В последнее время средства двухфакторной аутентификации стали предметом пристального внимания и интереса со стороны IТ-специа-листов, которые решают задачу по обеспечению безопасного доступа к информационным системам своих компаний. Однако вполне логичным будет вопрос: стоит ли тратить деньги на приобретение и силы на установку специальных средств, если существует такое простое и привычное средство аутентификации, как пароли.

Выбор того или иного способа защиты должен быть основан на оценке рисков. Конечно, не зная деталей ситуации, проблематично провести комплексную оценку рисков и, следовательно, дать рекомендации по выбору тех или иных позиций из всего спектра современных IT-продуктов. Но по отношению к двухфакторным средствам аутентификации несложно привести примеры вполне конкретных ситуаций, в которых применение подобного варианта становится действительно оправданным и необходимым.

Что такое факторы аутентификации

Что же такое факторы аутентификации и какие средства аутентификации относят к двухфакторным?

Факторы аутентификации помогают пользователю доказать информационной системе, что он является именно тем, за кого себя выдает. Обычно различают три типа факторов. Необходимо что-то знать (пароль или PIN-код), что-то иметь (смарт-карту или устройство генерации одноразовых паролей) и кем-то являться (проверка отпечатков пальцев или других биометрических характеристик).

К двухфакторным относят такие средства, в которых используется комбинация двух из трех названных типов факторов. Чаще всего используются пары:

• что-то иметь и что-то знать:
  • смарт-карта и PIN-код;
  • токен и PIN-код;
  • средство генерации одноразовых паролей и PIN-код;
• кем-то являться и что-то знать:
  • считыватель биометрической информации и пароль.

Безопасный - значит уникальный

Одно из основных свойств, которые обеспечивают вышеперечисленные средства аутентификации (с некоторыми оговорками, рассмотренными ниже), - это их уникальность, обусловленная невозможностью копирования и воспроизведения. Конечно, существует риск, что PIN-код, да и пароль окажутся подсмотренными и скопированными, но воспроизвести биометрическую информацию, содержимое токена, смарт-карты или повторить последовательность генерации одноразовых паролей затруднительно, а иногда просто невозможно.

Если средство аутентификации не обладает уникальностью, нельзя быть уверенным, что получивший с его помощью доступ в систему - как раз тот пользователь, которому данный доступ был назначен. Это порождает риски информационной безопасности, связанные с невозможностью обеспечить и проконтролировать требуемый уровень конфиденциальности, целостности и доступности информации.

Например, пароль перестал быть секретом для посторонних. Не исключена вероятность, что мы даже не догадаемся об этом и продолжим им пользоваться одновременно со злоумышленником. При этом нарушитель получает доступ к конфиденциальной информации, он в состоянии вносить несанкционированные изменения в данные.

Невозможность копирования двухфакторного средства аутентификации позволяет гарантировать, что если пользователь контролирует свое средство аутентификации, например хранит его при себе или в сейфе, то посторонний будет не способен выдать себя за пользователя. Следовательно, решается основная задача процесса аутентификации - предоставление доступа в информационную систему лишь тем, кому положено.

В случае кражи уникального средства аутентификации преступник не сумеет им воспользоваться без PIN-кода, но даже если PIN-код станет ему известен, исчезновение средства аутентификации будет быстро замечено пользователем. Согласно стандартному требованию безопасности, пользователь обязан немедленно сообщать администратору о подобной пропаже, после чего возможность применения средства для доступа в систему блокируется и риски сводятся к минимуму.

Такая разная уникальность

При использовании смарт-карт и токенов для аутентификации на основе асимметричной криптографии невозможность копирования обеспечивается следующим образом. Все операции с секретным ключом выполняются непосредственно на смарт-карте или токене, внутри периметра безопасности, который создается аппаратной архитектурой и операционной системой смарт-карты или токена. Секретный ключ хранится в закрытой области памяти и практически недоступен для копирования.

Обычно существует возможность сгенерировать пару секретный ключ/открытый ключ внутри самой карты. Вот почему первый никогда не покидает периметра безопасности внутри карты. В этом и состоит его уникальность. В случае генерации ключа вне карты существует теоретическая возможность перехвата секретного ключа. Чтобы предотвратить подобный ход событий, разрабатываются специальные организационно-технические меры.

Устройства генерации одноразовых паролей также представляют собой черный ящик, внутри периметра безопасности которого происходит генерация паролей. Последняя обеспечивается специальным алгоритмом и вектором инициализации. Вектор «прошит» внутри устройства, причем разные экземпляры устройств имеют разные варианты, чем гарантируется их уникальность. Но для того чтобы это устройство можно было использовать для аутентификации, вектор инициализации должен быть введен в соответствующую систему. Невозможность копирования зависит от административных мер, гарантирующих, что вектор инициализации будет применяться только при регистрации данного устройства в системе аутентификации.

В случае использования для аутентификации биометрии главную роль играет так называемая сигнатура, вычисляемая на основе биометрических параметров. Считыватель лишь передает данные в компьютер, а все необходимые вычисления осуществляются в PC. Таким образом, в отличие от смарт-карт, токенов или средств генерации одноразовых паролей, в данном варианте периметр безопасности проходит вне границ средств аутентификации. Для предотвращения копирования самих биометрических параметров необходимо обеспечить надежность самого компьютера, с которого происходит аутентификация.

На стандартных корпоративных машинах неуязвимость операционной среды может до определенной степени поддерживаться антивирусами, персональными сетевыми экранами и решениями, контролирующими целостность программно-аппаратной конфигурации компьютера. Но если это нельзя гарантировать, применение данных средств только немногим лучше, чем обычных паролей.

Аутентификация и физический контроль доступа

До появления современных двухфакторных средств аутентификации наиболее востребованными мерами защиты в дополнение к паролям являлись средства контроля физического доступа. Например, доступ к корпоративной информационной системе был возможен только из здания компании, куда вход осуществлялся по пропускам. Доступ к компьютерам, обрабатывающим совершенно секретную информацию, реализовывался из помещений с дополнительными средствами контроля, причем эти машины были отделены от остальной информационной сети предприятия.

Подобные варианты решения проблемы информационной безопасности актуальны и сейчас, но развитие технологий приводит к повышению мобильности пользователей и появлению новых способов ведения бизнеса. Нередко от умения грамотно выбрать способ защиты информационных ресурсов зависит вопрос выживания компании в непростых конкурентных условиях. Двух-факторные средства аутентификации находят все более широкое применение, в силу своей уникальности они выступают альтернативой средствам контроля физического доступа.

Когда рекомендуется применение двухфакторных средств аутентификации

В качестве примеров можно привести следующие ситуации, в которых имеет смысл рассмотреть применение двухфакторных средств аутентификации.

1. Когда средствами контроля физического доступа невозможно проверить, кто подсоединен к среде, через которую осуществляется доступ к информационной сети предприятия:
   • доступ работников к корпоративной сети из Интернета по VPN или посредством телефонных линий связи общего пользования;
   • доступ партнеров или служащих к закрытым областям корпоративного Интернет-портала;
   • проекты электронной коммерции В2В (Business to Business) или В2С (Business to Customers);
   • платежные системы с доступом из Интернета;
   • использование беспроводных технологий, например Wi-Fi, для организации локальной корпоративной сети.
2. Когда средствами контроля физического доступа невозможно разграничить доступ уполномоченных сотрудников к классифицированной информации (например, к информации с грифом «секретно»):
   • доступ из интранета к внутрикорпоративным базам данных, Web-серверам и другим информационным системам, содержащим конфиденциальную информацию. Актуально для компании, имеющей широкую географически распределенную сеть офисов;
   • доступ к системам внутреннего документооборота;
   • доступ к банковским информационным системам.

Конечно, выбор средств аутентификации и других дополнительных мер защиты важно основывать на анализе потенциальных потерь в той или иной ситуации. Если анализ рисков показывает, что возможный ущерб от нарушения конфиденциальности, целостности или доступности информации достаточно велик, то полагаться на пароли в этих ситуациях - удовольствие гораздо более дорогое, чем закупка и внедрение современных средств двухфакторной аутентификации.

Автор: О. Чепиков

Источник: Информационная безопасность

Картинка: