[МУЗЫКА] Добрый день, уважаемые слушатели.
Наша сегодняшняя лекция будет посвящена некоторому усилению организационных
мер защиты информации, а именно — методам контроля и разграничениям доступа.
Сегодня мы обсудим основные понятия контроля доступа субъектов, поговорим об
аутентификации объектов доступа и об аутентификации по различным факторам, а
также о разграничении доступа и различных моделях организации разграничения доступа.
Прежде всего для того чтобы начать разговор о контроле доступа субъектов,
определим ряд понятий,
которые нам потребуются на протяжении сегодняшней лекции.
Первое такое понятие — это понятие процедуры идентификации.
Под ней мы будем понимать процедуру определения тождественности субъекта
одному из зарегистрированных в информационной системе идентификаторов.
Чтобы более подробно понять это определение, рассмотрим процедуру того,
как идентификация, собственно, реализуется.
Предполагается, что первоначально осуществляется предварительная регистрация
всех субъектов информационной системы.
Составляется перечень идентификаторов, зарегистрированных в системе,
и каждому пользователю присваивается этот уникальный идентификатор.
Эта операция может быть проиллюстрированна регистрацией в какой-либо информационной
системе, то есть на каком-либо сайте, и собственно идентификация — это выбор
логина, под которым пользователь в дальнейшем будет авторизоваться в системе.
Понятие авторизации мы определим чуть позже.
Процесс идентификации — это предоставление субъектам своего идентификатора,
то есть, по сути, ввод логина при попытке войти, допустим,
в личный кабинет на каком-то сайте.
При этом проверяется наличие представленного идентификатора в перечне
зарегистрированных идентификаторов информационной системы.
Если будет введен несуществующий идентификатор, то очевидно,
система не сможет идентифицировать пользователя.
Следующее понятие, которое нам потребуется, это понятие аутентификации.
Под аутентификацией понимается процедура установления подлинности
предъявляемого субъектам идентификатора.
Ну в самом деле, сама по себе процедура идентификации связана лишь с тем,
что пользователь вводит некую информацию.
Никакой проверки того, что эта информация действительно принадлежит ему,
не осуществляется.
Пример идентификации без аутентификации — это, например,
выбор никнейма в анонимном чате,
где достаточно просто придумать для себя какое-то имя и дальше под ним действовать.
При этом никакой взаимосвязи между реальным физическим лицом и его,
в данном случае, идентификатором не происходит.
В более серьезных системах, где предполагается ответственность
пользователя за действия, которые он совершает в системе, обязательно требуется
проверить, действительно ли введен тот идентификатор, который ему присвоен.
Именно этому и служит процедура аутентификации.
Аутентификация, как правило,
выполняет задачу проверки принадлежности идентификатора именно этому субъекту.
Следующее понятие, которое нам потребуется, — это понятие авторизации.
Авторизация — это предоставление субъекту полномочий,
связанных с его идентификатором в информационной системе.
Как правило,
она выполняется после успешного прохождения субъектом идентификации.
А условием ее прохождения может являться прохождение аутентификации.
То есть после того, как информационная система удостоверилась в том,
что пользователь является именно тем, за кого он себя выдает,
а именно тем конкретным лицом, которое связано с представленным тем или иным
субъектом идентификатором, система предоставляет ему те права,
которые в этой системе данному пользователю предоставлены.
Ну то есть которые, по сути, ассоциированы с представленным им идентификатором.
Если у пользователя имеется в системе более одного идентификатора,
то есть более одной учетной записи, то права связаны не с самим физическим
субъектом, а с его идентификаторами, с его различными логинами.
Логически данные процедуры связаны следующей последовательностью: сначала
пользователь проходит идентификацию, частью которой, как правило, завершающей,
может являться аутентификация, а после успешного прохождения
этого комплекса процедур может происходить авторизация в системе.
То есть сначала пользователь подтверждает, что он является именно тем субъектом,
с которым ассоциирован представленный им идентификатор,
а после успешного доказательства этого обстоятельства получает те права,
которые с данным идентификатором связаны в системе.
Для лучшего понимания этих трех понятий рассмотрим примеры из мультипликации,
в которых таким курьезным образом все эти процедуры продемонстрированы.
Первый пример из классики советской мультипликации.
Смотрим. >> Кто?
>> Заяц!
>> Проходи, заяц.
Кто? >> Заяц!
>> В первом эпизоде мы видим неудачную
попытку нарушителя пройти процедуру аутентификации.
Ну, собственно, идентификации и авторизации тоже.
Легальный пользователь ответил на вопрос «кто?», предъявил свой идентификатор,
после чего процедура аутентификации в общем-то явно не показана, но можно
предположить, что была аутентификация по фактору внешнего вида (мы подробнее
поговорим далее в данной лекции о различных факторах аутентификации),
но далее он был успешно авторизован, услышав фразу «Проходи, заяц».
А нарушитель, который в данном случае представлен волком,
попытался подействовать точно так же, предъявил тот же самый идентификатор,
то есть тоже назвался зайцем, но в доступе ему было отказано.
Причиной этого, например, можно назвать то,
что данный идентификатор был уже использован.
Ряд систем не позволяют одновременно начинать два сеанса под одним и тем же
идентификатором.
Или можно говорить о том, что не была пройдена процедура аутентификации.
Однако на этом попытки нашего нарушителя не заканчиваются.
Смотрим далее. >> Кто?
>> Зебра!
[МУЗЫКА] >> На этот раз наш
нарушитель действует хитрее, и он подсмотрел один из
действительных идентификаторов пользователей, и уже попытался
предъявить идентификатор другого пользователя, в данном случае — зебры.
Он его, конечно же, исказил,
но снова не прошел аутентификацию и доступа к системе так и не получил.
Однако и это не сломило его дух.
Смотрим далее. >> Кто?
>> Черепаха!
>> Кто?!
[МУЗЫКА]
>> Наконец на третий раз наш нарушитель
предъявляет совсем несуществующий идентификатор, называясь черепахой.
С таким же результатом, как и раньше, авторизацию ему пройти не удалось,
поскольку он не прошел аутентификацию в системе и не был признан тем,
кем он себя назвал.
Далее рассмотрим еще один пример из более поздней мультипликации.
Смотрим. >> Стой!
>> Стою.
>> Кто?
>> Ректор!
>> К прибору!
Проходите. >> Здесь
у нас легальный пользователь успешно проходит идентификацию,
аутентификацию и авторизуется в системе,
но здесь процесс авторизации следует после явно показанного
процесса аутентификации при помощи, как мы далее обсудим, биометрического параметра.
Вероятнее всего, у пользователя сканируется его форма ладони или
что-то подобное, но с помощью специального сканера,
после того как полученный эталон со сканера успешно сопоставляется
с названным им идентификатором, пользователь успешно авторизуется.
Однако посмотрим что же произойдет в данном случае с незатейливым нарушителем,
который представляется чужим идентификатором.
Смотрим. >> Стой!
>> Стою, стою, уважаемый.
>> Кто?
>> Царь!
>> К прибору!
[ЗВУК] >> Он тоже
сталкивается с процедурой аутентификации по биометрическому признаку,
его ладонь сканируется с помощью сенсора,
с помощью сканера, однако результат, полученный с помощью этой системы,
не соответствует тому идентификатору, который он назвал.
Коллега вовсе не является царем,
поэтому пройти процедуру аутентификации, таким образом быть авторизованным
для дальнейшего прохода на территорию академии, ему не удалось.
Надеюсь, эти два примера позволили лучше понять взаимосвязь процедур идентификации,
аутентификации и авторизации, и в дальнейшем они не будут представлять для
вас трудности, и никакой путаницы между ними не возникнет.
[МУЗЫКА]
