11.3.3. Ідентифікація, автентифікація й авторизація

Щоб користувач отримав можливість працювати в середовищі ОС, його має бути авторизовано. Авторизованому користувачу виділяються певні ресурси системи,

для нього створюються необхідні структури даних (об'єкт-користувач) і запускаються певні процеси, які забезпечують цьому користувачу виконання його функцій. Наприклад, йому може бути виділено певну область системної пам'яті для копіювання в неї атрибутів користувача, що зберігаються у системній базі даних.

Такий користувач отримує можливість запускати від свого імені процес, який інтерпретує введені ним команди і транслює їх у системні виклики, що дає йому змогу виконувати дії з файлами та запускати програми на виконання.

У захищених системах авторизація здійснюється лише після, ідентифікації й автентифікації користувача. Ідентифікація, як було описано у розділі 1, склада­ється з двох процедур: присвоєння об'єкту (суб'єкту) ідентифікатора та розпізнавання об'єкта за наданим ідентифікатором. В ОС стосовно користувачів перша процедура полягає у створенні облікового запису користувача — цю процедуру виконує адміністратор. Друга процедура полягає у введенні користувачем свого ідентифікатора у відповідь на запит системи. Ідентифікатором може бути умовне ім'я або певне число.

Для підтвердження того, що користувач насправді є тим, за кого себе видає, проводиться автентифікація, яка вимагає від користувача введення додаткової інформації. Зараз в ОС здебільшого застосовують автентифікацію двох типів: з використанням паролів і за допомогою зовнішніх носіїв із ключовою інформацією.

Парольна автентифікація передбачає, що користувач має повідомити системі

деяку таємну інформацію, найчастіше — рядок символів. Автентифікація цього типу найпоширеніша та достатньо надійна, якщо виконуються дві умови, жодну з яких сама система проконтролювати не може, відтак виконання цих умов

є вимогою до зовнішнього середовища. По-перше, користувачі мають забезпечу­вати таємність своїх паролів. Якщо зловмисник може заволодіти паролем — па­рольну автентифікацію повністю скомпрометовано. Тому користувачі зобов'я­зані (і це регулюється виключно організаційно-адміністративними заходами) не повідомляти свої паролі будь-яким іншим особам і не записувати паролі, або, що­найменше, не зберігати записані паролі в місцях, що можуть бути доступними для інших осіб. По-друге, користувачі зобов'язані обирати такі паролі, щоб їх не могли вгадати порушники. Хоча виконання останньої вимоги насамперед зале­жить від користувачів, операційна система також має для її реалізації вбудовані засоби (вводяться обмеження на мінімальну довжину пароля, на наявність у ньо­му літер у різних регістрах, цифр і спеціальних символів). Однак усі ці заходи не захищають від паролів на кшталт 123qweRTY, відтак не здатні унеможливити спроби добирання паролів.

Звісно, що у будь-якій захищеній ОС потрібно вживати типових заходів, які протидіють добиранню паролів порушниками і заволодінню ними. До таких за­ходів належать:

• згадані вище обмеження на мінімальну довжину та складність пароля;

• обмеження терміну дії пароля (максимального та мінімального);

• блокування термінала після кількох невдалих спроб введення з нього пароля;

• блокування облікового запису користувача після кількох невдалих спроб вве­дення ним пароля;

• зберігання паролів у системі в зашифрованому вигляді, бажано — з викори­станням криптографічно стійких хеш-функцій;

• захист об'єкта, в якому зберігають зашифровані образи паролів, від несанк­ціонованого доступу.

Ідентифікація та автентифікація за допомогою зовнішніх носіїв ключової ін­формації дає змогу використовувати значно більші й складніші ключі, оскільки користувачу не потрібно їх запам'ятовувати. Хоча такий спосіб автентифікації виключає можливість добирання та вгадування паролів, залишається актуальною загроза викрадання носія. Для того щоб нейтралізувати цю загрозу, застосовують автентифікацію відразу двох типів, а саме: перш ніж використати носій, користу­вач має ввести спеціальний пароль або PIN-код. Ключі, що зберігаються на само­му носії у зашифрованому вигляді, можна розшифрувати з використанням того пароля, який вводить користувач. Отже, автентифікація може бути успішною ли­ше за умови, що користувач має при собі носій і знає правильний пароль доступу до нього. У якості таких носіїв колись використовували звичайні дискети, зго­дом — пластикові картки з магнітною смугою, потому поширення набули так звані інтелектуальні карти (Smart Card), що містять у собі не лише пам'ять, в яку можна щось записати, але й мікропроцесор, що здійснює певні перетворення ін­формації. Найсучасніші носії такої інформації — це так звані токени (мініатюрні електронні пристрої), які не лише зберігають інформацію про ключі, але й здій­снюють її захист і навіть здатні самостійно автентифікувати користувача, який їх використовує.