Информатика
Управление доступом
Вычислительные комплексы
Графика
Курсовой
Черчение
Учебник
Начерталка

Математика

Задачи
Локальные сети
Лабы

 

Информационная безопасность

Двухуровневая авторизация на уровне BIOS

Альтернативный известный вариант реализации двухуровневой парольной защиты состоит в реализации добавочного механизма не на уровне входа в ОС, а перед загрузкой системы (средствами расширения BIOS). При этом перед загрузкой системы добавочное средство защиты предлагает пользователю авторизоваться с использованием внешнего носителя пароля. Затем уже при входе в систему могут использоваться штатные средства авторизации ОС. Таким образом, в отличие от рассмотренного выше подхода, здесь заменяется (дополняется) не механизм парольной защиты входа в систему, а механизм парольной защиты BIOS (контроля загрузки системы). Данный подход используется в специальных дополнительных программно-аппаратных средствах защиты, так называемых «Электронных замках». (При этом, несмотря на использование аппаратной компоненты, собственно защита осуществляется программно).

К достоинствам данного подхода, по сравнению с рассмотренным выше, можно отнести противодействие скрытым угрозам непосредственно в процессе загрузки системы. В частности, загрузочное меню ОС здесь уже может быть вызвано только санкционированным пользователем.

К очевидным недостаткам данного подхода можно отнести необходимость использования дополнительной аппаратной компоненты системы защиты — платы, реализующей функцию расширения BIOS.

Примечание

В дальнейшем (в шестой части книги) будет показано, что на наш взгляд аппаратную компоненту можно наделить несколько иными свойствами.

Сетевая авторизация

Описанные ранее способы двухуровневой авторизации могут быть реализованы как в локальном, так и в сетевом исполнении. Оба данных подхода могут осуществлять локальную авторизацию добавочным средством при использовании сетевой авторизации пользователя на контроллере домена встроенным в ОС механизмом. Кроме того, для двухуровневой авторизации на уровне ОС оба уровня защиты могут быть выполнены в виде сетевой авторизации. При этом дополнительная авторизация осуществляется на сервере безопасности (т.е. пароли добавочного средства защиты хранятся не на защищаемом компьютере, а на сервере безопасности).

В этом случае механизм добавочной защиты содержит клиентскую часть, устанавливаемую на защищаемый компьютер, и серверную часть, устанавливаемую на сервер безопасности. Серверная часть содержит учетную запись пользователя, а также пароли для аутентификации пользователя добавочным механизмом защиты и на контроллере домена при выполнении процедуры авторизации, серверная часть функционирует аналогично контроллеру домена. При этом наряду с функциями контроллера домена она реализует собственно процедуру авторизации, выдавая на клиентскую часть (на компьютер, где осуществлена загрузка ОС) окно ввода идентификатора и пароля пользователем. Клиентская же часть осуществляет сокрытие окна авторизации контроллера домена и подстановку пароля ОС, который поступает с серверной части при прохождении авторизации пользователем в добавочном механизме защиты. Отметим, что применение сетевой авторизации в данном случае, не давая каких-либо преимуществ по защите пароля (предполагаем, что на защищаемом компьютере установлено добавочное средство защиты, локально обеспечивающее надежную защиту учетных и парольных данных пользователя), существенно сказывается на надежности функционирования защищаемой сети. Действительно, выход из строя сервера безопасности приводит к отказу всей сети. При этом ни на одном компьютере сети не сможет быть осуществлен вход пользователя в систему. Таким образом, надежность сети в целом (а в общем случае и всех информационных систем, реализованных на базе данной сети) в данном случае определяется надежностью одного компьютера. Это, по мнению автора, недопустимо в большинстве приложений информационных систем. И прежде всего это касается тех из них, которые предполагают распределенную обработку данных. С учетом сказанного могут быть сформулированы следующие рекомендации по реализации механизмов двухуровневой авторизации: дополнительный механизм защиты должен быть реализован локально. При этом системой защиты должно обеспечиваться надежное хранение парольной информации на защищаемом компьютере. Встроенный в ОС механизм может быть настроен как в режиме локальной, так и в режиме сетевой авторизации, в зависимости от задач, решаемых в сети.

Интересно, что иногда сам пользователь провоцируется на запуск исполняемого файла, содержащего код программной закладки. Известен такой случай. Среди пользователей свободно распространялся набор из архивированных файлов. Для извлечения файлов из него требовалось вызвать специальную утилиту, которая, как правило, есть почти у каждого пользователя и запускается после указания ее имени в командной строке. Однако мало кто из пользователей замечал, что в полученном наборе файлов уже имелась программа с таким же именем и что запускалась именно она. Кроме разархивирования файлов, эта программная закладка дополнительно производила ряд действий негативного характера.

С учетом замечания о том, что программная закладка должна быть обязательно загружена в оперативную память компьютера, можно выделить резидентные закладки (они находятся в оперативной памяти постоянно, начиная с некоторого момента и до окончания сеанса работы компьютера, т. е. до его перезагрузки или до выключения питания) и нерезидентные (такие закладки попадают в оперативную память компьютера аналогично резидентным, однако, в отличие от последних, выгружаются по истечении некоторого времени или при выполнении особых условий).

Существуют три основные группы деструктивных действий, которые могут осуществляться программными закладками:

r копирование информации пользователя компьютерной системы

(паролей, криптографических ключей, кодов доступа, конфиденциальных электронных документов), находящейся в оперативной или внешней памяти этой системы либо в памяти другой компьютерной системы, подключенной к ней через локальную или глобальную компьютерную сеть;

r изменение алгоритмов функционирования системных, прикладных и

служебных программ (например, внесение изменений в программу разграничения доступа может привести к тому, что она разрешит вход в систему всем без исключения пользователям вне зависимости от правильности введенного пароля);

r навязывание определенных режимов работы (например, блокирование

записи на диск при удалении информации, при этом информация, которую требуется удалить, не уничтожается и может быть впоследствии скопирована хакером).

У всех программных закладок (независимо от метода их внедрения в компьютерную систему, срока их пребывания в оперативной памяти и назначения) имеется одна важная общая черта: они обязательно выполняют операцию записи в оперативную или внешнюю память системы. При отсутствии данной операции никакого негативного влияния программная закладка оказать не может. Ясно, что для целенаправленного воздействия она должна выполнять и операцию чтения, иначе в ней может быть реализована только функция разрушения (например, удаление или замена информации в определенных секторах жесткого диска).

Лекции по информатике