Разграничение доступа

. Разграничение прав пользователей по доступу к ресурсам ИС позволяет исключить случайное или преднамеренное получение и модификацию информации лицами, не имеющими соответствующих прав, а также регистрировать действия всех субъектов ИС.

Управление доступом к информации дает ответ на вопросы:

• Кто может выполнять операции над данными?

• Какие операции над данными может выполнять тот или иной субъект?

• Над какими данными может выполнять операции тот или иной субъект?

Основными функциями являются:

• идентификация субъектов и объектов;

• разграничение, при необходимости - полная изоляция доступа к ресурсам ИС;

• регистрация действий в системе.

• реализация правил разграничения доступа (ПРД) к объектам;

• реализация ПРД субъектов и их процессов;

• изоляция программ процесса;

• управление потоками данных;

• реализация правил обмена данными между субъектами.

В ИС, допускающих совместное использование объектов доступа, существует проблема распределения полномочий субъектов по отношению к объектам. Наиболее полной моделью распределения полномочий является матрица доступа.

Строки матрицы соответствуют субъектам, а столбцы — объектам; элементы матрицы характеризуют право доступа (читать, добавлять информацию, изменять информацию, выполнять программу и т.д.).

Если субъект владеет объектом, он имеет право изменять права доступа других субъектов к этому объекту.

Если некоторый субъект управляет другим субъектом, он может удалить права доступа этого субъекта или передать ему свои права доступа.

Матрицы доступа реализуются обычно двумя основными способами — либо в виде списков доступа, либо мандатных списков. Список доступа приписывается каждому объекту, и он идентичен столбцу матрицы доступа, соответствующей этому объекту. Мандатный список приписывается каждому субъекту, и он равносилен строке матрицы доступа, соответствующей этому субъекту. Когда субъект имеет права доступа по отношению к объекту, то пара (объект — права доступа) называется мандатом объекта.

Когда какой-либо пользователь или программа (субъект) обращается к ресурсам ИС (объекту), необходимо провести идентификацию и аутентификацию участников процесса доступа.

Идентификация представляет собой присвоение субъекту или объекту доступа уникального имени (идентификатора), а также сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов.

Аутентификация — это проверка принадлежности субъекту доступа предъявляемого им идентификатора, подтверждение подлинности. Задачей становления подлинности какого-либо субъекта или объекта является подтверждение того, что обратившийся субъект или предъявляемый объект являются именно теми, которые должны участвовать в данном процессе.

Пароль — строка символов, приписанная пользователю и предназначенная для использования процедурой идентификации (аутентификации).

Чем больше длина пароля, тем большую безопасность будет обеспечивать подсистема установления подлинности.

Недостатком является возможность выявления пароля путем наблюдения процесса его набора санкционированным пользователем, анализом загрязнений на клавиатуре и т.д. Кроме того, длинные пароли, необходимые для предотвращения раскрытия нарушителем, плохо запоминаются пользователями.

КРИПТОН-Замок - это комплекс аппаратно-программных средств, который предназначенных для обеспечения разграничения и контроля доступа пользователей к техническим средствам вычислительной сети (сервера и рабочие станции), на которых будет обрабатываться информация, в том числе и с высоким грифом секретности, разграничения доступа к аппаратным ресурсам компьютеров, а также контроля целостности установленной на компьютере программной среды.

Система разграничения доступа КРИПТОН-Щит предназначена для обеспечения защиты информации от НСД в автоматизированных информационных системах. Возможности КРИПТОН-Щит:

• идентификация и аутентификация пользователей

• контроль доступа к ресурсам компьютера (контроль целостности операционной среды, разграничение доступа к ресурсам ОС, настройка и описание пользователей, прав доступа пользователей к ресурсам)

• разграничение доступа к процедурам (программам)

• интеграция с аппаратными средствами защиты

• разграничение и контроль доступа к периферийным устройствам

• гибкая система протоколирования и аудит событий

Оптические USB-сканеры отпечатков пальцев BioLink (Москва) позволяют заменить многочисленные пароли быстрой и безопасной идентификацией по отпечаткам пальцев. Технические характеристики

Скорость сканирования 1/15 с

False Acceptance Rate 10^-9

(FAR вероятность допуска «чужого») (1 случай из 1 000 000 000)

Вес 120 г

Интерфейс USB 2.0/1.1, plug&play

Идентификация по лицу. К преимуществам относятся бесконтактный способ получения сведений и широкий выбор источников этих сведений.

К сожалению, технологии идентификации по лицу весьма чувствительны к внешним условиям (освещенность, поворот головы, угол ее наклона т.п.) и изменениям внешности человека).

Технологии идентификации по лицу достаточно эффективны когда, например, требуется сравнить фотографии — при условии, что снимки хорошего качества, а пользователь не предпринимает специальных усилий для того, чтобы намеренно изменить свою внешность.

Идентификация по голосу. Широкое распространение средств связи (стационарные и мобильные телефонные сети, интернет-телефония и т.д.) открывают большие возможности для применения данного идентификатора.

Система мультибиометрической идентификации BioLink AMIS обеспечивает идентификацию пользователей в режиме реального времени. Для распознавания пользователей применяются:

- отпечатки пальцев;

- изображение лица (фотографии, видеоряд);

- голос;

- почерк.

Возможно подключение любых других биометрических идентификаторов в соответствии с требованиями стандартов BioAPI, ISO и ICAO.

Помимо биометрических идентификаторов, BioLink AMIS способна обрабатывать другие персональные данные - паспортные, регистрационные (страховые полисы, водительские права, платежные карты и т.п.).