Adnabod a dilysu: cysyniadau sylfaenol

Adnabod a dilysu yn sail i feddalwedd a chaledwedd modern diogelwch, fel unrhyw wasanaethau eraill a fwriedir yn bennaf ar gyfer gwasanaethu o'r pynciau hyn. Mae'r cysyniadau hyn yn cynrychioli rhyw fath o amddiffyniad cyntaf, gan sicrhau diogelwch o ofod gwybodaeth sefydliad.

Beth yw e?

Adnabod a dilysu swyddogaethau gwahanol. Mae'r cyntaf yn rhoi pwnc (defnyddiwr neu broses sy'n gweithredu ar ran) y cyfle i ddweud eu henw eu hunain. Trwy gyfrwng dilysu yw'r ail ochr yn gwbl argyhoeddedig bod y pwnc yn wir yn yr un y mae ef yn honni ei fod. Yn aml, fel adnabod cyfystyr a dilysu yn cael eu disodli gan yr ymadrodd "enw Post" a "dilysu".

Maent hwy eu hunain yn cael eu rhannu'n nifer o fathau. Nesaf, rydym yn ystyried bod adnabod a dilysu a beth ydyn nhw.

dilysu

Mae'r cysyniad hwn yn darparu ar gyfer dau fath: un-ffordd, mae'n rhaid i'r cleient brofi gyntaf i'r gweinydd i ddilysu, a dwyochrog, hynny yw, pan fydd cadarnhad i'r ddwy ochr yn cael ei gynnal. Enghraifft nodweddiadol o sut i gynnal adnabyddiaeth safonol a dilysu defnyddwyr - yw i fewngofnodi i mewn i system benodol. Felly, gall gwahanol fathau yn cael eu defnyddio mewn gwahanol wrthrychau.

Mewn amgylchedd rhwydweithiol, lle mae adnabod a dilysu defnyddwyr a wnaed ar bartïon gwasgaredig yn ddaearyddol, yn archwilio'r gwasanaeth yn nodedig gan ddwy brif agwedd:

• sy'n gweithredu fel authenticator;
• sut y cafodd ei drefnu gan gyfnewid dilysu data a nodi a sut i'w diogelu.

I gadarnhau ei ddilysrwydd, rhaid i'r pwnc gael ei gyflwyno i un o'r endidau canlynol:

• gwybodaeth benodol y mae'n gwybod (rhif personol, cyfrinair, allwedd cryptographic arbennig, ac ati ...);
• rhai beth mae'n berchen (cerdyn personol neu ryw ddyfais arall sydd â diben tebyg);
• beth penodol, sy'n elfen ohono (olion bysedd, llais neu adnabod biometrig eraill a dilysu defnyddwyr).

nodweddion system

Yn yr amgylchedd rhwydwaith agored, nid yw'r partïon yn cael llwybr ymddiried, a dywedir mai yn gyffredinol, efallai y bydd y wybodaeth a drosglwyddir gan y pwnc yn y pen draw fod yn wahanol i'r wybodaeth a dderbyniwyd ac a ddefnyddiwyd ar gyfer dilysu. diogelwch sy'n ofynnol o synhwyro rhwydwaith gweithredol a goddefol, hynny yw, amddiffyniad yn erbyn cywiriadau, rhyng-gipio neu chwarae o wahanol data. Nid yw'r opsiwn trosglwyddo cyfrinair yn y glir yn foddhaol, ac nid dim ond yn gallu achub y dydd, a chyfrineiriau amgryptio, am nad ydynt yn cael eu darparu, diogelu playback. Dyna pam heddiw yn cael ei ddefnyddio protocolau dilysu mwy cymhleth.

adnabyddiaeth ddibynadwy yn anodd nid yn unig oherwydd amrywiaeth o fygythiadau rhwydwaith, ond hefyd ar gyfer amrywiaeth o resymau eraill. Efallai y bydd y bron unrhyw endid dilysu cyntaf gael eu cipio, neu ffugio neu Sgowtio. tyndra rhwng y dibynadwyedd y system yn cael ei ddefnyddio hefyd yn bresennol, ar y naill law, a bod y gweinyddydd system neu ddefnyddiwr cyfleusterau - ar y llaw arall. Felly, am resymau diogelwch sy'n ofynnol gyda rhai mor aml yn gofyn i'r defnyddiwr i ail-gyflwyno ei wybodaeth dilysiant (fel yn lle hynny bydd yn rhaid iddo sefyll rhai pobl eraill), ac nid yn unig yn creu trafferth ychwanegol, ond hefyd yn cynyddu'n sylweddol y siawns o gall rhywun pry mewnbwn gwybodaeth. Yn ogystal, mae'r dibynadwyedd y diogelwch yn golygu effaith sylweddol ar ei werth.

systemau adnabod a dilysu Modern yn cefnogi'r cysyniad o un arwydd-on at y rhwydwaith, sy'n darparu'n bennaf i ofynion o ran y defnyddiwr-gyfeillgar. Os bydd y safon rhwydwaith corfforaethol yn cynnwys llawer o wasanaethau gwybodaeth, sy'n darparu ar gyfer y posibilrwydd o cylchrediad annibynnol, yna bydd y weinyddiaeth lluosog o ddata personol yn mynd yn rhy feichus. Ar hyn o bryd mae'n dal yn amhosibl dweud bod y defnydd o un arwydd-on i rwydwaith yn normal, gan nad yw'r atebion dominyddol yn cael eu ffurfio eto.

Felly, mae llawer yn ceisio dod o hyd i gyfaddawd rhwng fforddiadwyedd, cyfleustra a dibynadwyedd cronfeydd, sy'n darparu adnabod / dilysu. awdurdodiad Defnyddiwr yn yr achos hwn yn cael ei wneud yn unol â'r rheolau unigol.

Dylid rhoi sylw arbennig at y ffaith y gall y gwasanaeth yn cael ei ddefnyddio yn cael eu dewis fel y gwrthrych o ymosodiadau ar gael. Os bydd y cyfluniad y system yn cael ei wneud mewn ffordd sy'n golygu bod ar ôl i nifer o ymdrechion wedi methu i fynd i mewn i'r posibilrwydd wedi ei gloi, yna gall yr ymosodwr atal gweithrediad ddefnyddwyr cyfreithlon drwy dim ond ychydig keystrokes.

dilysiad cyfrinair

Prif fantais y system hon yw ei bod yn hynod o syml ac yn gyfarwydd i'r rhan fwyaf. Cyfrineiriau wedi hir cael ei ddefnyddio gan systemau gweithredu a gwasanaethau eraill, a gyda defnydd priodol o ddiogelwch a ddarperir, sy'n eithaf derbyniol ar gyfer y rhan fwyaf o sefydliadau. Ar y llaw arall, gan set gyffredin o nodweddion systemau o'r fath yw'r dull gwannaf y gall adnabod / dilysu yn cael ei weithredu. Awdurdodi yn yr achos hwn yn dod yn eithaf syml, oherwydd rhaid cyfrineiriau fod yn bachog, ond nid yw'n anodd dyfalu y cyfuniad o syml, yn enwedig os yw'r person yn gwybod y dewisiadau defnyddiwr penodol.

Weithiau mae'n digwydd bod y cyfrineiriau yn cael eu, mewn egwyddor, nid cadw gyfrinach, gan fod yn werthoedd eithaf safonol a bennir yn y dogfennau penodol, ac nid bob amser ar ôl y system yn cael ei gosod, eu newid.

Pan fyddwch yn mynd i mewn eich cyfrinair gallwch weld, mewn rhai achosion, mae pobl yn hyd yn oed ddefnyddio offerynnau optegol arbenigol.

Defnyddwyr, y prif bynciau o adnabod a dilysu, cyfrineiriau yn aml yn hysbysu cydweithwyr i'r rhai ar adegau penodol wedi newid perchennog. Mewn theori, mewn sefyllfaoedd o'r fath byddai'n fwy cywir i ddefnyddio rheolaethau mynediad arbennig, ond yn ymarferol nid yw'n cael ei ddefnyddio. Ac os y cyfrinair yn adnabod dau o bobl, mae'n cynyddu'r siawns iawn bod yn y diwedd a dysgu mwy.

Sut i drwsio?

Mae yna nifer o offer fel adnabod a dilysu y gellir eu hamddiffyn. Mae'r gydran prosesu gwybodaeth a allai yswirio a ganlyn:

• Gosod amrywiol gyfyngiadau technegol. Mae'r rhan fwyaf yn aml yn gosod rheolau ar hyd cyfrinair a chynnwys rhai cymeriadau.
• Swyddfa ben cyfrinair, hy mae angen iddynt gael eu disodli o bryd i'w gilydd.
• Mynediad cyfyngedig at ffeil gyfrinair sylfaenol.
• Cyfyngiad o gyfanswm nifer o ymdrechion wedi methu sydd ar gael pan fyddwch yn mewngofnodi i mewn. Oherwydd hyn ymosodwyr rhaid ei wneud dim ond y camau gweithredu i berfformio adnabod a dilysu yn ogystal â'r dull didoli Ni ellir ei ddefnyddio.
• hyfforddiant rhagarweiniol o ddefnyddwyr.
• Gan ddefnyddio generadur cyfrinair meddalwedd arbenigol sy'n gallu creu cyfuniadau o'r fath sy'n ddigon soniarus a chofiadwy.

Gall pob un o'r mesurau hyn yn cael eu defnyddio mewn unrhyw achos, hyd yn oed os bydd ynghyd â cyfrineiriau hefyd ddefnyddio dulliau eraill o dilysu.

cyfrineiriau un-amser

Mae'r embodiments uchod yn y gellir eu hailddefnyddio, ac yn achos o agor cyfuniadau ymosodwr yn gallu perfformio gweithrediadau penodol ar ran y defnyddiwr. Dyna pam fel dull cryfach gwrthsefyll y posibilrwydd o synhwyro rhwydwaith goddefol, defnyddio cyfrineiriau un-amser erbyn pryd adnabod a system dilysu yn llawer mwy diogel, ond nid mor gyfleus.

Ar hyn o bryd, un o'r meddalwedd mwyaf poblogaidd generadur cyfrinair un-amser yn system o'r enw S / ALLWEDDOL, a ryddhawyd gan Bellcore. Mae'r cysyniad sylfaenol y system hon yw bod yn un o swyddogaethau penodol o'r F, y gwyddys i ddefnyddiwr a'r gweinydd dilysu. Mae'r canlynol yn K allweddol gyfrinach, a elwir i ddefnyddiwr penodol yn unig.

Ar defnyddiwr gweinyddu cychwynnol, y swyddogaeth hon yn cael ei ddefnyddio i allwedd nifer o weithiau, yna bydd y canlyniad yn cael ei arbed ar y gweinydd. Yn dilyn hynny, y weithdrefn ddilysu fel a ganlyn:

1. Ar y system defnyddiwr o'r gweinydd yn dod i'r rhif sydd 1 yn llai na'r nifer o weithiau ddefnyddio'r swyddogaeth i'r allweddol.
2. swyddogaeth defnyddiwr yn cael ei ddefnyddio i allweddi cudd yn y nifer o weithiau sydd wedi cael ei osod yn y man cyntaf, ac ar hynny y canlyniad yn cael ei anfon drwy'r rhwydwaith yn uniongyrchol i'r gweinydd dilysu.
3. Mae'r gweinydd yn defnyddio'r swyddogaeth hon i werth a gafwyd, ac yna y canlyniad yn cael ei gymharu â gwerth ei storio yn flaenorol. Os bydd y canlyniadau yn cyd-fynd, yna pwy yw'r defnyddiwr yn cael ei sefydlu, ac y gweinydd storio'r gwerth newydd, ac yna gostwng y cownter gan un.

Yn ymarferol, mae'r dechnoleg hon ar waith ganddo strwythur ychydig yn fwy cymhleth, ond ar hyn o bryd does dim ots. Gan fod y swyddogaeth yn anwrthdroadwy, hyd yn oed os y rhyng-gipio cyfrinair neu gael mynediad heb awdurdod i beidio â gweinydd dilysu yn darparu y posibilrwydd i gael y allwedd breifat ac unrhyw ffordd i ragweld sut y bydd yn union edrych fel y cyfrinair un-amser canlynol.

Yn Rwsia fel gwasanaeth unedig, porth y wladwriaeth arbennig - "system unigryw o adnabod / dilysu" ( "ESIA").

dull arall i system dilysu cryf yn gorwedd yn y ffaith fod y cyfrinair newydd yn cael ei gynhyrchu ar gyfnodau byr, sydd hefyd yn cael ei wireddu drwy ddefnyddio rhaglenni arbenigol neu amrywiol gardiau smart. Yn yr achos hwn, mae'n rhaid i'r gweinydd dilysu derbyn y algorithm cynhyrchu cyfrinair cyfatebol a pharamedrau penodol sy'n gysylltiedig ag ef, ac yn ogystal, fod yn bresennol fel gweinydd cydamseru cloc a'r cleient.

Kerberos

Ymddangosodd Kerberos dilysu gweinydd am y tro cyntaf yng nghanol y 90au y ganrif ddiwethaf, ond ers hynny ei fod eisoes wedi derbyn llawer o newidiadau sylfaenol. Ar hyn o bryd, mae'r elfennau unigol y system yn bresennol ym mron pob system weithredu fodern.

Prif bwrpas y gwasanaeth hwn yw i ddatrys y broblem ganlynol: mae yna rwydwaith penodol heb fod yn ddiogel ac yn y nodau yn ei ffurf crynodedig mewn gwahanol ddefnyddwyr pynciau, a systemau gweinydd a meddalwedd cleient. Mae pob endid o'r fath yn bresennol allwedd gyfrinach unigol, ac i bynciau gyda chyfle i brofi eu dilysrwydd i'r pwnc y S, heb y mae ef, ni fydd yn syml gwasanaeth, bydd angen iddo nid yn unig alw ei hun, ond hefyd i ddangos ei fod yn gwybod rhywfaint o allwedd gyfrinachol. Ar yr un pryd Heb unrhyw ffordd i ddim ond anfon i gyfeiriad eich S allweddol cyfrinachol fel yn y lle cyntaf y rhwydwaith yn agored, ac yn ogystal, nid yw S yn gwybod, ac, mewn egwyddor, ni ddylai ei adnabod. Yn y sefyllfa hon, defnyddiwch arddangosiad technoleg llai syml o wybodaeth o'r wybodaeth honno.

adnabod electronig / dilysu Kerberos trwy system yn darparu ar gyfer ei ddefnydd fel trydydd parti y gellir ymddiried ynddo, sy'n cynnwys gwybodaeth am yr allweddi cyfrinach safleoedd gyda gwasanaethau ac yn eu cynorthwyo i gyflawni dilysu pairwise os oes angen.

Felly, mae'r cleient yn ei anfon gyntaf mewn ymholiad sy'n cynnwys y wybodaeth angenrheidiol am y peth, yn ogystal â'r gwasanaeth y gofynnir amdano. Ar ôl hyn, Kerberos yn rhoi rhyw fath o docyn sy'n cael ei amgryptio gydag allwedd gyfrinach y gweinydd, yn ogystal â chopi o'r peth o'r data ohono, sy'n allweddol cyfrinach y cleient ef. Yn yr achos ei fod yn cael ei sefydlu wybodaeth y mae'r cleient yn dehongli'r fwriadwyd iddo, hynny yw, ei fod yn gallu dangos bod yr allwedd breifat yn hysbys iddo ef mewn gwirionedd. Mae hyn yn dangos bod y cleient yw'r person y mae'n.

Dylid rhoi sylw arbennig yma yn cael eu cymryd i sicrhau nad yw trosglwyddo allweddi cudd yn cael eu cynnal ar y rhwydwaith, ac maent yn cael eu defnyddio yn unig ar gyfer amgryptio.

dilysu gan ddefnyddio biometreg

Biometreg cynnwys cyfuniad o awtomataidd nodi / dilysu o bobl yn seiliedig ar eu nodweddion ymddygiadol neu ffisiolegol. ddulliau corfforol o adnabod a dilysu yn darparu sgan retina a llygad cornbilen, olion bysedd, wyneb a geometreg llaw, yn ogystal â gwybodaeth bersonol arall. Mae'r nodweddion ymddygiad hefyd yn cynnwys arddull gwaith gyda'r bysellfwrdd a'r deinameg y llofnod. dulliau cyfun yn y dadansoddiad o'r gwahanol nodweddion y llais dynol, yn ogystal â chydnabod ei araith.

systemau adnabod / dilysu ac amgryptio o'r fath yn cael eu defnyddio'n eang mewn llawer o wledydd ledled y byd, ond am amser hir, eu bod yn gost uchel iawn a chymhlethdod eu defnyddio. Yn fwy diweddar, mae'r galw am gynnyrch biometrig wedi cynyddu'n sylweddol o ganlyniad i ddatblygu e-fasnach, oherwydd, o safbwynt y defnyddiwr, yn llawer haws i'w gyflwyno ei hun, nag i gofio rhywfaint o wybodaeth. Yn unol â hynny, mae'r galw yn creu cyflenwad, felly dechreuodd y farchnad i ymddangos cynhyrchion cymharol isel-pris, sydd yn canolbwyntio'n bennaf ar gydnabod olion bysedd.

Yn y mwyafrif llethol o achosion, biometreg yn cael ei ddefnyddio mewn cyfuniad â authenticators eraill fel cardiau smart. Yn aml, dilysu biometrig dim ond y amddiffyniad cyntaf ac yn gweithredu fel dull o wella y cerdyn call, gan gynnwys amrywiol cyfrinachau cryptographic. Wrth ddefnyddio'r dechnoleg hon, mae'r templed biometrig yn cael ei storio ar yr un cerdyn.

Gweithgarwch yn y maes o biometreg yn ddigon uchel. consortiwm presennol perthnasol, yn ogystal â gwaith yn weithgar iawn yn mynd rhagddo i safoni agweddau amrywiol ar y dechnoleg. Heddiw, gallwn weld llawer o erthyglau hysbysebu bod technolegau biometrig yn cael eu cyflwyno fel ffordd delfrydol o ddarparu mwy o ddiogelwch ac ar yr un pryd yn fforddiadwy i'r llu.

ESIA

system o adnabod a dilysu ( "ESIA") yn wasanaeth arbennig a gynlluniwyd i sicrhau bod y gwahanol dasgau yn ymwneud â gwirio dilysrwydd yr ymgeiswyr ac aelodau'r cydweithredu rhyngasiantaethol yn achos unrhyw wasanaethau dinesig neu gyhoeddus ar ffurf electronig ar waith.

Er mwyn cael mynediad at "porth unigol o'r strwythurau wladwriaeth", yn ogystal ag unrhyw seilwaith systemau gwybodaeth arall o e-lywodraeth sy'n bodoli eisoes, rhaid i chi yn gyntaf i gofrestru'r cyfrif ac o ganlyniad, yn cael AEDs.

lefelau

Porth y system unedig o adnabod a dilysu yn darparu tair lefel sylfaenol o gyfrifon ar gyfer unigolion:

• Symleiddio. Ar gyfer ei gofrestru yn syml yn cynnwys eich enw cyntaf ac olaf, yn ogystal â rhai sianel penodol o gyfathrebu ar ffurf cyfeiriad e-bost neu ffôn symudol. Mae'r lefel gynradd, lle mae person yn rhoi mynediad yn unig i restr gyfyngedig o wahanol wasanaethau'r llywodraeth, yn ogystal â galluoedd systemau gwybodaeth presennol.
• Safonol. I gael angenrheidiol i ddechrau i roi cyfrif syml, ac yna hefyd yn darparu gwybodaeth ychwanegol, gan gynnwys gwybodaeth oddi wrth y rhif pasbort a rhoi cyfrif unigol yswiriant. Mae'r wybodaeth hon yn cael ei wirio yn awtomatig drwy'r system wybodaeth y Gronfa Bensiwn, yn ogystal â'r Gwasanaeth Mudo Ffederal, ac, os yw'r prawf yn llwyddiannus, mae'r cyfrif yn cael ei drawsnewid i lefel safonol, yn agor y defnyddiwr at restr estynedig o wasanaethau y wladwriaeth.
• Gadarnhau. Er mwyn cael y lefel hon o ystyriaeth, system unedig o adnabod a dilysu ei gwneud yn ofynnol defnyddwyr i gyfrif safonol, yn ogystal â phrawf o bwy ydych, sy'n cael ei berfformio drwy ymweliad personol adran gwasanaeth awdurdodedig, neu drwy gael cod actifadu trwy lythyr cofrestredig. Os digwydd bod y cadarnhad unigol yn llwyddiannus, bydd y cyfrif yn mynd i lefel newydd, ac i'r defnyddiwr, bydd yn cael mynediad i restr gyflawn o wasanaethau cyhoeddus sydd eu hangen.

Er gwaethaf y ffaith y gall y gweithdrefnau yn ymddangos yn ddigon cymhleth i mewn gwirionedd yn gweld y rhestr lawn o ddata sy'n ofynnol gall fod yn uniongyrchol ar y wefan swyddogol, felly mae'n bosibl cwblhau'r cofrestriad am ychydig ddyddiau.