«Автентифікація» (, , — «реальний, справжній», від , — «автор») — процедура перевірки автентичності, наприклад: перевірка автентичності користувача шляхом порівняння введеного їм пароля з паролем, збереженим у базі даних користувачів; підтвердження достовірності електронного листа шляхом перевірки цифрового підпису листи з відкритого ключа відправника; перевірка контрольної суми а на відповідність сумі, заявленої автором цього файлу. У російській мові термін застосовується, в основному, в області інформаційних технологій.

Враховуючи ступінь довіри і політику безпеки систем, проводиться перевірка достовірності може бути односторонньої або взаємної. Зазвичай вона проводиться за допомогою криптографічних способів.

Автентифікацію не слід плутати з авторизацією (процедурою надання суб'єкту певних прав) і ідентифікацією (процедурою розпізнавання суб'єкта за його ідентифікатором).

Історія З давніх часів перед людством стояло досить складне завдання — переконатися в достовірності важливих повідомлень. Придумувалися мовні паролі, складні друку. Поява методів автентифікації з використанням механічних пристроїв значно спрощувало завдання, наприклад, звичайний замок і ключ були придумані дуже давно. Приклад системи автентифікації можна побачити у старовинній казці «Пригоди Алі-Баби і сорока розбійників». У цій казці йдеться про скарби, сховані в печері. Печера була загороджена каменем. Відсунути його можна було тільки за допомогою унікального мовного пароля: «Сим-Сим, відкрийся!».

У даний час у зв'язку з великим розвитком мережевих технологій автоматична автентифікація використовується повсюдно.

У цьому стандарті викладено два види автентифікації: проста, використовує пароль як перевірку заявленої ідентичності, і сувора, що використовує посвідчення особи, створені з використанням криптографічних методів.

FIPS 113 — COMPUTER AUTHENTICATION DATA Справжній стандарт встановлює Authentication Data Algorithm(DAA), який може бути використаний для виявлення несанкціонованих змін даних, як навмисних, так і випадкових, стандарт заснований на алгоритмі, зазначеному в Data Encryption Standard(DES) Federal Information Processing Standards Publication(FIPS PUB) 46, і сумісний як з Department of the treasury's Electronic Funds Transfer and Security Policy and the American National Standards Institute(ANSI) так і з Standard for Financial Institution Message Authentication.

Даний стандарт використовується для контролю за цілісністю інформації, що передається засобами криптографічного автентифікації.

Елементи системи автентифікації У будь-якій системі автентифікації зазвичай можна виділити кілька елементів: «'суб'єкт»', який буде проходити процедуру «'характеристика»' суб'єкта — відмітна риса «'господар системи автентифікації»', несе відповідальність і контролює його роботу сам «'механізм автентифікації»', тобто принцип роботи системи «'механізм, що надає певні права доступу або позбавляє суб'єкта них»'

Елемент автентифікаціїПечера 40 розбійниківРеєстрація в системіБанкоматСуб'єктЛюдина, що знає парольАвторизований користувачУтримувач банківської карткиХарактеристикаПароль «Сим-Сим, відкрийся!»Таємний парольБанківська картка та персональний ідентифікаторГосподар системи40 розбійниківПідприємство, якому належить системаБанкМеханізм автентифікаціїЧарівний пристрій, що реагує на словаПрограмне забезпечення, перевіряє парольПрограмне забезпечення, яке перевіряє картку і персональний ідентифікаторМеханізм управління доступомМеханізм, відсуваючий камінь від входу в печеруПроцес реєстрації, управління доступомДозвіл на виконання банківських дій

Чинники автентифікації Ще до появи комп'ютерів використовувалися різні відмінні риси суб'єкта, його характеристики. Зараз використання тієї чи іншої характеристики в системі залежить від необхідної надійності, захищеності та вартості впровадження. Виділяють 3 фактори автентифікації: «'Що те, що ми знаємо — пароль»'. Це таємні відомості, якими повинен володіти тільки авторизований суб'єкт. Паролем може бути мовне слово, текстове слово, комбінація для замку або особистий ідентифікаційний номер (PIN). Парольний механізм може бути досить легко втілений і має низьку вартість. Але має суттєві недоліки: зберегти пароль у таємниці часто буває складно, зловмисники постійно вигадують нові способи крадіжки, злому і підбору пароля (див. бандитський криптоаналіз, метод грубої сили). Це робить парольний механізм слабозахищеним. «'Що-те, що ми маємо — пристрій автентифікації»'. Тут важливо обставина володіння суб'єктом якимось особливим предметом. Це може бути особиста печатка, ключ від замку, для комп'ютера це файл даних, що містять характеристику. Характеристика часто вбудовується в особливий пристрій автентифікації, наприклад, пластикова картка, смарт-картка. Для зловмисника роздобути такий пристрій стає більш складно, ніж зламати пароль, а суб'єкт може відразу ж повідомити в разі крадіжки пристрою. Це робить даний метод більш захищеним, ніж парольний механізм, проте вартість такої системи більш висока. «'Щось, що є частиною нас — біометрика»'. Характеристикою є фізична особливість суб'єкта. Це може бути портрет, відбиток пальця або долоні, голос або райдужна оболонка особливість очі. З точки зору суб'єкта, даний спосіб є найбільш простим: не треба запам'ятовувати пароль, ні переносити з собою пристрій автентифікації. Однак біометрична система повинна володіти високою чутливістю, щоб підтверджувати авторизованого користувача, але відкидати зловмисника зі схожими біометричними параметрами. Також вартість такої системи досить велика. Але, незважаючи на свої недоліки, біометрика залишається досить перспективним фактором.

Способи автентифікації

Автентифікація за паролем Автентифікація за багаторазовим паролем Автентифікація за одноразовими паролями

Автентифікація за багаторазовими паролями

Один із способів автентифікації в комп'ютерній системі полягає у введенні вашого ідентифікатора, в просторіччі званого «логіном» ( — реєстраційне ім'я користувача, учетка) і пароля — якихось конфіденційних відомостей. Достовірна (еталонна) пара логін-пароль зберігається в спеціальній базі даних.

Проста автентифікація має наступний загальний алгоритм: Суб'єкт запитує доступ в систему і вводить особистий ідентифікатор та пароль. Введені неповторні дані надходять на сервер автентифікації, де порівнюються з еталонними. При збігу даних з еталонними автентифікація визнається успішною, при розходженні — суб'єкт переміщується до 1-го кроку

Введений суб'єктом пароль може передаватися в мережі двома способами: У відкритому, не зашифрованому, вигляді, на основі протоколу парольного автентифікації (Password Authentication Protocol, PAP) З використанням шифрування SSL або TLS. У цьому випадку неповторні дані, введені суб'єктом, що передаються по мережі захищено.

Захищеність З точки зору найкращою захищеності при зберіганні і передачі паролів слід використовувати односпрямовані функції. Зазвичай для цих цілей використовуються криптографічно стійкі хеш-функції. У цьому випадку на сервері зберігається тільки образ пароля. Отримавши пароль і виконавши його хеш-перетворення, система порівнює отриманий результат з еталонним чином, що зберігаються в ній. При їх ідентичності паролі збігаються. Для зловмисника, який отримав доступ до образу, обчислити сам пароль практично неможливо.

Використання багаторазових паролів має ряд істотних недоліків. По-перше, сам еталонний пароль або його хешований образ зберігаються на сервері автентифікації. Найчастіше зберігання пароля проводиться без криптографічних перетворень, системних файлах. Отримавши доступ до них, зловмисник легко добереться до конфіденційних відомостей. По-друге, суб'єкт змушений запам'ятовувати (або записувати) свій багаторазовий пароль. Зловмисник може отримати його, просто застосувавши навички соціальної інженерії, без усяких технічних засобів. Крім того, сильно знижується захищеність системи у разі, коли суб'єкт сам вибирає собі пароль. Часто виявляється якесь слово або сполучення слів, що присутні у словнику. У ГОСТ 28147-89 довжина ключа складає 256 біт (32 байти). При використанні генератора псевдовипадкових чисел ключ володіє хорошими статистичними властивостями. Пароль, який є, наприклад, слово зі словника, можна звести до псевдовипадкового числа довжиною 16 біт, що коротше ГОСТ-ового ключа в 16 раз. При достатній кількості часу зловмисник може зламати пароль простим перебором. Вирішенням цієї проблеми є використання випадкових паролів або обмеженість по часу дії пароля суб'єкта, після закінчення якого необхідно поміняти пароль.

Бази облікових записів На комп'ютерах з ОС сімейства UNIX базою є файл /etc/master.passwd (в дистрибутивах Linux зазвичай файл /etc/shadow, доступний для читання лише root), в якому паролі користувачів зберігаються у вигляді хеш-функцій від відкритих паролів, крім цього, в цьому ж файлі зберігається інформація про права користувача. Спочатку в Unix-системах пароль (в зашифрованому вигляді) зберігався у файлі /etc/passwd, доступному для читання всім користувачам, що було небезпечно.

На комп'ютерах з операційною системою Windows NT/2000/XP/2003 (не входять в домен Windows) така база даних називається SAM (Security Account Manager — Диспетчер захисту облікових записів). База SAM зберігає облікові записи користувачів, що включають в себе всі дані, необхідні системі захисту для функціонування. Знаходиться у теці %windir%\system32\config\.

У доменах Windows Server 2000/2003 такою базою є Active Directory.

Однак більш надійним способом зберігання автентифікаційних даних визнано використання особливих апаратних засобів (компонентів).

При необхідності забезпечення роботи співробітників на різних комп'ютерах (з підтримкою системи безпеки) використовують апаратно-програмні системи, що дозволяють зберігати автентифікаційні дані та криптографічні ключі на сервері організації. Користувачі можуть вільно працювати на будь-якому комп'ютері (робочої станції), маючи доступ до своїх автентифікаційних даними та криптографічних ключів.

Автентифікація за одноразовими паролями

Отримавши одного разу багаторазовий пароль суб'єкта, зловмисник має постійний доступ до зламаним конфіденційних даних. Ця проблема вирішується застосуванням одноразових паролів (OTP — One Time Password). Суть цього методу — пароль дійсний тільки для одного входу в систему, при кожному наступному запиті доступу — потрібен новий пароль. Реалізований механізм автентифікації за одноразовими паролями може бути як апаратно, так і програмно.

Технології використання одноразових паролів можна розділити на: Використання генератора псевдовипадкових чисел, єдиного для суб'єкта і системи Використання тимчасових міток разом з системою єдиного часу Використання бази випадкових паролів, єдиної для суб'єкта і для системи

В першому методі використовується генератор псевдовипадкових чисел з однаковим значенням для суб'єкта і для системи. Згенерований суб'єктом пароль може передаватися системі при послідовному використанні односторонньої функції або при кожному новому запиті, ґрунтуючись на унікальній інформації з попереднього запиту.

У другому методі використовуються тимчасові мітки. Як приклад такої технології можна навести SecurID. Вона заснована на використанні апаратних ключів і синхронізації за часом. Автентифікація заснована на генерації випадкових чисел через певні часові інтервали. Унікальний секретний ключ зберігається тільки у базі системи і в апаратному пристрої суб'єкта. Коли суб'єкт запитує доступ в систему, йому пропонується ввести PIN-код, а також випадково генерується число, відображене в цей момент на апаратному пристрої. Система порівнює введений PIN-код і секретний ключ суб'єкта зі своєї бази і генерує випадкове число, ґрунтуючись на параметрах секретного ключа з бази і поточного часу. Далі перевіряється ідентичність згенерованого числа і числа, введеного суб'єктом.