Строгая аутентификация

Для функционирования систем разграничения доступа к различным ресурсам компьютеров и компьютерных сетей необходима проверка подлинности пользователя - т.е. определение, действительно ли пользователь является тем, за кого он себя выдает. Такая проверка называется аутентификацией пользователя.

Для корректной аутентификации необходимо наличие следующих объектов:

1. Самого пользователя, проходящего проверку;
2. Аутентифицирующего модуля, т.е. некоего средства, выполняющего аутентификацию.

До сих пор наиболее часто применяется парольная аутентификация, когда проверка пользователя фактически сводится к проверке того факта, что он знает некий предопределенный пароль. Однако парольная аутентификация обладает рядом недостатков. Самым главным из них является передача пароля в открытом виде по сети, если аутентифицируемый пользователь находится на удалении от компьютера, на котором он проходит аутентификацию. Естественно, перехвативший пароль злоумышленник может им воспользоваться, чтобы пройти проверку вместо легального пользователя. А в очень многих применениях это недопустимо (предположим, что пользователь аутентифицируется для удаленного управления своим банковским счетом).

В таких случаях необходимо использовать строгую аутентификацию. Под этим термином скрывается такой вид аутентификации, при котором секретная информация, позволяющая проверить подлинность пользователя, не передается в открытом виде. А еще лучше, если такая секретная информация вообще не покидает некоего устройства, которое пользователь предъявляет для аутентификации.

Рассмотрим для примера протокол аутентификации «рукопожатием». Предположим, пользователь проходит проверку на сервере, к которому он хочет получить доступ. Это производится в несколько этапов:

1. Сервер генерирует случайное число и посылает его пользователю;
2. Пользователь зашифровывает это число симметричным алгоритмом шифрования на своем секретном ключе и посылает его на сервер;
3. Сервер расшифровывает полученную информацию на таком же ключе и сравнивает с исходным случайным числом;
4. Если число, полученное путем расшифрования присланной пользователем информации, совпадает с исходным, то пользователь считается успешно прошедшим проверку, поскольку он обладает необходимым секретным ключом. В противном случае сервер должен отказать пользователю в доступе.

Понятно, что для зашифрования случайного числа пользователь должен обладать какой-либо программой или устройством, выполняющим данную операцию. В качестве такого устройства может выступать USB-ключ Rutoken.

Rutoken может шифровать данные отечественным алгоритмом шифрования ГОСТ 28147-89. При этом, шифрование данных выполняется непосредственно в устройстве Rutoken - секретный ключ для шифрования никогда не покидает Rutoken и, в принципе, не может быть получен злоумышленником! А для усиления защиты при использовании Rutoken пользователь должен ввести его уникальный PIN-код. Такая аутентификация - с помощью Rutoken с секретным ключом и его PIN-кода - называется двухфакторной и не позволяет никому воспользоваться устройством Rutoken, если легальный пользователь потерял его.

Аутентифицирующий модуль (т.е. модуль, выполняющий проверку на сервере) может быть разработан с помощью библиотеки Crypton DK, созданной фирмой Анкад. Данная библиотека позволяет выполнять как получение случайных чисел, так и любые операции шифрования с помощью различных шифраторов фирмы Анкад: аппаратных, серии Криптон или программных - Crypton Emulator. Шифрование выполняется по тому же отечественному криптостандарту ГОСТ 28147-89.

Таким образом, система строгой двухфакторной аутентификации может быть построена на базе устройств Rutoken и комплекса Crypton DK + шифратор серии Криптон.