Властивість систем бути здатними забезпечувати справжність даних. Двухфакторная перевірка справжності. Компетентні і некомпетентні

Акредитив - умовне грошове зобов'язання, прийняте банком за дорученням платника, яке дозволяє виконувати платежі на користь одержувача коштів. Банк може виконувати платежі продавцеві або давати повноваження іншому банку здійснити такі платежі при виконанні умов акредитива.

аутентифікація

Аутентифікація - це процес визначення особистості клієнта за наданою ним інформацією. Аутентифікація здійснюється наступними способами:

автентичність даних

Властивість даних бути справжніми і властивість систем бути здатними забезпечувати справжність даних.

Справжність даних означає, що вони були створені законними учасниками інформаційного процесу і не піддавалися випадковим або навмисним перекручуванням.

Здатність системи забезпечувати справжність даних означає, що система здатна виявити всі випадки спотворення даних з ймовірністю помилки, що не перевищує заданої величини.

закритий ключ

Закритий ключ (private key) - закрита (секретна) частина пари криптографічних ключів. Служить для створення електронних підписів, які потім можна перевіряти за допомогою, і для розшифровки повідомлень, які були зашифровані.

Закритий ключ зберігає тільки його власник, ні в якому разі не розкриваючи його нікому. Втрата закритого ключа означає можливість розкриття третіми особами будь-якої інформації, зашифрованої для його власника, а також можливість підробки ЕП його власника третіми особами. У будь-який криптографічного системі закритий ключ завжди є найважливішим секретом, саме тому він повинен зберігатися в таємниці.

відкритий ключ

Відкритий ключ (public key) - відкрита (несекретна) частина пари криптографічних ключів. Служить для перевірки електронних підписів, створених за допомогою парного йому, і для шифрування повідомлень, які будуть потім розшифровані.

Відкритий ключ направляється на реєстрацію в центр сертифікації - організацію, що займається реєстрацією відкритих ключів та їх власників, а також видачею електронних, що підтверджують приналежність відкритих ключів конкретним особам. У центрі сертифікації сертифікати всіх відкритих ключів абонентів поміщаються в базу даних, звідки можуть надаватися за запитом будь-якому звернувся в центр особі.

Паспорт угоди за контрактом

Паспорт угоди за контрактом - документ, який оформляється при здійсненні валютної операції за контрактом.

Паспорт угоди за кредитним договором

Паспорт угоди за кредитним договором - документ, який оформляється при здійсненні валютної операції за кредитним договором або договором позики.

протокол SSL

SSL (Secure Sockets Layer) був розроблений компанією Netscape. Він дозволяє ідентифікувати обмінюються даними боку на основі електронних сертифікатів, здійснювати переданих даних і гарантувати відсутність спотворення даних в процесі передачі.

Зверніть увагу! Можливість використання протоколу SSL визначається наявністю прапорця в полі SSL 2.0 або SSL 3.0, Встановленої при налаштуванні веб-браузера.

резидент

Резидент - юридична або фізична особа, постійно зареєстроване або постійно проживає в даній країні.

сертифікат

Сертифікат являє собою документ (можливо в електронній формі), що містить, який належить власнику сертифіката, разом з додатковою інформацією про його власника (наприклад, ПІБ і назву організації, адреса електронної пошти тощо), підписаний підтверджуючий центр (Certificate Authority) .

Основне завдання сертифіката - зв'язати відкритий ключ з особистістю його власника (власника парного йому закритого ключа).

Сертифікати мають строк дії, після закінчення якого вони стають недійсними. Термін дії відображений в змісті сертифіката.

Сертифікати зберігаються в реєстрі Windows або на інших носіях ключової інформації. Доступ до сертифікатів, зареєстрованим в реєстрі Windows, можна отримати з Internet Explorer, в якому є майстер імпорту / експорту сертифікатів і закритих ключів.

шифрування

Шифрування інформації - це спосіб запобігання неавторизованого перегляду або використання інформації. Для здійснення шифрування застосовуються спеціальні математичні алгоритми (криптоалгоритми). Шифрування гарантує захист секретної інформації від несанкціонованого доступу з боку третіх осіб. Для відновлення зашифрованої інформації здійснюється зворотне перетворення - розшифровка. Для розшифровки інформації необхідна наявність відповідного секретного (закритого) ключа.

У сучасних системах використовується пара ключів шифрування відкритий ключ (public key), який може бути відомий кожному, і парний йому закритий ключ (private key), відомий тільки власнику цього ключа. Пара відповідних ключів може застосовуватися для шифрування, а також для створення та перевірки електронного підпису (ЕП), і при цьому має такі властивості:

Зашифроване за допомогою відкритого ключа повідомлення може бути розшифровано тільки за допомогою парного йому закритого ключа.
ЕП, створена за допомогою закритого ключа, може бути перевірена на відповідність за допомогою парного йому відкритого ключа.

Електронний підпис

Для підписання електронних документів використовується електронний підпис. Електронний підпис (ЕП) - це реквізит електронного документа, призначений для захисту даного електронного документа від підробки, що дозволяє ідентифікувати власника сертифіката ключа підпису, а також встановити відсутність спотворення інформації в електронному документі.

Електронний підпис формується за допомогою, який може зберігатися на дискеті, в системному реєстрі, на смарт-картах і т.д.

ЕП може бути перевірена за допомогою, парного того закритому ключу, за допомогою якого формувалася ця ЕП. Таким чином, знаючи відкритий ключ користувача, можна з точністю встановити, хто підписував цей документ.

Для відправки документа в банк необхідно наявність хоча б однієї електронного підпису. Кількість застосовуваних ЕП під кожним документом визначається в банку індивідуально для кожного клієнта і встановлюється в Договорі на обслуговування в системі «Інтернет-клієнт для юридичних осіб».

Спосіб підтвердження автентичності даних, переданих в системі передачі цифрових даних, що відрізняється організацією і посвідченням автентичності даних перед передачею в ієрархічну структуру з щонайменше одного блоку кореневого каталогу, блоку підкаталогу і блоку файлу, причому до даних файлу застосовують алгоритм встановлення автентичності, а відповідне файлу засвідчує справжність значення зберігають в посилається на файл блоці підкаталогу, причому до цього засвідчує справжність файлу значенням, в свою чергу, застосовують алгоритм встановлення автентичності, а відповідне подкаталогу засвідчує справжність значення зберігають в посилається на підкаталог кореневому каталозі. Інші аспекти винаходу стосуються підтвердження автентичності другого кореневого каталогу шляхом генерування другого засвідчує справжність значення і сертифікувати даних перед инкапсуляцией в таблиці або секції транспортного потоку. Технічний ефект, який досягається винаходом, полягає в забезпеченні перевірки цілісності даних і засвідченні справжності програмного забезпечення, що надається кількома операторами мовлення. 4 с. і 20 з.п.ф-ли, 7 мул.

Текст опису в факсимільному вигляді (см. Графічну частину).

формула винаходу

1. Спосіб підтвердження автентичності даних, переданих в системі передачі цифрових даних, що відрізняється тим, що згадані дані перед передачею організовують в ієрархічну структуру з щонайменше одного блоку кореневого каталогу, блоку підкаталогу і блоку файлу, до даних файлу застосовують алгоритм встановлення автентичності, і відповідне засвідчує справжність файлу значення зберігають в посилається на даний файл підкаталозі, до цього що посвідчує справжність файлу значенням, в свою чергу, застосовують певний алгоритм встановлення автентичності та відповідне засвідчує справжність підкаталогу значення зберігають в посилається на даний підкаталог кореневій каталоге.2. Спосіб за п.1, що відрізняється тим, що засвідчення справжності даних файлу виконується шляхом застосування алгоритму хешування до деяких або до всіх даних цього файлу і отримане в результаті значення хеш-функції зберігається як засвідчує справжність файлу значення в посилається на даний файл подкаталоге.3. Спосіб за п.2, що відрізняється тим, що згаданий алгоритм хешування є криптографически захищеним алгоритмом, який генерує практично унікальне значення хеш-функції, виходячи із заданого набору данних.4. Спосіб за допомогою одного з попередніх пунктів, який відрізняється тим, що засвідчення справжності файлових даних для безлічі файлів виконується шляхом застосування алгоритму хешування до об'єднаних даними безлічі файлів, з генеруванням єдиного значення хеш-функціі.5. Спосіб за допомогою одного з попередніх пунктів, який відрізняється тим, що засвідчення справжності підкаталогу виконується шляхом застосування алгоритму хешування щонайменше до згаданого засвідчує справжність файлу значенням і отримане в результаті значення хеш-функції зберігається як засвідчує справжність підкаталогу значення в посилається на даний підкаталог кореневому каталозі. 6. Спосіб за допомогою одного з попередніх пунктів, який відрізняється тим, що засвідчення справжності безлічі підкаталогів виконується шляхом застосування алгоритму хешування до об'єднання засвідчують достовірність файлів значень з безлічі підкаталогів, з генеруванням єдиного значення хеш-функціі.7. Спосіб за допомогою одного з попередніх пунктів, який відрізняється тим, що до, щонайменше, деяким з даних, що зберігаються в кореневому каталозі, застосовують секретний ключ алгоритму шифрування і отримане в результаті зашифроване значення зберігають в кореневому каталозі. 8. Спосіб за п.7, що відрізняється тим, що згадані зашифровані дані відповідають цифрового підпису, згенерованої з використанням секретного ключа алгоритму шифрування, яка може бути перевірена з використанням відповідного відкритого ключа.9. Спосіб за допомогою одного з попередніх пунктів, який відрізняється тим, що залежний блок включає в себе деякий зашифроване значення, сгенерированное секретним ключем, і яке засвідчує справжність значення для цього блоку обчислюється, виходячи з результатів застосування алгоритму сертифікувати до згаданого зашифрованого значенням, і зберігається в блоці, посилається на згаданий залежний блок.10. Спосіб за п.9, що відрізняється тим, що значення підпису для згаданого залежного блоку генерується за допомогою алгоритму шифрування і до цього значення підпису застосовують алгоритм хешування для генерування згаданого засвідчує справжність значенія.11. Спосіб за п.9 або 10, який відрізняється тим, що згаданим залежним блоком є \u200b\u200bблок підкаталогу або файла.12. Спосіб за п.9 або 10, який відрізняється тим, що згаданим залежним блоком є \u200b\u200bблок другого кореневого каталога.13. Спосіб за допомогою одного з попередніх пунктів, який відрізняється тим, що згадані блоки відповідають безлічі файлів даних, інкапсульованих в містять дані секції або таблиці, інкапсуліруемие потім в пакети даних для утворення транспортного потока.14. Спосіб за п.13, який відрізняється тим, що згадані блоки переважно відповідають об'єктам даних, форматованим відповідно до стандарту DSMCC.15. Спосіб за п.13 або 14, який відрізняється тим, що згадані блоки вміщені в таблиці і пакети, які відповідають вимогам стандарту MPEG.16. Спосіб підтвердження автентичності першого і другого наборів пов'язаних блоків даних, переданих в системі передачі цифрових даних, що відрізняється тим, що один блок з першого набору блоків містить підпис, що генерується секретним ключем, застосовуваним до згаданого першого блоку, справжність щонайменше значення цього підпису засвідчують алгоритмом посвідчення справжності, а яке засвідчує справжність значення зберігають в блоці згаданого другого набору блоків, посилається на згаданий перший блок.17. Спосіб за п.16, який відрізняється тим, що згадане зашифроване значення відповідає цифрового підпису, згенерованої секретним ключем, застосованим до щонайменше деяким з даних у відповідному блоке.18. Спосіб за п.16 або 17, який відрізняється тим, що згадані блоки даних відповідають безлічі файлів даних, інкапсульованих в містять дані секції або таблиці, інкапсуліруемие потім в пакети даних для утворення транспортного потоку. 19. Спосіб підтвердження автентичності даних, переданих в системі передачі цифрових даних, що відрізняється тим, що дані організовують у вигляді послідовності файлів даних і засвідчують справжність файлів незалежно від операції або операцій форматування і інкапсуляції даних і перед цією операцією або операціями, використовуваними згаданої системою передачі цифрових даних для підготовки даних до передачі в транспортному потоці пакетов.20. Спосіб за п.19, який відрізняється тим, що засвідчення справжності даних виконується перед инкапсуляцией даних в послідовність таблиць, які потім інкапсулюють в пакети даних транспортного потоку пакетов.21. Спосіб за допомогою одного з попередніх пунктів, який відрізняється тим, що згадана система передачі цифрових даних відповідає системі цифрового телевіденія.22. Спосіб перевірки отриманих даних, переданих в системі передачі цифрових даних відповідно до будь-яким з пп.1-15, що відрізняється тим, що приймає декодер застосовує до даних файлу алгоритм встановлення автентичності та порівнює отримане значення з документом справжність значенням, що зберігається в посилається на даний файл підкаталозі, а також застосовує щонайменше до згаданого засвідчує справжність файлу значенням, що зберігається в згаданому підкаталозі, алгоритм встановлення автентичності та порівнює отримане в результаті значення з відповідним засвідчує справжність підкаталогу значенням, що містяться в кореневому каталозі, посилається на даний подкаталог.23. Спосіб перевірки отриманих даних, переданих в системі передачі цифрових даних відповідно до будь-яким з пп.16-18, що відрізняється тим, що декодер перевіряє значення підпису першого блоку, використовуючи відповідний відкритий ключ, а також перевіряє згадане засвідчує справжність значення, що міститься у згаданому блоці згаданого другого набору блоків, застосовуючи алгоритм встановлення автентичності до щонайменше згаданому значенням подпісі.24. Спосіб перевірки отриманих даних, переданих в системі передачі цифрових даних відповідно до будь-яким з пп.19-21, що відрізняється тим, що операція перевірки даних виконується після того, як файл даних був відновлений декодером з інкапсульованих і форматованих даних, переданих системою передачі цифрових даних .

МАЛЮНКИ

, , , , ,

TK4A - Поправки до публікацій відомостей про винаходи в бюлетенях "Винаходи (заявки та патенти)" і "Винаходи. Корисні моделі"

сторінка: 604

надруковано: 15. ... згадані блоки вміщені в таблиці ...

Номер і рік публікації бюлетеня: 18-2004

Вам знадобиться

Читацький квиток
Доступ до Інтернету
Уміння працювати з бібліотечними каталогами
Уміння працювати з пошуковими службами інтернету

Інструкція

З'ясуйте, з чим ви маєте справу - з фактом або оценкойПервое, з чим ми стикаємося при отриманні нової інформації - це факти. Фактом називаються відомості, вже перевірені на достовірність. Та інформація, що її перевірили чи яку неможливо перевірити, фактом не является.Фактамі можуть бути числа, дати, імена, події. Все, що можна помацати, виміряти, перерахувати, підтвердити. Факти надаються різними джерелами - науково-дослідними інститутами, соціологічними агентствами, агентствами статистики і т.д. Головне, що відрізняє факт від оцінки - об'єктивність. Оцінка завжди висловлює чиюсь суб'єктивну позицію, емоційне ставлення, заклик до якихось дій. Факт не дає ніякої оцінки, ні до чого не закликає.

Перевірте джерела інформацііВторое, з чим ми стикаємося - це джерела інформації. Далеко не всі факти ми можемо перевірити самостійно, тому наше знання багато в чому грунтується на довірі до джерел. Як перевірити джерело інформації? Відомо, що критерієм істинності є практика, іншими словами істинно тільки те, за допомогою чого ми можемо вирішити конкретну задачу. Інформація повинна бути ефективною. Цю ефективність відображає число людей, які успішно застосували дані відомості. Чим більше людей довіряють джерела, посилаються на нього, тим вірогідніше надається інформація.

Порівняйте джерела інформацііК щастя, популярність і авторитетність джерела ще не є гарантією достовірності. Однією з ознак достовірної інформації є її несуперечливість. Будь-який факт повинен бути підтверджений результатами незалежних досліджень, тобто він повинен повторитися. Незалежні дослідники повинні прийти до одних і тих самих висновків. До випадкових, одиничних відомостями необхідно ставитися з великою обережністю. Чим більше однакових відомостей отримано від різних джерел, тим ці відомості достовірніше.

Перевірте репутацію джерела інформацііДело в тому, що джерело завжди несе відповідальність за надані факти. Ця відповідальність не тільки морально-етична, а й матеріальна. За надання сумнівних даних організації, їх надають, можуть втратити кошти для існування. Втрата читачів, штраф або навіть тюремне ув'язнення - наслідки для брехунів можуть бути найтяжчими. Солідні організації бережуть репутацію і ніколи не стануть ризикувати, публікуючи недостовірну інформацію. Почитайте історію організації, дізнайтеся імена її керівників, ознайомтеся з відгуками читачів і думками експертів.

Дізнайтеся про автора джерела інформацііЛюбая інформація, в кінцевому підсумку, передається людьми. Якщо інформація викликає у вас сумніви, перевірте, хто є автором. Почитайте інші роботи автора, дізнайтеся його біографію, чи має він науковий ступінь, яку посаду обіймає, яким досвідом володіє в даній області і, звичайно, на кого посилається. Якщо неможливо дізнатися про автора, то і довіряти сумнівної інформації не рекомендується.

Вартість комерційних рішень двухфакторной перевірки автентичності нерідко висока, а розміщувати пристрої ідентифікації і управляти ними складно. Однак можна створити власне рішення для двухфакторной перевірки автентичності з використанням IP-адреси користувача, файлу-«маяка» або цифрового сертифікату.

Різні комерційні рішення забезпечують захист Web-вузлів, що виходить за рамки традиційних методів перевірки автентичності з використанням одного фактора (т. Е. Комбінації імені користувача і пароля). В якості другого фактора можна взяти географічне положення, поведінку користувача, запити з зображеннями, а також більш знайомі смарт-карти, пристрої та відбитки пальців. Додаткові відомості про двохфакторну комерційних рішеннях можна знайти в статтях, перелічених в урізанні «Додаткова література».

Але комерційні рішення - не єдиний варіант. Двухфакторную процедуру перевірки автентичності можна підготувати самостійно. У даній статті пропонуються деякі рекомендації з проектування двухфакторной перевірки автентичності для Web-додатків, а також наводяться приклади вихідного тексту, на основі яких можна почати власний проект.

Огляд двухфакторной перевірки

Повернемося до короткого огляду двухфакторной перевірки автентичності, т. Е. Використання двох різних форм ідентифікації потенційних користувачів. Перевірити справжність можна із застосуванням трьох форм:

Чогось відомого;

Якийсь характеристики користувача;

Чогось, що є у користувача.

У більшості додатків застосовується тільки одна з цих форм, зазвичай перша. Ім'я користувача і пароль є відомі дані.

Цей рівень безпеки цілком прийнятний для більшості Web-вузлів і додатків. Однак, з огляду на значне збільшення числа крадіжок особистих даних і інших видів шахрайства в мережі, на деяких Web-вузлах вводиться двухфакторная перевірка справжності. Відповідно до нового законодавства починаючи з 2007 р всі електронні банківські сайти повинні застосовувати двухфакторную перевірку. Незабаром ці вимоги можуть бути поширені на сайти з підбору персоналу, медичні, урядові та інші сайти, на яких можна отримати доступ до особистих даних.

Як зазначалося вище, існує багато комерційних продуктів для двухфакторной перевірки. Їх ціни найрізноманітніші, хоча початковий рівень досить високий. Не у кожної компанії є кошти для великого рішення. А деякі компанії використовують вузькоспеціалізовані програми, погано сумісні з комерційними продуктами. У будь-якому випадку корисно подумати про власний двухфакторную вирішенні. Наведені в цій статті рекомендації допоможуть вийти на вірний шлях проектування.

Застосування IP-адреси

У статті «Захистіть сайт від атак», опублікованій в., Дається короткий опис застосування IP-адреси для додаткової ідентифікації користувача. Цей метод відноситься до категорії «якийсь характеристики користувача». У багатьох комерційних рішеннях використовуються біологічні характеристики (наприклад, відбитки пальців або візерунок райдужної оболонки ока). Завдяки зниженню вартості апаратних засобів і вдосконалення програм цей варіант став більш практичним, але ціни все ще досить високі.

Крім того, деякі користувачі заперечують проти зберігання їх біометричних даних в компанії. Одна справа, якщо хтось сторонній дізнається номер карти соціального забезпечення, і зовсім інше - крадіжка відбитків пальців!

Використовувати рішення, засноване на програмному коді, простіше і дешевше. Природно, його достовірність поступається фізичним рішенням, але для багатьох випадків застосування воно забезпечує достатню точність. У кожного користувача є IP-адреса, який може використовуватися як другий фактор перевірки.

Суть методу зводиться до того, що при спробі реєстрації IP-адреса користувача витягується з журналів Web-сервера або іншого джерела. Потім адреса піддається однієї або кількох перевірок. У разі успіху і якщо ім'я реєстрації і пароль вірні, користувачеві надається доступ. Якщо користувач не проходить цей рівень перевірки, запит відкидається або направляється на більш глибокий рівень аналізу. Зокрема, користувачеві можуть бути задані додаткові особисті питання (наприклад, назвати дівоче прізвище матері) або запропоновано звернутися по телефону до уповноваженого представника для внесетевой перевірки.

Існує кілька способів перевірки IP-адреси, кожен з яких забезпечує певний рівень достовірності при ідентифікації користувача. Найпростіший тест - порівняти IP-адреса користувача зі списком відомих небажаних адрес поза області обслуговування. Наприклад, якщо користувачі знаходяться в основному в одній країні, то можна проводити порівняння зі списком небажаних адрес поза цієї країни. З огляду на, що значна частина спроб крадіжки особистих даних виходить з-за меж конкретної країни, блокування небезпечних адрес за межами країни напевно дозволить запобігти великій кількості спроб шахрайства.

Отримати списки небезпечних адрес не складе труднощів. Список Bob's Block List за адресою http://www.unixhub.com/block.html починається з блоків адрес в Азії, Латинській Америці та країнах Карибського басейну. Зіставлення з ним може бути корисним, якщо у компанії немає користувачів в цих регіонах. Слід зазначити, що в списки, отримані з безкоштовних вузлів, потрібно внести деякі зміни, щоб не блокувати корисні сайти. Комерційні списки відрізняються більш високою точністю, наприклад MaxMind за адресою http://www.maxmind.com. У лістингу 1 показаний зразок псевдокоду для реалізації цього підходу.

Однак, якщо небажано блокувати користувачів по регіонах або необхідна більш висока вибірковість, можна записувати IP-адреса користувача при реєстрації під час першого відвідування, за умови що процес реєстрації у своєму розпорядженні засоби перевірки користувача. Зокрема, можна запропонувати користувачеві відповісти на один або два питання (наприклад, попросити назвати номер школи, в якій він навчався) або попросити ввести реєстраційний код, попередньо переданий йому по електронній пошті. Після того як отримано IP-адресу і проведена перевірка, можна використовувати цю адресу для оцінки подальших спроб реєстрації.

Якщо всі користувачі будуть звертатися за доступом тільки з корпоративних сайтів з відомими і фіксованими IP-адресами, то дуже ефективний метод - зіставлення зі списком заздалегідь схвалених адрес. При цьому користувачі з невідомих сайтів позбавляються права доступу. Однак якщо користувачі звертаються з сайтів, адреси яких невідомі заздалегідь, наприклад, з дому, де зазвичай немає статичного IP-адреси, то точність визначення різко знижується.

Менш надійне рішення - порівнювати «нечіткі» IP-адреси. Internet-провайдери домашніх користувачів призначають IP-адреси з належного їм діапазону, зазвичай підмережі класу C або B. Тому для перевірки автентичності можна використовувати лише перші два або три октету IP-адреси. Наприклад, якщо для користувача зареєстрований адреса 192.168.1.1, то згодом для нього, можливо, доведеться приймати адреси з 192.168.1.1 до 192.168.254.254. Такий підхід пов'язаний з деяким ризиком атаки з боку зловмисника, котрий має послугами того ж провайдера, але тим не менше він дає хороші результати.

Крім того, користувачів можна перевіряти, використовуючи IP-адреси для визначення їх місцезнаходження. Необхідно купити комерційну базу даних, що містить всі відомі області IP-адрес і їх приблизне місце розташування, наприклад у такій компанії, як MaxMind або Geobytes (http://www.geobytes.com). Якщо зареєстроване місце розташування користувача - Х'юстон і згодом він спробує звернутися до сайту з Румунії або навіть з Нью-Йорка, то в доступі можна відмовити або, по крайней мере, виконати більш глибоку перевірку. Цей метод вирішує проблеми зміни провайдером блоку адрес. Однак у зловмисника залишається шанс доступу з того місця, де є зареєстровані користувачі.

Можна виконати перевірку справжності з подвійним другим фактором, починаючи з виключення всіх IP-адрес, які збігаються зі списком блокування, або зіставлення з «білим» списком. Якщо застосовується «білий» список і в ньому немає перевіряється IP-адреси, то користувачеві може бути заданий додатковий питання. Якщо IP-адреса нарешті схвалений, то користувачеві можна запропонувати додати поточний IP-адреса в «білий» список (користувачам слід пояснити, що в список можна вносити тільки адреси регулярно використовуваних комп'ютерів). У лістингу 2 показаний псевдокод для зіставлення зі списком блокування і «білим» списком.

Перевірка справжності із застосуванням IP-адрес не годиться для тих випадків, коли численні мобільні користувачі звертаються до сайту з готельних номерів і інших місць в країні і за її межами, постійно змінюючи IP-адреси, Internet-провайдерів та місцезнаходження. Для таких користувачів не можна застосувати список заборонених IP-адрес. Цих користувачів не виявиться і в списку дозволених IP-адрес. Однак вони все ж можуть відповісти на контрольне запитання в ході перевірки автентичності.

Щоб надати більш надійний захист для «мандрівних користувачів», можна поглибити перевірку, взявши до уваги версію браузера (яка, як правило, змінюється нечасто), операційної системи і навіть MAC-адресу мережевої плати. Однак при використанні таких методів зазвичай потрібно запустити спеціальну програму на клієнті для доступу до необхідних параметрів. Правда, MAC-адреси і версії браузера та операційної системи можна підробити, і цей метод захисту не є бездоганно надійним.

Використання файлів-«маяків» і сертифікатів

Альтернативний варіант - задіяти одну з двох інших форм перевірки: «чогось, що є у користувача». Апаратні системи перевірки запитують спеціальний пристрій. В самостійно проектованих програмних системах можна використовувати файли- «маяки» або сертифікат, що зберігається в комп'ютерах користувачів. Цей підхід подібний до сертифікатам безпеки на Web-вузлах електронної комерції, які засвідчують, що інформація про замовлення передається на потрібний сайт.

Найпростіше застосувати файли- «маяки». Багато компаній використовують їх для відстеження сеансових ключів та іншої інформації для користувачів. Потрібно лише створити постійний файл-«маяк» і зберегти його в комп'ютері користувача для впізнання в майбутньому. Можна не обмежуватися простими файлом- «маяком» і зашифрувати частину файлу, щоб шахраєві було важче підробити його.

Більш високий рівень безпеки забезпечують цифрові сертифікати. Вони вимагають певної підготовки з боку користувача: сертифікат необхідно створити всередині компанії або отримати з центру сертифікації (Certificate Authority, CA). Останній метод більш надійний, так як підробити зовнішній сертифікат важче. Однак поточні витрати на підтримку сертифіката можна порівняти з витратами на двухфакторную рішення на основі пристроїв ідентифікації.

Звичайно, файли- «маяки» і сертифікати застосовні тільки на домашніх комп'ютерах співробітників та інших комп'ютерах, зареєстрованих в системі перевірки автентичності. Потрібен альтернативний метод для впізнання користувачів, що працюють з комп'ютерами, які їм не належать. Один з таких методів - контрольні питання, згадані вище і наведені в лістингу 2. Однак подумайте, чи виправдано надання доступу до важливих додатків із загальнодоступних комп'ютерів, з огляду на загрозу з боку програм, які реєструють натискання на клавіші, шпигунських і інших шкідливих програм.

У статті розглянуті два способи організувати просту двухфакторную перевірку справжності для Web-додатків: один з використанням «якийсь характеристики користувача» (IP-адреса), інший з використанням «чогось, що є у користувача» (файли- «маяки» або сертифікати). Слід пам'ятати, що ці рішення не забезпечують дуже високого рівня безпеки, необхідного, наприклад, у фінансовій сфері, для якої більше підходять апаратні засоби. Але наведені в статті рішення чудово поєднуються з іншими методами для більш надійного захисту корпоративних мереж і сайтів електронної комерції.

Поль Хенсарлінг ([Email protected]) - аналітик з безпеки в консалтинговій компанії. Має сертифікат CSSA;

Тоні Хаулетт ([Email protected]) - президент мережевий консалтингової фірми Network Security Services. Має сертифікати CISSP і CSNA

механізми близько пов'язані, тому що механізм або комбінація механізмів застосовуються, щоб забезпечити обслуговування. Механізм може використовуватися в одній або кількох послуг. Нижче ці механізми коротко обговорюються, щоб зрозуміти їх загальну ідею. Далі вони будуть розглянуті більш детально.

ITU -T (X.800) визначив п'ять послуг, пов'язаних з цілями інформаційної безпеки і атаками, типи яких ми визначили в попередніх секціях. Малюнок 1.3 показує класифікацію п'яти загальних послуг.

Мал. 1.3.

Щоб запобігти атакам на інформаційну безпеку, про які ми говорили, треба просто мати одну або більше показаних вище послуг для одного або більшої кількості цілей інформаційної безпеки.

Конфіденційність даних

Конфіденційність даних розроблена, щоб захистити дані від спроби їх розкриття. Ця широка послуга, певна в рекомендації ITU -T X.800. Вона може охоплювати конфіденційність цілого повідомлення або його частини, а також захищає від спостереження за трафіком і його аналізу - власне, вона розроблена для запобігання втручання і спостереження за трафіком.

Цілісність даних

Цілісність даних розроблена для захисту даних від модифікації, вставки, видалення і повторної передачі інформації противником. Вона може захищати ціле повідомлення або частину повідомлення.

Встановлення дійсності (аутентифікація)

Ця послуга забезпечує встановлення автентичності (аутентифікацію) оператора на іншому кінці лінії. При з'єднанні, орієнтованому на підключення, вона забезпечує встановлення автентичності передавача або приймача протягом встановлення з'єднання ( встановлення автентичності об'єктів рівного рівня). При з'єднанні без встановлення підключення вона підтверджує справжність джерела даних (встановлення автентичності походження даних).

Виняток відмови від повідомлень

послуга виключення відмови від повідомлень захищає від відмови від повідомлення передавачем або приймачем даних. При виключення відмови від повідомлення передавачем приймач даних може потім довести походження повідомлення, використовуючи розпізнавальний код (ідентифікатор) передавача. При виключення відмови від повідомлень приймачем передавач, використовуючи підтвердження доставки, може потім довести, що дані доставлені призначеному одержувачу.

управління доступом

управління доступом забезпечує захист проти неправомірного доступу до даних. доступ в цьому визначенні - термін дуже широкий і може включати читання, запис, зміна даних, запуск виконання програми і так далі.

механізми безпеки

Для забезпечення послуг інформаційної безпеки ITU -T (X.800) рекомендує деякі механізми безпеки, Певні в попередньому розділі. Малюнок 1.4 дає класифікацію цих механізмів.

Мал. 1.4.

шифрування

шифрування. Засекречуючи або розсекречуючи дані, можна забезпечити конфіденційність. Шифрування також доповнює інші механізми, які забезпечують інші послуги. Сьогодні для шифрування використовуються два методу: криптографія і стеганографія - тайнопис (steganography). Ми коротко обговоримо їх у подальшому.

Цілісність даних

механізм цілісності даних додає в кінці даних короткий контрольний ознака (check value), який створюється певним процесом окремо від даних. Приймач отримує дані і контрольний ознака. На підставі отриманих даних він створює новий контрольний ознака і порівнює тільки що створений з отриманим. Якщо ці два контрольних ознаки збігаються, цілісність даних була збережена.

Цифровий підпис

Цифровий підпис - засіб, яким відправник може за допомогою електроніки підписати дані, а приймач може за допомогою комп'ютера перевірити підпис. Відправник використовує процес, який може вказати, що цей підпис має приватний ключ, обраний із загальнодоступних ключів, які були оголошені публічно для загального користування. Приймач використовує загальнодоступний ключ відправника, щоб довести, що повідомлення дійсно підписано відправником, який стверджує, що послав повідомлення.

Обмін повідомленнями для впізнання

при обміні повідомленнями для впізнання два об'єкти обмінюються деякими повідомленнями, щоб довести, що ці об'єкти відомі один одному. Наприклад, одна юридична особа може довести, що воно знає таємний ознака, який тільки воно може знати (скажімо, останнє місце зустрічі з партнером).

заповнення трафіку

заповнення трафіку означає можливість вставляти в трафік даних деякі фіктивні дані, щоб зірвати спроби зловмисників використовувати його для аналізу.

управління маршрутизацією

управління маршрутизацією означає вибір і безперервна зміна різних доступних маршрутів між відправником і приймачем для того, щоб перешкоджати противнику в перехопленні інформації на певному маршруті.

Доручення

Доручення означає вибір третьої сторони, з метою довірити їй контроль обміном між двома об'єктами. Це може бути зроблено, наприклад, для того, щоб запобігти відмові від повідомлення. Приймач може залучити третю сторону, якій можна довірити зберігання запитів відправника, і тим самим запобігти подальшому заперечення відправником факту передачі повідомлення.

Контроль доступу

Контроль доступу використовує методи докази, що користувач має право доступу до даних або ресурсів, що належить системі. Приклади такого докази - паролі і