Информационная безопасность Модели управления доступом Разграничение доступа Вычислительные комплексы Учебник по информатике Операционная система Linux Базовые технологии локальных сетей

Информационная безопасность

Модель управления доступом с дуплексными виртуальными каналами взаимодействия на основе активных симплексных каналов

При организации канала взаимодействия субъектов доступа целесообразно рассматривать множество прав доступа {Чт. Д), используемое для реализации канала взаимодействия субъектов доступа. Здесь элемент «Д» обозначает добавление, то есть возможность пользователя добавить информацию в объект без возможности чтения объекта и без возможности модификации существующей в объекте информации. Право доступа «Зп/Чт» обозначает право пользователя на чтение и запись информации.

Рассмотрим матрицу доступа Б для модели управления доступом с дуплексными виртуальными каналами взаимодействия на основе активных симплексных каналов.

Модель управления доступом формально может быть описана следующим образом:

» Бу = Зп/Чт, если 1 = ^ иначе Бу = Д.

Данная модель практически лишена недостатков, присущих ранее рассмотренным моделям. Здесь в полном объеме реализуется каноническая модель управления доступом. При этом обеспечивается возможность полноценного корректного взаимодействия субъектов доступа: каждый субъект доступа может взаимодействовать со всеми другими субъектами доступа системы без снижения уровня защищенности от НСД.

Будем считать данную модель, наиболее приемлемой для использования в рассматриваемых приложениях. Именно эту модель будем считать канонической моделью управления доступом с взаимодействием субъектов. Далее дадим ее определение.

Определение.

Под канонической моделью управления доступом с взаимодействием субъектов (групп субъектов) и объектов (групп объектов) доступа понимается модель, описываемая матрицей доступа, элементы главной диагонали которой «Зп/Чт» задают полный доступ субъектов к объектам, остальные элементы «Д» задают активные симплексные каналы взаимодействия с использованием операции «добавление».

Для восстановления пользовательских паролей операционной системы Windows NT в символьном виде существуют специальные парольные взломщики, которые выполняют как прямой подбор паролей, так и поиск по словарю, а также используют комбинированный метод взлома парольной защиты, когда в качестве словаря задействуется файл с заранее вычисленными хэшированными паролями, соответствующими символьным последовательностям, которые часто применяются в качестве паролей пользователей операционных систем. Одной из самых известных программ взлома паролей операционной системы Windows NT является LOphtCrack (http://www.10pht.com/10phtcrack/). На рис. 3.2 приведено основное рабочее окно этой программы, предназначенной для выполнения на компьютерах с операционной системой Windows 95/98/NT.

Другим распространенным парольным взломщиком Windows NT является Advanced NT Security Explorer (сокращенно — ANTExp). Его можно найти в Internet по адресу http://www.elcomsoft.com/antexp.html. ANTExp имеет удобный пользовательский интерфейс. Пользователь может задать набор символов, из которых будут формироваться последовательности, используемые в качестве вариантов паролей, а также верхнюю и нижнюю границу длины перебираемых паролей. Кроме того, можно выбрать тип атаки на парольную защиту Windows NT и применить либо атаку методом “грубой силы” либо словарную атаку (рис. 3.3).

Рис. 3.3. Основное рабочее окно парольного взломщика ANTExp

Защита системы от парольных взломщиков

Итак, вывод однозначен: одна из главных задач системного администратора Windows NT состоит в защите от несанкционированного доступа той информации, которая хранится в базе данных SAM. С этой целью ему, прежде всего, необходимо ограничить физический доступ к компьютерам сети и прежде всего — к контроллерам доменов. Дополнительно, при наличии соответствующих программно-аппаратных средств, следует установить пароли BIOS на включение компьютеров и на изменение настроек BIOS. Затем, используя настройки BIOS, рекомендуется отключить загрузку компьютеров с гибких и компакт-дисков. А для обеспечения контроля доступа к файлам и папкам операционной системы Windows NT системный раздел жесткого диска должен иметь формат NTFS.

Каталог \winnt_root\repair нужно средствами операционной системы закрыть для доступа всех пользователей, включая администраторов, и разрешать к ней доступ только во время работы утилиты RDISK, создающей в этом каталоге архивные копии системного реестра Windows NT. Системные администраторы также должны внимательно следить за тем, где и как хранятся дискеты аварийного восстановления (Emergency Repair Disks) и архивные копии на магнитных лентах, если на последних присутствует дубликат системного реестра Windows NT.

Если компьютер с операционной системой Windows NT входит в домен, то по умолчанию имена и хэшированные пароли последних 10-ти пользователей, регистрировавшихся на этом компьютере, сохраняются (кэшируются) в его локальном системном реестре (в разделе SECURITY\Policy\Secrets куста HKEY_LOCAL_MACHINE). Чтобы отменить кэширование паролей на компьютерах домена, нужно с помощью утилиты REGEDT32 в раздел Microsoft\WindowsNT\CurrentVersion\Winlogon куста HKEY_LOCAL_MACHINE добавить параметр CashedLogonsCount, установив его значение равным нулю, а тип — REG_SZ.

Лекции по информатике