27. Безопасность. Аутентификация пользователей. Аутентификация с использованием паролей. Защита паролей. Одноразовые пароли. Схема «оклик-отзыв». Аутентификация пользователей

Большинство методов аутентифи­кации пользователей основаны на распознавании:

чего-то, известного пользователю;

чего-то, имеющегося у пользователя;

чего-то, чем является пользователь.

На этих трех принципах построены три различные схемы аутентификации, об­ладающие различными сложностями и характеристиками безопасности.

Злоумышленнику, чтобы причинить ущерб какой-либо системе, необходимо сначала зарегистрироваться в ней. Это означает, что он должен преодолеть исполь­зуемую в данной системе процедуру аутентификации. В популярной прессе таких людей называют хакерами. Однако в компьютерном мире слово «хакер» стало чем-то вроде почетного титула, закрепляемого за великими программистами, однако далеко не все высококвалифицированные программисты являются мошенниками.

Аутентификация с использованием паролей

Как правило, при вводе пароля компьютер не должен отображать вводимые символы, чтобы находящиеся рядом посторонние люди не смогли узнать пароля. В операционной системе Windows при вводе каждого символа отображается звездочка. В системе UNIX при этом вообще ничего не отображается. Эти схемы обладают различными свойствами. Схема, применяемая в Windows, помога­ет забывчивым пользователям, позволяя им видеть, сколько символов они уже набили. Однако это же свойство помогает злоумышленникам, сообщая им длину пароля.

В наиболее широко применяемой форме аутентификации от пользователя требу­ется ввести имя и пароль. Защита пароля легко реализуется. Самый простой спо­соб реализации паролей заключается в поддержании централизованного списка пар (имя регистрации, пароль). Вводимое имя отыскивается в списке, а введен­ный пользователем пароль сравнивается с хранящимся в списке. Если пароли со­впадают, регистрация в системе разрешается, если нет — в регистрации пользова­телю отказывается.

Как взломщикам удается проникнуть в систему

Большинство взломщиков проникают в систему, просто перебирая множество комбинаций имени и пароля, пока не находят комбинацию, которая работает.

Беркли Питер Шипли использо­вал несколько компьютеров в качестве устройств автодозвона. Эти компьютеры пытались дозвониться по всем 10 000 номерам одного коммутатора, перебирая номера в случайном порядке, чтобы обмануть телефон­ные компании, пытающиеся обнаружить подобное использование компьютеров. Произведя 2,6 млн звонков, он обнаружил 20000 компьютеров в районе залива, 200 из которых совсем не имели защиты. По оценке Питера Шипли, целеустрем­ленный взломщик смог бы преодолеть защиту у 75 % остальных компьютеров. Комбинация системы автодозвона и алгоритма подбора паролей может быть смертельной.

Альтернативой системе автодозвона является атака на компьютеры по Интер­нету. У каждого компьютера в Интернете есть 32-разрядный IP-адрес, используе­мый для его идентификации. Люди обычно записывают эти адреса в виде четырех десятичных чисел в диапазоне от 0 до 255, разделенных точками. Взломщик легко может определить, есть ли у какого-либо компьютера некий IP-адрес и работает ли данный компьютер в настоящий момент, при помощи команды ping w.x.y.z

Если компьютер с таким адресом включен, он ответит, и программа ping сооб­щит время прохождения сигнала в оба конца в миллисекундах. Нетрудно написать программу, перебирающую различные IP-адреса и подающую их на вход программе ping, аналогично тому, как перебирает номера телефонов обсуждавшаяся выше программа. Если по адресу w.x.y.z обна­ружен включенный компьютер, взломщик может попытаться установить соедине­ние с помощью команды telnet w.x.y.z

Если попытка установки соединения принята, взломщик может начать подбор регистрационных имен и паролей из спис­ка. Далее методом проб и ошибок взломщик может, наконец, подобрать имя и па­роль, войти в систему и прочитать список паролей. Многие демоны telnet разрывают TCP-соединение после некоторого числа не­удачных попыток регистрации, чтобы затормозить процесс подбора пароля взлом­щиком. Взломщики отвечают на этот прием установкой множества параллельных потоков, работающих одновременно с различными компьютерами. Их цель за­ключается в том, чтобы выполнять столько попыток подбора пароля в секунду, сколько позволит пропускная способность линии связи.

Атака через Интернет, очевидно, существенно выгоднее для взломщика, чем автодозвон, так как перебор происходит значительно быстрее (не требуется время на дозванивание), а также существенно дешевле (не требуется плата за между­городние телефонные звонки).