Рассмотрены служебные обязанности руководителя службы безопасности при управлении паролями.
Ограничение доступа представляет собой комплекс мероприятий организационно – технического характера, направленных на предотвращение целенаправленного или случайно-го доступа с внутренней (пользователи) или с внешней (хакеры) стороны.
Одно из направлений в служебных обязанностях руководителя службы безопасности есть организация и контроль работы персонала с паролем.
Нападения на парольные системы принимают различные формы. Успешные нарушения могут быть ослаблены, поскольку пароли в основном предотвращают несанкционированный доступ к сетям. Поэтому необходимо использовать разнообразные меры для гарантии того, что защита, обеспечиваемая парольной системой, настолько крепка, насколько это возможно. И, делая все, что необходимо для гарантии совершенства системы.
Контроль над первым созданием паролей.
Администратор сети несет ответственность за создание и назначение начального паро-ля для каждого идентификатора пользователя, а затем сообщает его пользователю.
В особых случаях руководителю службы безопасности необходимо скрыть пароль от администратора сети, и он должен уметь выполнять унции администратора сети.
Предотвращение раскрытия.
Для того, чтобы предотвратить раскрытие пароля со стороны администратора сети, не-обходимо испробовать три надежных способа:
- пароль пользователя должен определяться в опечатанной, многостраничной форме так, чтобы он не был виден на титульном листе формы. Администратор сети должен надле-жащим образом защитить опечатанный пароль, пока тот не будет доставлен пользователю. В этом случае пароль генерируется системой случайно и неизвестен администратору сети. Па-роль должен быть опечатан так, чтобы он не был виден и его нельзя было увидеть без разру-шения печати;
- присутствие пользователя при генерации пароля. Администратор сети инициирует процедуру, а затем пользователь защищает созданный пароль и удаляет его с экрана. Этот метод нельзя применять, если терминалы пользователей удалены.
- применение такой системы как NetWare, в которой администратор сети необходим только для установки минимальной длины пароля при создании пользовательского бюджета. При первом входе в систему пользователю сообщается, что истек срок действия пароля и не-обходимо ввести новый. В этот момент пользователь вводит выбранный пароль в соответст-вии с любым принципом, который предложит руководитель службы безопасности.
Аннулирование раскрытия.
Если необходимо сообщить исходный пароль администратору сети, это разглашение можно аннулировать, немедленно изменив пароль с помощью обычной процедуры. Предпола-гается, что процедура изменения не сообщает новый пароль администратору сети.
Когда исходный пароль пользователя не защищенный от раскрытия со стороны адми-нистратора сети, система должна идентифицировать идентификатор пользователя как пароль утративший силу. Пользователь может изменить пароль обычной процедурой до получения права доступа к системе.
Допуск на изменение пароля.
Изредка пользователь забывает пароль или вдруг возникает подозрение, что произош-ла утечка пароля пользователя. Во избежание этих проблем необходимо разрешить админи-стратору сети изменить пароль любого пользователя путем генерации нового пароля. Админи-стратор сети не должен знать пароль пользователя для генерации нового пароля, но он дол-жен следовать тем же правилам для распространения нового пароля, что применяются при назначении исходного пароля. Администратор сети, несомненно, должен идентифицировать пользователя, когда нужно изменить забытый пароль.
Идентификаторы групп.
На весь срок существования сети каждый идентификатор пользователя должен быть назначен только одному человеку за исключением случая, когда этим вторым человеком явля-ется администратор сети, и идентификатор пользователя идентифицируется системой как пароль, утративший силу.
Перепроверка идентификатора пользователя.
Администратор сети несет ответственность за разработку процедуры уведомления о том, что идентификатор пользователя и пароль нужно удалить из сети. Администратор должен пе-риодически перепроверять все идентификаторы пользователей и, при необходимости, обнов-лять номера телефонов и почтовые адреса не менее одного раза в год.
Воспитание ответственности за безопасность.
Руководитель службы безопасности прививает личную ответственность пользователю за сохранность паролей и за протоколирование изменений в их пользовательских статусах любых предполагаемых нарушений безопасности.
Для гарантирования безопасности в пользовательской среде и привития ответственно-сти за работу в сети. Каждый пользователь должен подписать свои обязанности, которые он понимает и признает.
Изменение паролей.
Во избежание утечки пароля, необходимо периодически изменить его, чтобы предот-вратить возможность не выявленной утечки паролей. Изменять пароли необходимо достаточ-но часто, чтобы вероятность утечки была приемлемо малой. Пользователь должен изменять свои пароли без вмешательства администратора, чтобы избежать нежелательного разглаше-ния паролей пользователей администратору сети.
Срок действия пароля.
Самой очевидной угрозой безопасности со стороны парольной системы является утечка паролей. Чем больше срок действия, в течение которого пароль используется в целях аутен-тификации, тем вероятнее возможность утечки.
Необходимо поддерживать приемлемый уровень уязвимости пароля, ограничив время, в течение которого пароль может использоваться (срок действия пароля).
Для защиты пароля от неизвестных угроз, целесообразно установить максимальный срок службы пароля не более одного года. Опасность со стороны известных угроз может ука-зывать на необходимость сокращения максимального срока действия — возможно до месяца или квартала. Кроме того, в зависимости от размера пароля и от того, как быстро нарушитель может войти в систему, необходимо изменять пароли еще чаще.
Аннулируйте пароль по истечении максимального срока. В установленный период вре-мени до истечения срока действия пароля система должна сообщить пользователю, что па-роль скоро утратит силу, затем потребовать у пользователя, который входит в систему с соот-ветствующим идентификатором, изменить пароль перед тем, как ему будет разрешен даль-нейший доступ к системе. Если пароль не изменен до истечения максимального срока службы, система должна заблокировать идентификатор пользователя. Заблокированный идентифика-тор пользователя не имеет права доступа к системе. Администратор сети разблокирует иден-тификатор пользователя, изменив пароль для этого идентификатора, следуя тем же правилам, которые применяются при входе с исходным паролем. После изменения пароля устанавлива-ется максимальный срок действия пароля, принятый системой.
Процедура изменения пароля.
Процедура изменения пароля безопасным способом включает в себя следующее.
1. Вызов процедуры по запросу пользователя или при входе пользователя в систему с утратившим силу паролем. Если пароль пользователя утратил силу, система должна сообщить ему об этом.
2. Предоставление краткой информации о главных шагах по изменению пароля, вклю-чая предостережение от реализации любых шагов, пока не сделаны предыдущие.
3. Повторная аутентификация личности с помощью ввода пользователем текущего па-роля. Это необязательно, если процедура изменения является частью процедуры регистрации в системе (регистрации в системе с утратившим силу паролем).
4. Отображение нового пароля пользователю. Он должен отличаться от старого и дол-жен быть сгенерирован по алгоритму. Пусть пользователь введет новый пароль дважды для того, чтобы система смогла убедиться, что пользователь может вводить правильный пароль.
5. Сокрытие нового пароля такими методами, как забивка символами или очистка экра-на терминала. Большинство операционных систем сети позволяют это сделать автоматически.
6. Исправление базы данных паролей только в том случае, если два введенных пароля идентичны сгенерированному паролю. Затем удаление или отметка недействительного пароля и назначение данному идентификатору пользователя нового пароля. Вывод сообщения об этом действии на экран.
7. Если пользователь ошибается при вводе текущего пароля или при создании нового пароля, система должна сообщить пользователю об ошибке и завершить процедуру аварийно без изменения пароля.
В контрольном журнале должна генерироваться запись, указывающая, измененный па-роль.
Процедура регистрации через подключенную систему.
Когда пользователи входят в вашу сеть из другой подключенной к ней сети, необходимо требовать от них аутентифицировать свою идентичность во время регистрации в системе, предоставив им пароль наряду с идентификатором пользователя. Используйте один из сле-дующих методов.
- Некоторую форму доверенной идентификации, пересылаемой между двумя централь-ными машинами.
- Удаленную центральную машину, требующую идентификатор пользователя и пароль. Идентификаторы пользователя на разных узлах могут быть различны для одного и того же пользователя, и соответствующие сгенерированные машиной пароли, наверняка, отличают-ся. Необходимо заметить также, что пароль, требуемый для удаленного центрального узла, уязвим при перехвате со стороны локального или промежуточного узла.
Запоминание паролей.
Пользователь должен помнить, а не записывать пароли на каком-то носителе. Если па-роли нужно все же записать, то эти записи следует надежно защитить, чтобы не подвергать риску рассекречивания.
Внутреннее хранение паролей.
Обычно идентификаторы пользователей, пароли в том или ином виде, а также, при не-обходимости, и уровни доверия и допуска, связанные с каждым идентификатором пользовате-ля, хранятся внутри самой сети. Без определенной формы управления доступом, основанной на использовании «yqiu» информации, нелегальные пользователи могут читать и модифици-ровать базу данных паролей. Необходимо постоянно помнить о возможности несанкциониро-ванного чтения и записи базы данных паролей. При чтении базы данных нелегальные пользо-ватели могут узнать пароли записи в базу данных. Процедура входа в систему должна иметь возможность читать базу данных паролей, а процедура изменения паролей должна иметь воз-можность, как чтения, так и записи в базу данных паролей.
Необходимо защищать сохраняемые пароли с помощью процедур управления досту-пом, предоставляемых сетью, путем шифрования паролей, или используя оба метода одно-временно.
Использование шифрования.
Шифрование защитит от возможного раскрытия пароля в том случае, если возможен обход процедуры управления доступом. Зашифровывайте пароли немедленно после их ввода и немедленно после шифрования очищайте память, содержащую открытый текст пароля. Па-роли нельзя расшифровывать для сравнения. Система может сравнивать пароли путем шиф-рования пароля, введённого при входе в систему, и сравнения зашифрованной формы с за-шифрованным паролем, хранящимся в базе данных паролей.
Контроль ввода пароля.
Система должна требовать, ввод пароля после ввода идентификатора в систему. Если введенное значение правильно, система должна вывести на экран терминала дату и время последнего входа в систему этого пользователя.
Система не должна отображать вводимые пользователем пароли. Когда система не может этого предотвратить, для скрытия напечатанного пароля до или после ввода пароли на том месте, где он должен появиться, система должна вывести произвольную последователь-ность случайных символов.
Введенный пользователем пароль должен соответствовать паролю пользователя, ко-торый хранится в базе данных.
Передача пароля.
При передаче пароля из терминала пользователя на компьютер, на котором происходит аутентификация, необходимо защитить его одним из способов, адекватным ущербу, к которо-му может привести его разглашение. Пароли уязвимы не более чем данные, к которым они обеспечивают доступ.
Интенсивность попыток входа в систему.
Для контроля нарушений, когда злоумышленник делает многократные попытки входа в систему через один и тот же порт, необходимо управлять интенсивностью угадывания пароля на основе числа попыток на порт доступа, т.е. необходимо управлять портом доступа индиви-дуально для ограничения интенсивности, с какой злоумышленник может пытаться войти в сис-тему с каждого порта. Когда нарушитель может свободно переключаться между разными пор-тами доступа, необходимо контролировать интенсивность угадывания пароля на основе числа попыток на идентификатор пользователя.
Для интенсивности попыток входа в систему устанавливается диапазон от одной в се-кунду до одной в минуту. Этот диапазон обеспечивает достаточно дружелюбный интерфейс для пользователя, не допуская такого большого числа попыток входа в систему, при котором системе пришлось бы устанавливать слишком большие пароли, или слишком короткий срок службы пароля.
В случае неудачной попытки входа в систему допустимо использование внутреннего таймера, устанавливающего задержку до разрешения следующей попытки входа в систему. Пользователь не должен иметь возможности обойти эту процедуру.
Ведение контроля.
Ведение контроля полезно, если нужно знать, кто и когда работает с вашей системой.
Контрольные журналы.
Система должна создать контрольный журнал применения и изменения паролей. Такой журнал не должен содержать действительных паролей или строк символов, представляющих неправильные варианты паролей.
Контрольный журнал должен отражать события: успешный вход в систему, неуспешные попытки входа в систему, использование процедуры изменения паролей и блокирование иден-тификатора пользователя до конца срока действия его пароля.
Каждое событие фиксируется с указанием даты и времени события, типа события, идентификатора пользователя для неуспешных входов в систему или действительного иден-тификатора пользователя для других событий и источника события (терминал или идентифи-катор порта доступа).
Записи контрольного журнала изменений пароля должны указывать, успешны ли изме-нения.
Оперативное уведомление обслуживающего персонала системы.
При пяти последовательных неудачных попытках входа в систему с одного порта досту-па или с одним идентификатором пользователя должно немедленно посылаться уведомление оператору или администратору сети. Администратору или оператору сети необязательно не-медленно предпринимать какие-либо действия при получении уведомления, частота получе-ния уведомлений может указывать, на то что попытка преодоления защиты развивается и мо-жет служить основанием для исследования и, возможно, корректирующего действия.
Уведомление пользователя.
При успешном входе в систему пользователь должен быть уведомлен о следующем:
- дате и времени последнего входа в систему пользователя;
- расположение пользователя (определенном как можно точнее) при последнем входе в систему;
- каждой неудачной попытке входа в систему, сделанной с идентификатором пользова-теля, после последнего успешного входа в систему.
Такое уведомление помогает пользователю определить об использовании или попытке кого-то угадать этот идентификатор пользователя или пароль.
Назначение паролей.
Изменение паролей система должна отображать сгенерированные машиной пароли на терминале пользователя вместе с соответствующими предупреждениями пользователю о за-щите пароля. Завершив процедуру изменения, система должна очистить или затереть отобра-жаемый пароль, в зависимости от того, что больше подходит для данного типа рабочей стан-ции или терминала. Когда администратор сети изменяет пароли, способ распределения дол-жен быть сопоставим с ущербом, который может быть причинен, если они будут разглашены.
Резюме:
Пароли являются только первым эшелоном обороны. Они не защищают передавае-мые данные потому, что для их перехвата достаточно несанкционированного подключения непосредственно к элементам сети.
Список литературы:
1. Dave Powell, "Network Abuse: Who's The Enemy?" Networking Management, September 1990, vol. 8 no 9:26(7).
2. Angiolillo, Paul, Katherine Hafner, Chuck Hawkins, Kewin Kelly, Geoff Lewis, и Maria Shao, "Is Your Computer Secure?" Business Week. August 1, 1988; 64ff .
3. Powell, Dave "Network Abuse: Who's the Enemy?" Networking Management, September 1990, vol. 8 no 9:26(7)..
4. Richards, Evelyn "Viruses Pull Computer Underground into Spotlight", The Washington Post, Febru-ary 5, 1989: H1
