- •Тема 1 . Методы защиты информации
- •2. Краткий обзор современных методов защиты информации
- •2.1. Ограничение доступа
- •2.2. Контроль доступа к аппаратуре
- •2.3. Разграничение и контроль доступа к информации
- •2.4. Разделение привилегий на доступ
- •2.5. Идентификация и установление подлинности объекта.
- •2.6. Идентификация и установление подлинности личности
- •3. Система опознания и разграничения доступа к информации (сорди)
- •Тб ѕ t,
2.4. Разделение привилегий на доступ
Разделение привилегий на доступ к информации заключается в том, что из числа допущенных к ней должностных лиц выделяется группа, которой предоставляется доступ только при одновременном предъявлении полномочий всех членов группы.
Задача указанного метода — существенно затруднить преднамеренный перехват информации нарушителем. Примером такого доступа может быть сейф с несколькими ключами, замок которого открывается только при наличии всех ключей. Аналогично в АСОД может быть предусмотрен механизм разделения привилегий при доступе к особо важным данным с помощью кодов паролей.
Данный метод несколько усложняет процедуру, но обладает высокой эффективностью защиты. На его принципах можно организовать доступ к данным с санкции вышестоящего лица по запросу или без него.
Сочетание двойного криптографического преобразования информации и метода разделения привилегий позволяет обеспечить высокоэффективную защиту информации от преднамеренного НСД.
Кроме того, при наличии дефицита в средствах, а также в целях постоянного контроля доступа к ценной информации со стороны администрации потребителя АСУ в некоторых случаях возможен вариант использования права на доступ к информации нижестоящего руководителя только при наличии его идентификатора и идентификатора его заместителя или представителя службы безопасности информации. При этом информация выдается на дисплей только руководителя, а на дисплей подчиненного - только информация о факте ее вызова.
2.5. Идентификация и установление подлинности объекта.
Идентификация — это присвоение какому-либо объекту или субъекту уникального образа, имени или числа. Установление подлинности (аутентификация) заключается в проверке, является ли проверяемый объект (субъект) тем, за кого себя выдает. Или, аутентификация – это процедура, проверяющая, имеет ли пользователь с предъявленным идентификатором право на доступ к ресурсу. Если объяснять еще проще - проверка соответствия имени входа и пароля. Аутентификация выполняется программным модулем, находящимся непосредственно на компьютере. Сначала модуль запрашивает пароль пользователя (например), после чего пользователь вводит свою аутентификационную информацию, которая сравнивается с эталоном. На основании результатов этого сравнения юзер считается опознанным или нет.
Конечная цель идентификации и установления подлинности объекта в вычислительной системе — допуск его к информации ограниченного пользования в случае положительного исхода проверки или отказ в допуске в случае отрицательного исхода проверки.
Объектами идентификации и аутентификации в вычислительной системе могут быть:
человек (оператор, пользователь, должностное лицо);
техническое средство (терминал, дисплей, ЭВМ, КСА);
документы (распечатки, листинги и др.);
носители информации (магнитные ленты, диски и др.);
информация на дисплее, табло и т. д.
Установление подлинности объекта может производиться человеком, аппаратным устройством, программой, вычислительной системой и т. д.
В вычислительных системах применение указанных методов в целях защиты информации при ее обмене предполагает конфиденциальность образов и имен объектов.
При обмене информацией между человеком и ЭВМ (а при удаленных связях обязательно) вычислительными системами в сети рекомендуется предусмотреть взаимную проверку подлинности полномочий объекта или субъекта. В указанных целях необходимо, чтобы каждый из объектов (субъектов) хранил в своей памяти, недоступной для посторонних, список образов (имен) объектов (субъектов), с которыми производится обмен информацией, подлежащей защите.