключа.
В современных системах используется пара ключей шифрования: открытый ключ (public key), который может быть известен любому, и парный ему закрытый ключ (private key), известный только владельцу этого ключа. Пара соответствующих ключей может применяться для шифрования, а также для создания и проверки электронной подписи (ЭП), и при этом обладает следующими свойствами:
- Зашифрованное с помощью открытого ключа сообщение может быть расшифровано только с помощью парного ему закрытого ключа.
- ЭП, созданная с помощью закрытого ключа, может быть проверена на соответствие с помощью парного ему открытого ключа.
Электронная подпись
Для подписания электронных документов используется электронная подпись. Электронная подпись (ЭП) — это реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе.
Электронная подпись формируется с помощью , который может храниться на дискете, в системном реестре, на смарт-картах и т.д.
ЭП может быть проверена с помощью , парного тому закрытому ключу, с помощью которого формировалась эта ЭП. Таким образом, зная открытый ключ пользователя, можно с точностью установить, кто подписывал данный документ.
Для отправки документа в банк необходимо наличие хотя бы одной электронной подписи. Количество применяемых ЭП под каждым документом определяется в банке индивидуально для каждого клиента и устанавливается в Договоре на обслуживание в системе «Интернет-клиент для юридических лиц».
1.1 Основные понятия и концепции
С каждым объектом компьютерной системы (КС) связана некоторая информация, однозначно идентифицирующая его. Это может быть число, строка символов, алгоритм, определяющий данный объект. Эту информацию называют идентификатором объекта. Если объект имеет некоторый идентификатор, зарегистрированный в сети, он называется законным (легальным) объектом; остальные объекты относятся к незаконным (нелегальным).
Идентификация объекта - одна из функций подсистемы защиты. Эта функция выполняется в первую очередь, когда объект делает попытку войти в сеть. Если процедура идентификации завершается успешно, данный объект считается законным для данной сети.
Следующий шаг - аутентификация объекта (проверка подлинности объекта). Эта процедура устанавливает, является ли данный объект именно таким, каким он себя объявляет.
После того как объект идентифицирован и подтверждена его подлинность, можно установить сферу его действия и доступные ему ресурсы КС. Такую процедуру называют предоставлением полномочий (авторизацией).
Перечисленные три процедуры инициализации являются процедурами защиты и относятся к одному объекту КС.
При защите каналов передачи данных подтверждение подлинности (аутентификация) объектов означает взаимное установление подлинности объектов, связывающихся между собой по линиям связи. Процедура подтверждения подлинности выполняется обычно в начале сеанса в процессе установления соединения абонентов. (Термин "соединение" указывает на логическую связь (потенциально двустороннюю) между двумя объектами сети. Цель данной процедуры - обеспечить уверенность, что соединение установлено с законным объектом и вся информация дойдет до места назначения.
После того как соединение установлено, необходимо обеспечить выполнение требований защиты при обмене сообщениями:
(а) получатель должен быть уверен в подлинности источника данных;
(б) получатель должен быть уверен в подлинности передаваемых данных;
(в) отправитель должен быть уверен в доставке данных получателю;
(г) отправитель должен быть уверен в подлинности доставленных данных.
Для выполнения требований (а) и (б) средством защиты является цифровая подпись . Для выполнения требований (в) и (г) отправитель должен получить уведомление о вручении с помощью удостоверяющей почты (certified mail). Средством защиты в такой процедуре является цифровая подпись подтверждающего ответного сообщения, которое в свою очередь является доказательством пересылки исходного сообщения.
Если эти четыре требования реализованы в КС, то гарантируется защита данных при их передаче по каналу связи и обеспечивается функция защиты, называемая функцией подтверждения (неоспоримости) передачи. В этом случае отправитель не может отрицать ни факта посылки сообщения, ни его содержания, а получатель не может отрицать ни факта получения сообщения, ни подлинности его содержания.
1.2 Идентификация и механизмы подтверждения подлинности пользователя
Прежде чем получить доступ к КС, пользователь должен идентифицировать себя, а затем средства защиты сети должны подтвердить подлинность этого пользователя, т.е. проверить, является ли данный пользователь действительно тем, за кого он себя выдает. Компоненты механизма защиты легальных пользователей размещены на рабочей ЭВМ, к которой подключен пользователь через его терминал (или каким-либо иным способом). Поэтому процедуры идентификации, подтверждения подлинности и наделения полномочиями выполняются в начале сеанса на местной рабочей ЭВМ.
Когда пользователь начинает работу в КС, используя терминал, система запрашивает его имя и идентификационный номер. В зависимости от ответов пользователя компьютерная система проводит его идентификацию. Затем система проверяет, является ли пользователь действительно тем, за кого он себя выдает. Для этого она запрашивает у пользователя пароль. Пароль - это лишь один из способов подтверждения подлинности пользователя.
Перечислим возможные способы подтверждения подлинности.
Предопределенная информация, находящаяся в распоряжении пользователя: пароль, персональный идентификационный номер, соглашение об использовании специальных закодированных фраз.
Элементы аппаратного обеспечения, находящиеся в распоряжении пользователя: ключи, магнитные карточки, микросхемы и т.п.
Характерные личные особенности пользователя: отпечатки пальцев, рисунок сетчатки глаза, тембр голоса и т.п.
Характерные приемы и черты поведения пользователя в режиме реального времени: особенности динамики и стиль работы на клавиатуре, приемы работы с манипулятором и т.п.
Навыки и знания пользователя, обусловленные образованием, культурой, обучением, воспитанием, привычками и т.п.
Применение пароля для подтверждения подлинности пользователя. Традиционно каждый законный пользователь компьютерной системы получает идентификационный номер и/или пароль. В начале сеанса работы на терминале пользователь указывает свой идентификационный номер (идентификатор пользователя) системе, которая затем запрашивает у пользователя пароль.
Простейший метод подтверждения подлинности с использованием пароля основан на сравнении представляемого пользователем пароля с исходным значением хранящимся в компьютерном центре. Поскольку пароль должен храниться в тайне, его следует шифровать перед пересылкой по незащищенному каналу. Если значения пользователя и системы совпадают, то пароль считается подлинным, а пользователь - законным.
Если кто-нибудь, не имеющий полномочий для входа в систему, узнает каким-либо образом пароль и идентификационный номер законного пользователя, он получит доступ в систему.
Иногда получатель не должен раскрывать исходную открытую форму пароля. В этом случае отправитель должен пересылать вместо открытой формы пароля отображение пароля, получаемое с использованием односторонней функции a(*) пароля. Это преобразование должно гарантировать невозможность раскрытия противником пароля по его отображению, так как противник наталкивается на неразрешимую числовую задачу.
Например, функция а(*) может быть определена следующим образом:
где Р - пароль отправителя;
ID - идентификатор отправителя;
Ер - процедура шифрования, выполняемая с использованием пароля Р в качестве ключа.
Такие функции особенно удобны, если длина пароля и длина ключа одинаковы. В этом случае подтверждение подлинности с помощью пароля состоит из пересылки получателю отображения a(Р) и сравнения его с предварительно вычисленным и хранимым эквивалентом а"(Р).
На практике пароли состоят только из нескольких букв, чтобы дать возможность пользователям запомнить их. Короткие пароли уязвимы к атаке полного перебора всех вариантов. Для того чтобы предотвратить такую атаку, функцию а(Р) определяют иначе, а именно:
t(P)=E p xor k (ID),
где К и ID-соответственно ключ и идентификатор отправителя.
Очевидно,значение а(Р) вычисляется заранее и хранится в виде a"(Р) в идентификационной таблице у получателя. Подтверждение подлинности состоит из сравнения двух отображений пароля a(Р А) и a"(P А) и признания пароля р А, если эти отображения равны. Конечно, любой, кто получит доступ к идентификационной таблице, может незаконно изменить ее содержимое, не опасаясь, что эти действия будут обнаружены.
Достоверность - это то, что показывает качество информации, отражает её полноту и точность. Она имеет такие признаки, как разборчивость письменной и устной речи, отсутствие ложных или каким-либо образом искажённых сведений, небольшая возможность ошибочного применения единиц информации, включающих в себя буквы, символы, биты, цифры. Оценивается и непосредственно достоверность информации, и её источник по шкалам (например, "преимущественно надёжный", "надёжный в полном объёме", "сравнительно надёжный" и далее - до "ненадёжен совсем" или "статус не определён").
Что это означает?
Достоверность характеризует неискажённость информации. На неё влияют не только подлинность сведений, но также и адекватность способов, которыми она была получена.
Недостоверность же может подразумевать умышленную подготовку данных как ложных. Бывают случаи, когда недостоверные сведения в результате предоставляют информацию, характеризующуюся достоверностью. Такое случается тогда, когда во время их получения степень недостоверности информации уже известна адресату. Вообще же, наблюдается следующая закономерность: чем более высоким является количество исходных данных, тем выше становится обеспечение достоверности информации.
Адекватность информации
Таким образом, достоверность напрямую связана с адекватностью информации, её полнотой и объективностью. Данное свойство имеет очень серьёзное значение, преимущественно в случае применения данных для принятия каких-либо решений. Информация же, которая отличается недостоверностью, приводит к таким решениям, которые будут иметь отрицательные последствия в плане социального обустройства, политической ситуации либо экономического положения.
Итак, рассмотрим подробнее понятие достоверности информации.
Определение понятий достоверной и недостоверной информации
Итак, информация является недостоверной, если она не соответствует реальному положению вещей, содержит такие данные о явлениях, процессах или событиях, которых в принципе никогда не было или же они существовали, но сведения о них отличаются от происходящего в действительности, искажены либо характеризуются неполнотой.
Достоверной можно назвать такую информацию, которая не вызывает абсолютно никаких сомнений, является реальной, подлинной. К ней относятся такие сведения, которые в случае чего можно подтвердить процедурами, корректными с юридической точки зрения, когда используются различные документы либо заключения экспертов, могут быть приглашены свидетели и т. п. Кроме того, данные можно считать достоверными, если они обязательно ссылаются на первоисточник. Однако в этом случае возникает проблема определения достоверности самого источника информации.
Виды источников информации
Источниками информации могут быть:
Физические лица, которые благодаря своим полномочиям либо положению имеют доступ к таким сведениям, которые интересуют разного рода средства массовой информации;
Различные документы;
Реальная среда (например, урбанистическая, предметно-вещественная, являющаяся сферой обитания человека, природная);
Виртуальная среда;
Печатные издания, которые имеют выходные данные, то есть учебники, книги, энциклопедии или статьи в журнале;
Сайты в интернете, порталы, страницы, на которых также могут базироваться СМИ.
Бесспорно, одним из самых авторитетных и безопасных источников являются документы, однако они считаются таковыми только тогда, когда есть возможность их юридической проверки. Для них характерна вся полнота информации.
Компетентные и некомпетентные
Помимо подразделения на достоверные и недостоверные, источники также могут быть компетентными и некомпетентными.
Наиболее широко представлены такие источники информации, как уполномоченные официальных структур власти. В первую очередь государственные учреждения должны снабжать граждан самой объективной и точной информацией. Однако даже сведения пресс-службы правительства могут быть подделаны, и нет гарантии, что из государственного источника не может просочиться информация, не являющаяся достоверной. Именно поэтому получить информацию - не означает доверять ей безоговорочно.
Ссылка на источник
Таким образом, достоверность информации может определяться присутствующей в ней отсылкой к источнику. Если последний имеет полномочия в какой-либо сфере или специализируется в определённой области, то он является компетентным.
Но наличие ссылки не всегда должно быть обязательным, так как бывает, что разного рода положения получают подтверждение непосредственно в процессе изложения информации. Происходит это тогда, когда автором сведений является специалист, то есть человек достаточно компетентный в той области, которой касается. В данном случае чаще всего можно не сомневаться, что информация будет достоверной.
В подавляющем большинстве неназванные источники способствуют снижению достоверности материала, особенно тогда, когда в статье присутствуют негативные новости, о которых читателю ранее не было известно. Людей главным образом интересует первоисточник такой информации.
Лучшими считаются такие сведения, которые ссылаются на источники, имеющие определённый авторитет, например имеющие официальный статус, различные статистические агентства, научно-исследовательские институты и т. д.
Тогда легче осуществлять проверку достоверности информации.
Способы проверки
Поскольку достоверными являются только те сведения, которые соотносятся с действительностью, очень важным является навык проверки полученных данных и определения степени их достоверности. Если овладеть таким умением, то можно избежать разного рода дезинформационных ловушек. Для этого нужно в первую очередь выявить, какой смысловой нагрузкой обладают полученные сведения: факторной либо оценочной.
Контроль достоверности информации крайне важен. Факты являются тем, с чем сталкивается человек в первую очередь, когда получает какую-либо новую для него информацию. Они именуют уже проверенные на достоверность сведения. Если же информация не была проверена либо же это невозможно сделать, то фактов в себе она не содержит. К ним относятся числа, события, имена, даты. Также фактом является то, что можно измерить, подтвердить, потрогать или перечислить. Чаще всего возможность их представления имеется у социологических и научно-исследовательских институтов, агентств, специализирующихся на статистике, и т. д. Главным признаком, различающим факт и оценку достоверности информации, является объективность первого. Оценка же всегда является отражением чьего-либо субъективного взгляда или эмоционального отношения, а также призывает к определённым действиям.
Разграничение источников сведений и их сравнение
Кроме того, важно при получении информации разграничивать её источники. Поскольку подавляющее количество фактов самостоятельно вряд ли удастся проверить, то достоверность полученных данных рассматривается с позиции доверия к предоставившим их источникам. Как же осуществить проверку информационного источника? Главным фактором, определяющим истинность, считается практика, или то, что выступает помощником в выполнении конкретной задачи. Доминирующим критерием любой информации выступает также её эффективность, которую показывает количество применивших эти сведения субъектов. Чем оно выше, тем больше доверия будут испытывать к полученным данным, и достоверность их выше. В этом состоит основной принцип достоверности информации.
Сравнение источников
Помимо этого, довольно полезно будет сравнить между собой источники, поскольку такие качества, как авторитетность и популярность, ещё не дают полных гарантий достоверности. Именно поэтому следующим важным признаком информации является её непротиворечивость. Каждый факт, полученный от источника, должен доказываться результатами проведённых независимых исследований, то есть он должен повторяться. Если повторный анализ приходит к идентичным выводам, значит, установлено, что информация действительно является непротиворечивой. Это говорит о том, что сведения единичного характера, случайные, большого доверия к себе не заслуживают.
Степень достоверности
Наблюдается следующая пропорция: чем большим является количество подобных сведений, выведенных из различных источников, тем выше их степень достоверности информации. Каждый источник ответственен за предоставленные факты не только с точки зрения морали и нравственности, но и с точки зрения вещественной. Если же какая-либо организация предоставляет данные сомнительного происхождения, то она может с лёгкостью лишиться своей репутации, а порой даже и средств, обеспечивающих её существование. Кроме того, можно не только потерять получателей информации, но даже подвергнуться наказанию в виде штрафа либо тюремного заключения. Именно поэтому источники солидные, имеющие определённые авторитет, не станут ни в коем случае рисковать собственной репутацией, публикуя недостоверные сведения.
Как поступить, если источником информации становится конкретное физическое лицо?
Бывают такие ситуации, когда источником информации становится не организация, а определённое лицо. В этих случаях необходимо узнать как можно больше сведений об этом авторе, чтобы определить, в какой степени нужно доверять информации, поступившей от него. Убедиться в достоверности данных можно путём ознакомления с иными работами автора, с его источниками (если таковые имеются), либо же выяснить, обладает ли он речевой свободой, то есть может ли предоставлять такую информацию.
Этот критерий определяется наличием у него учёной степени либо же должного опыта в определённой сфере, а также должности, которую он занимает. В противном же случае информация вполне может оказаться бесполезной и даже принести вред. Если нельзя проверить каким-либо образом достоверность сведений, они сразу же могут считаться бессмысленными. При поиске же информации в первую очередь нужно чётко сформулировать ту проблему, которая требует разрешения, что понизит возможность дезинформирования.
Если же сведения являются анонимными, то за достоверность информации ни в коем случае нельзя ручаться. Любые сведения должны иметь своего автора и подкрепляться имеющейся у него репутацией. Самыми ценными в принципе являются те данные, источником которых является человек опытный, а не случайный.