Методи автентифікації інформації: основні поняття та концепція

Методи аутентифікації, засновані на вимірі біометричних параметрів людини (див. таблицю 2.6), забезпечують майже 100% ідентифікацію, вирішуючи проблеми втрати паролів і особистих ідентифікаторів. Однак такі методи не можна використовувати при ідентифікації процесів або даних (об'єктів даних), так як вони тільки починають розвиватися (є проблеми із стандартизацією та розповсюдженням), вимагають поки складного і дорогого обладнання. Це обумовлює їх використання поки тільки на особливо важливих об'єктах і системах.

Прикладами впровадження зазначених методів є системи ідентифікації користувача по малюнку веселкової оболонки ока, відбитками долоні, формам вух, інфрачервоної картині капілярних судин, за почерком, за запахом, за тембром голосу і навіть по ДНК.

Примеры методов биометрии

Физиологические методы	Поведенческие методы
• Снятие отпечатков пальцев • Сканирование радужной оболочки глаза • Сканирование сетчатки глаза • Геометрия кисти руки • Распознавание черт лица	• Анализ подписи • Анализ тембра голоса • Анализ клавиатурного почерка

Новим напрямком є ​​використання біометричних характеристик в інтелектуальних розрахункових картках, жетонах-пропусках і елементах стільникового зв'язку. Наприклад, при розрахунку в магазині пред'явник картки кладе палець на сканер на підтвердження, що картка дійсно його.

Назвемо найбільш використовувані біометричні атрибути і відповідні системи.

· Відбитки пальців. Такі сканери мають невеликий розмір, універсальні, відносно недорогі. Біологічна повторюваність відбитка пальця складає 10-5%. В даний час пропагуються правоохоронними органами через великі асигнування в електронні архіви відбитків пальців.

· Геометрія руки. Відповідні пристрої використовуються, коли через бруд чи травму важко застосовувати сканери пальців. Біологічна повторюваність геометрії руки близько 2%.

· Райдужна оболонка ока. Дані пристрої володіють найвищою точністю. Теоретична ймовірність збігу двох райдужних оболонок становить 1 з 1078.

· Термічний спосіб особи. Системи дозволяють ідентифікувати людину на відстані до десятків метрів. У комбінації з пошуком даних по базі даних такі системи використовуються для впізнання авторизованих співробітників і відсіювання сторонніх. Однак при зміні освітленості сканери особи мають відносно високий відсоток помилок.

· Голос. Перевірка голоси зручна для використання в телекомунікаційних додатках. Необхідні для цього 16-розрядна звукова плата і конденсаторний мікрофон коштують менше 25 $. Імовірність помилки становить 2 - 5%. Дана технологія підходить для верифікації по голосу по телефонних каналах зв'язку, вона більш надійна в порівнянні з частотним набором особистого номера. Зараз розвиваються напрямки ідентифікації особистості та її стану по голосу - збуджений, хворий, говорить правду, не в собі і т.д.

· Введення з клавіатури. Тут при введенні, наприклад, пароля відстежуються швидкість і інтервали між натисканнями.

· Підпис. Для контролю рукописної підпису використовуються дигітайзери.

Новітнім напрямком аутентифікації є доказ автентичності віддаленого користувача за його місцезнаходженням. Даний захисний механізм заснований на використанні системи космічної навігації, типу GPS (Global Positioning System). Користувач, що має апаратуру GPS, багаторазово посилає координати заданих супутників, що знаходяться в зоні прямої видимості. Підсистема аутентифікації, знаючи орбіти супутників, може з точністю до метра визначити місце розташування користувача. Висока надійність аутентифікації визначається тим, що орбіти супутників схильні до коливань, передбачити які досить важко. Крім того, координати постійно змінюються, що зводить нанівець можливість їх перехоплення.

Апаратура GPS проста і надійна у використанні і порівняно недорога. Це дозволяє її використовувати у випадках, коли авторизований віддалений користувач повинен перебувати в потрібному місці.

Підсумовуючи можливості засобів аутентифікації, її можна класифікувати за рівнем інформаційної безпеки на три категорії:

1. Статична аутентифікація;

2. Стійка аутентифікація;

3. Постійна аутентифікація.

Перша категорія забезпечує захист тільки від НСД в системах, де порушник не може під час сеансу роботи прочитати аутентифікаційні інформацію. Прикладом засоби статичної аутентифікації є традиційні постійні паролі. Їх ефективність переважно залежить від складності вгадування паролів і, власне, від того, наскільки добре вони захищені.

Стійка аутентифікація використовує динамічні дані аутентифікації, мінливі з кожним сеансом роботи. Реалізаціями стійкої аутентифікації є системи, що використовують одноразові паролі і електронні підписи. Посилена аутентифікація забезпечує захист від атак, де зловмисник може перехопити аутентифікаційні інформацію і намагатися використовувати її в наступних сеансах роботи.

Однак стійка аутентифікація не забезпечує захист від активних атак, в ході яких маскується зловмисник може оперативно (протягом сеансу аутентифікації) перехопити, модифікувати і вставити інформацію в потік переданих даних.

Постійна аутентифікація забезпечує ідентифікацію кожного блоку переданих даних, що охороняє їх від несанкціонованої модифікації або вставки. Прикладом реалізації зазначеної категорії аутентифікації є використання алгоритмів генерації електронних підписів для кожного біта інформації, що пересилається.

ЕКЗАМЕНАЦІЙНИЙ БІЛЕТ № 22

1. ЗУ «Про електронний цифровий підпис»

Закон України від 22.05.03 №852-IV "Про електронний цифровий підпис"

Цей Закон визначає правовий статус електронного цифрового підпису та регулює відносини, що виникають при використанні електронного цифрового підпису.

Дія цього Закону не поширюється на відносини, що виникають під час використання інших видів електронного підпису, в тому числі переведеного у цифрову форму зображення власноручного підпису.

Суб'єктами правових відносин у сфері послуг електронного цифрового підпису є:

підписувач;

користувач;

центр сертифікації ключів;

акредитований центр сертифікації ключів;

центральний засвідчувальний орган;

засвідчувальний центр органу виконавчої влади або іншого державного органу (далі - засвідчувальний центр);

контролюючий орган.

Електронний цифровий підпис за правовим статусом прирівнюється до власноручного підпису (печатки) у разі, якщо:

електронний цифровий підпис підтверджено з використанням посиленого сертифіката ключа за допомогою надійних засобів цифрового підпису;

під час перевірки використовувався посилений сертифікат ключа, чинний на момент накладення електронного цифрового підпису;

особистий ключ підписувача відповідає відкритому ключу, зазначеному у сертифікаті.

Електронний підпис не може бути визнаний недійсним лише через те, що він має електронну форму або не ґрунтується на посиленому сертифікаті ключа.

Електронний цифровий підпис призначений для забезпечення діяльності фізичних та юридичних осіб, яка здійснюється з використанням електронних документів.

Електронний цифровий підпис використовується фізичними та юридичними особами - суб'єктами електронного документообігу для ідентифікації підписувача та підтвердження цілісності даних в електронній формі.

Використання електронного цифрового підпису не змінює порядку підписання договорів та інших документів, встановленого законом для вчинення правочинів у письмовій формі.

Нотаріальні дії із засвідчення справжності електронного цифрового підпису на електронних документах вчиняються відповідно до порядку, встановленого законом.

Сертифікат ключа містить такі обов'язкові дані:

найменування та реквізити центру сертифікації ключів (центрального засвідчувального органу, засвідчувального центру);

зазначення, що сертифікат виданий в Україні;

унікальний реєстраційний номер сертифіката ключа;

основні дані (реквізити) підписувача - власника особистого ключа;

дату і час початку та закінчення строку чинності сертифіката;

відкритий ключ;

найменування криптографічного алгоритму, що використовується власником особистого ключа;

інформацію про обмеження використання підпису.

Посилений сертифікат ключа, крім обов'язкових даних, які містяться в сертифікаті ключа, повинен мати ознаку посиленого сертифіката ключа.

Інші дані можуть вноситися у посилений сертифікат ключа на вимогу його власника.