Individual loyiha 1 fanidan loyiha ishi «Bardoshli parollarni generatsiyalash dasturini ishlab chiqish» mavzusida
Yüklə 257,54 Kb. Pdf görüntüsü
|
|
1.2
Parolga asoslangan autentifikatsiyalash Autentifikatsiyaning keng tarqalgan sxemalaridan biri oddiy autentifikatsiyalash bo‘lib, u an’anaviy ko‘p martali parollarni ishlatishiga asoslangan. Tarmoqdagi foydalanuvchini oddiy autentifikatsiyalash muolajasini quyidagicha tasavvur etish mumkin. Tarmoqdan foydalanishga uringan foydalanuvchi kompyuter klaviaturasida o‘zining identifikatori va parolini teradi. Bu ma’lumotlar autentifikatsiya serveriga ishlanish uchun tushadi. Autentifikatsiya serverida 11 saqlanayotgan foydalanuvchi identifikatori bo‘yicha ma’lumotlar bazasidan mos yozuv topiladi, undan parolni topib foydalanuvchi kiritgan parol bilan taqqoslanadi. Agar ular mos kelsa, autentifikatsiya muvaffaqiyatli o‘tgan hisoblanadi va foydalanuvchi legal (qonuniy) maqomini va avtorizatsiya tizimi orqali uning maqomi uchun aniqlangan xuquqlarni va tarmoq resurslaridan foydalanishga ruxsatni oladi. Paroldan foydalangan holda oddiy autentifikatsiyalash sxemasi 1–rasmda keltirilgan. Ravshanki, foydalanuvchining parolini shifrlamasdan uzatish orqali autentifikatsiyalash varianti xavfsizlikning xatto minimal darajasini kafolatlamaydi. Parolni himoyalash uchun uni himoyalanmagan kanal orqali uzatishdan oldin shifrlash zarur. Buning uchun sxemaga shifrlash Ye k va rasshifrovka qilish D k vositalari kiritilgan. 1.2.1-rasm. Paroldan foydalangan holda oddiy autentifikatsiyalash Bu vositalar bo‘linuvchi maxfiy kalit K orqali boshqariladi. Foydalanuvchining haqiqiyligini tekshirish foydalanuvchi yuborgan parol PA bilan autentifikatsiya serverida saqlanuvchi dastlabki qiymat PA' ni taqqoslashga asoslangan. Agar PA va PA' qiymatlar mos kelsa, parol PA haqiqiy, foydalanuvchi A esa qonuniy hisoblanadi. Oddiy autentifikatsiyani tashkil etish sxemalari nafaqat parollarni uzatish, balki ularni saqlash va tekshirish turlari bilan ajralib turadi. Eng keng tarqalgan usul 12 – foydalanuvchilar parolini tizimli fayllarda, ochiq holda saqlash usulidir. Bunda fayllarga o‘qish va yozishdan himoyalash atributlari o‘rnatiladi (masalan, operatsion tizimdan foydalanishni nazoratlash ruyxatidagi mos imtiyozlarni tavsiflash yordamida). Tizim foydalanuvchi kiritgan parolni parollar faylida saqlanayotgan yozuv bilan solishtiradi. Bu usulda shifrlash yoki bir tomonlama funksiyalar kabi kriptografik mexanizmlar ishlatilmaydi. Ushbu usulning kamchiligi – niyati buzuq odamning tizimda ma’mur imtiyozlaridan, shu bilan birga tizim fayllaridan, jumladan parol fayllaridan foydalanish imkoniyatidir. Ko‘p martali parollarga asoslangan oddiy autentifikatsiyalash tizimining bardoshligi past, chunki ularda autentifikatsiyalovchi axborot ma’noli so‘zlarning nisbatan katta bo‘lmagan to‘plamidan jamlanadi. Ko‘p martali parollarning ta’sir muddati tashkilotning xavfsizligi siyosatida belgilanishi va bunday parollarni muntazam ravishda almashtirib turish lozim. Parollarni shunday tanlash lozimki, ular lug‘atda bo‘lmasin va ularni topish qiyin bo‘lsin. Bir martali parollarga asoslangan autentifikatsiyalashda foydalanishga har bir so‘rov uchun turli parollar ishlatiladi. Bir martali dinamik parol faqat tizimdan bir marta foydalanishga yaroqli. Agar, hatto kimdir uni ushlab qolsa ham parol foyda bermaydi. Odatda bir martali parollarga asoslangan autentfikatsiyalash tizimi masofadagi foydalanuvchilarni tekshirishda qo‘llaniladi. Bir martali parollarni generatsiyalash apparat yoki dasturiy usul oqali amalga oshirilishi mumkin. Bir martali parollar asosidagi foydalanishning apparat vositalari tashqaridan to‘lov plastik kartochkalariga o‘xshash mikroprotsessor o‘rnatilgan miniatyur qurilmalar ko‘rinishda amalga oshiradi. Odatda kalitlar deb ataluvchi bunday kartalar klaviaturaga va katta bo‘lmagan displey darchasiga ega. Foydalanuvchilarni autentifikatsiyalash uchun bir martali parollarni qo‘llashning quyidagi usullari ma’lum: 1. Yagona vaqt tizimiga asoslangan vaqt belgilari mexanizmidan foydalanish. 13 2. Legal foydalanuvchi va tekshiruvchi uchun umumiy bo‘lgan tasodifiy parollar ruyxatidan va ularning ishonchli sinxronlash mexanizmidan foydalanish. 3. Foydalanuvchi va tekshiruvchi uchun umumiy bo‘lgan bir xil dastlabki qiymatli psevdotasodifiy sonlar generatoridan foydalanish. Birinchi usulni amalga oshirish misoli sifatida SecurID autentikatsiyalash texnologiyasini ko‘rsatish mumkin. Bu texnologiya Security Dynamics kompaniyasi tomonidan ishlab chiqilgan bo‘lib, qator kompaniyalarning, xususan Cisco Systems kompaniyasining serverlarida amalga oshirilgan. Vaqt sinxronizatsiyasidan foydalanib autentifikatsiyalash sxemasi tasodifiy sonlarni vaqtning ma’lum oralig‘idan so‘ng generatsiyalash algoritmiga asoslangan. Autentifikatsiya sxemasi quyidagi ikkita parametrdan foydalanadi: • har bir foydalanuvchiga atalgan va autentifikatsiya serverida hamda foydalanuvchining apparat kalitida saqlanuvchi noyob 64-bitli sondan iborat maxfiy kalit; • joriy vaqt qiymati. Masofadagi foydalanuvchi tarmoqdan foydalanishga uringanida undan shaxsiy identifikatsiya nomeri PINni kiritish taklif etiladi. PIN to‘rtta o‘nli raqamdan va apparat kaliti displeyida akslanuvchi tasodifiy sonning oltita raqamidan iborat. Server foydalanuvchi tomonidan kiritilgan PIN-koddan foydalanib ma’lumotlar bazasidagi foydalanuvchining maxfiy kaliti va joriy vaqt qiymati asosida tasodifiy sonni generatsiyalash algoritmini bajaradi. So‘ngra server generatsiyalangan son bilan foydalanuvchi kiritgan sonni taqqoslaydi. Agar bu sonlar mos kelsa, server foydalanuvchiga tizimdan foydalanishga ruxsat beradi. Autentifikatsiyaning bu sxemasidan foydalanishda apparat kalit va serverning qat’iy vaqtiy sinxronlanishi talab etiladi. Chunki apparat kalit bir necha yil ishlashi va demak server ichki soati bilan apparat kalitining muvofiqligi asta-sekin buzilishi mumkin. 14 Ushbu muammoni hal etishda Security Dynamics kompaniyasi quyidagi ikki usuldan foydalanadi: • apparat kaliti ishlab chiqilayotganida uning taymer chastotasining me’yoridan chetlashishi aniq o‘lchanadi. Chetlashishning bu qiymati server algoritmi parametri sifatida hisobga olinadi; • server muayyan apparat kalit generatsiyalagan kodlarni kuzatadi va zaruriyat tug‘ilganida ushbu kalitga moslashadi. Autentifikatsiyaning bu sxemasi bilan bir muammo bog‘liq. Apparat kalit generatsiyalagan tasodifiy son katta bo‘lmagan vaqt oralig‘i mobaynida haqiqiy parol hisoblanadi. Shu sababli, umuman, qisqa muddatli vaziyat sodir bo‘lishi mumkinki, xaker PIN-kodni ushlab qolishi va uni tarmoqdan foydalanishga ishlatishi mumkin. Bu vaqt sinxronizatsiyasiga asoslangan autentifikatsiya sxemasining eng zaif joyi hisoblanadi. Foydalanuvchilarni biometrik identifikatsiyalash va autentifikatsiyalash Oxirgi vaqtda insonning fiziologik parametrlari va xarakteristikalarini, xulqining xususiyatlarini o‘lchash orqali foydalanuvchini ishonchli autentifikatsiyalashga imkon beruvchi biometrik autentifikatsiyalash keng tarqalmoqda. Biometrik autentifikatsiyalash usullari an’anaviy usullarga nisbatan quyidagi afzalliklarga ega: - biometrik alomatlarning noyobligi tufayli autentifikatsiyalashning ishonchlilik darajasi yuqori; - biometrik alomatlarning sog‘lom shaxsdan ajratib bo‘lmasligi; - biometrik alomatlarni soxtalashtirishning qiyinligi. Foydalanuvchini autentifikatsiyalashda faol ishlatiladigan biometrik algoritmlar quyidagilar: barmoq izlari; • qo‘l panjasining geometrik shakli; 15 • yuzning shakli va o‘lchamlari; ovoz xususiyatlari; ko‘z yoyi va to‘r pardasining naqshi. Iste’molchi nuqtai nazaridan biometrik autenfikatsiyalash tizimi quyidagi ikkita parametr orqali xarakterlanadi: • xatolik inkorlar koeffitsiyenti FRR (false- reject rate); xatolik tasdiqlar koeffitsiyenti FAR (false-alarm rate). Xatolik inkor tizim qonuniy foydalanuvchi shaxsini tasdiqlamaganda paydo bo‘ladi (odatda FRR qiymati taxminan 100 dan birni tashkil etadi). Xatolik tasdiq tizim noqonuniy foydalanuvchi shaxsini tasdiqlaganida paydo bo‘ladi (odatda FAP qiymati taxminan 10000 dan birni tashkil etadi). Bu ikkala koeffitsiyent bir biri bilan bog‘liq: xatolik inkor koeffitsiyentining har biriga ma’lum xatolik tasdiq koeffitsiyenti mos keladi. Mukammal biometrik tizimda ikkala xatolikning ikkala parametri nulga teng bo‘lishi shart. Afsuski, biometrik tizim ideal emas, shu sababli nimanidur qurbon qilishga to‘g‘ri keladi. Odatda tizimli parametrlar shunday sozlanadiki, mos xatolik inkorlar koeffitsiyentini aniqlovchi xatolik tasdiqlarning istalgan koeffitsiyentiga erishiladi. Biometrik autentifikatsiyalashning daktiloskonik tizimi Biometrik tizimlarning aksariyati identifikatsiyalash parametri sifatida barmoq izlaridan foydalanadi (autentifikatsiyaning daktiloskopik tizimi). Bunday tizimlar sodda va qulay, autentifikatsiyalashning yuqori ishonchliligiga ega. Bunday tizimlarning keng tarqalishiga asosiy sabab barmoq izlari bo‘yicha katta ma’lumotlar ba’zasining mavjudligidir. Bunday tizimlardan dunyoda asosan politsiya, turli davlat va ba’zi bank tashkilotlari foydalanadi. Autentifikatsiyaning daktiloskopik tizimi quyidagicha ishlaydi. Avval foydalanuvchi ro‘yxatga olinadi. Odatda, skanerda barmoqning turli xolatlarida skanerlashning bir necha varianti amalga oshiriladi. Tabiiyki, namunalar bir– biridan biroz farqlanadi va qandaydir umumlashtirilgan namuna, 16 «pasport» shakllantirilishi talab etiladi. Natijalar autentifikatsiyaning ma’lumotlar bazasida xotirlanadi. Autentifikatsiyalashda skanerlangan barmoq izi ma’lumotlar bazasidagi «pasportlar» bilan taqqoslanadi. Barmoq izlarining skanerlari. Barmoq izlarini skanerlovchi an’anaviy qurilmalarda asosiy element sifatida barmoqning xarakterli rasmini yozuvchi kichkina optik kamera ishlatiladi. Ammo, daktiloskopik qurilmalarni ishlab chiqaruvchilarning ko‘pchiligi integral sxema asosidagi sensorli qurilmalarga e’tibor bermoqdalar. Bunday tendensiya barmoq izlariga asoslangan autentifikatsiyalashni qo‘llashning yangi sohalarini ochadi. Bunday texnologiyalarni ishlab chiquvchi kompaniyalar barmoq izlarini olishda turli, xususan elektrik, elektromagnit va boshqa usullarni amalga oshiruvchi vositalardan foydalanadilar. Skanerlardan biri barmoq izi tasvirini shakllantirish maqsadida teri qismlarining sig‘im qarshiligini o‘lchaydi. Masalan, Veridicom kompaniyasining daktiloskopik qurilmasi yarimo‘tkazgichli datchik yordamida sig‘im qarshiligini aniqlash orqali axborotni yig‘adi. Sensor ishlashining prinsipi quyidagicha: ushbu asbobga quyilgan barmoq kondensator plastinalarining biri vazifasini o‘taydi (2- rasm). Sensor sirtida joylashgan ikkinchi plastina kondensatorning 90000 sezgir plastinkali kremniy mikrosxemasidan iborat. Sezgir sig‘im datchiklari barmoq sirti do‘ngliklari va pastliklari orasidagi elektrik maydon kuchining o‘zgarishini o‘lchaydi. Natijada do‘ngliklar va pastliklargacha bo‘lgan masofa aniqlanib, barmoq izi tasviri olinadi. 1.2.2-rasm. Sensor ishlashining prinsipi 17 Integral sxema asosidagi sensorli tekshirishda AuthenTec kompaniyasida ishlatiluvchi usul aniqlikni yana ham oshirishga imkon beradi. Qator ishlab chiqaruvchilar biometrik tizimlarni smart-kartalar va karta–kalitlar bilan kombinatsiyalaydilar. Integral sxemalar asosidagi barmoq izlari datchiklarining kichik o‘lchamlari va yuqori bo‘lmagan narxi ularni himoya tizimi uchun ideal interfeysga aylantiradi. Ularni kalitlar uchun breloklarga o‘rnatish mumkin. Natijada foydalanuvchi kompyuterdan boshlab to kirish yo‘li, avtomobillar va bankomatlar eshiklaridan himoyali foydalanishni ta’minlaydigan universal kalitga ega bo‘ladi. Qo‘l panjasining geometrik shakli bo‘yicha autentifikatsiyalash tizimlari. Qo‘l panjasi shaklini o‘quvchi qurilmalar barmoqlar uzunligini, qo‘l panja qalinligi va yuzasini o‘lchash orqali qo‘l panjasining hajmiy tasvirini yaratadi. Masalan, Recognition Systems kompaniyasining mahsulotlari 90 dan ortiq o‘lchamlarni amalga oshiradi. Natijada keyingi taqqoslash uchun 9-xonali namuna shakllantiriladi. Bu natija qo‘l panjasini individual skanerida yoki markazlashtirilgan ma’lumotlar bazasida saqlanishi mumkin. Qo‘l panjasini skanerlovchi qurilmalar narxining yuqoriligi va o‘lchamlarining kattaligi sababli tarmoq muhitida kamdan-kam ishlatilsada, ular qat’iy xavfsizlik rejimiga va shiddatli trafikka ega bo‘lgan hisoblash muhiti (server xonalari ham bunga kiradi) uchun qulay hisoblanadi. Ularning aniqligi yuqori va inkor koeffitsiyenti ya’ni inkor etilgan qonuniy foydalanuvchilar foizi kichik. Yuzning tuzilishi va ovoz bo‘yicha autentifikatsiyalovchi tizimlar. Bu tizimlar arzonligi tufayli eng foydalanuvchan hisoblanadilar, chunki aksariyat zamonaviy kompyuterlar video va audeo vositalariga ega. Bu sinf tizimlari telekommunikatsiya tarmoqlarida masofadagi foydalanuvchi sub’ektni identifikatsiyalash uchun ishlatiladi. Yuz tuzilishini skanerlash texnologiyasi boshqa 18 biometrik texnologiyalar yaroqsiz bo‘lgan ilovalar uchun to‘g‘ri keladi. Bu holda shaxsni identifikatsiyalash va verifikatsiyalash uchun ko‘z, burun va lab xususiyatlari ishlatiladi. Yuz tuzilishini aniqlovchi qurilmalarni ishlab chiqaruvchilar foydalanuvchini identifikatsiyalashda hususiy matematik algoritmlardan foydalanadilar. Ma’lum bo‘lishicha, ko‘pgina tashkilotlarning hodimlari yuz tuzilishini skanerlovchi qurilmalarga ishonmaydilar. Ularning fikricha kamera ularni rasmga oladi, so‘ngra suratni monitor ekraniga chiqaradi. Kameraning sifati esa past bo‘lishi mumkin. Undan tashqari yuz tuzilishini skanerlash – biometrik autentifikatsiyalash usullari ichida yagona, tekshirishga ruxsatni talab qilmaydigan (yashiringan kamera yordamida amalga oshirilishi mumkin) usul hisoblanali. Ta’kidlash lozimki, yuz tuzilishini aniqlash texnologiyasi yanada takomillashtirilishni talab etadi. Yuz tuzilishini aniqlovchi aksariyat algoritmlar quyosh yorug‘ligi jadalligining kun bo‘yicha tebranishi natijasidagi yorug‘lik o‘zgarishiga ta’sirchan bo‘ladilar. Yuz holatining o‘zgarishi ham aniqlash natijasiga ta’sir etadi. Yuz holatining 450 ga o‘zgarishi aniqlashni samarasiz bo‘lishiga olib keladi. Ovoz bo‘yicha autentifikatsiyalash tizimlari Bu tizimlar arzonligi tufayli foydalanuvchan hisoblanadilar. Hususan ularni ko‘pgina shaxsiy kompyuterlar standart komplektidagi uskuna (masalan mikrofonlar) bilan birga o‘rnatish mumkin. Ovoz bo‘yicha autentifikatsiyalash tizimlari har bir odamga noyob bo‘lgan balandligi, modulyatsiyasi va tovush chastotasi kabi ovoz xususiyatlariga asoslanadi. Ovozni aniqlash nutqni aniqlashdan farqlanadi. Chunki nutqni aniqlovchi texnologiya abonent so‘zini izoxlasa, ovozni aniqlash texnologiyasi so‘zlovchining shaxsini tasdiqlaydi. So‘zlovchi shaxsini tasdiqlash ba’zi chegaralanishlarga ega. Turli odamlar o‘xshash ovozlar bilan gapirishi mumkin, har qanday odamning ovozi vaqt mobaynida kayfiyati, hissiyotlik holati va yoshiga bog‘liq holda o‘zgarishi mumkin. Uning ustiga telefon apparatlarning turli-tumanligi va telefon orqali bog‘lanishlarining sifati so‘zlovchi 19 shaxsini aniqlashni qiyinlashtiradi. Shu sababli ovoz bo‘yicha aniqlashni yuz tuzilishini yoki barmoq izlarini aniqlash kabi boshqa biometriklar bilan birgalikda amalga oshirish maqsadga muvofiq hisoblanadi. Ko‘z yoyi to‘r pardasining shakli bo‘yicha autentifikatsiyalash tizimi Bu tizimlarni ikkita sinfga ajratish mumkin: - ko‘z yoyi rasmidan foydalanish; - ko‘z to‘r pardasi qon tomirlari rasmidan foydalanish. Odam ko‘z pardasi autentifikatsiya uchun noyob ob’ekt hisoblanadi. Ko‘z tubi qon tomirlarining rasmi hatto egizaklarda ham farqlanadi. Identifikatsiyalashning bu vositalaridan xavfsizlikning yuqori darajasi talab etilganida (masalan harbiy va mudofaa ob’ektlarining rejimli zonalarida) foydalaniladi. Biometrik yondashish “kim bu kim” ekanligini aniqlash jarayonini soddalashtirishga imkon beradi. Daktiloskopik skanerlar va ovozni aniqlovchi qurilmalardan foydalanish xodimlarni tarmoqqa kirishlarida murakkab parollarni eslab qolishdan xalos etadi. Qator kompaniyalar korxona masshtabidagi bir martali autentifikatsiya SSO (Single Sign-On) ga biometrik imkoniyatlarni integratsiyalaydilar. Bunday biriktirish tarmoq ma’murlariga parollarni bir martali autentifikatsiyalash xizmatini biometrik texnologiyalar bilan almashtirishga imkon beradi. Shaxsni biometrik autentifikatsiyalashning birinchilar qatorida keng tarqalgan sohalaridan biri mobil tizimlari bo‘ldi. Muammo faqat kompyuter o‘g‘irlanishidagi yo‘qotishlarda emas, balki axborot tizimining buzilishi katta zararga olib kelishi mumkin. Undan tashqari, noutbuklar dasturiy bog‘lanish (mobil kompyuterlarda saqlanuvchi parollar yordamida) orqali korporativ tarmoqdan foydalanishni tez-tez amalga oshiradi. Bu muammolarni kichik, arzon va katta energiya talab etmaydigan barmoq izlari datchiklari yechishga imkon beradi. Bu qurilmalar mos dasturiy ta’minot yordamida axborotdan foydalanishning mobil kompyuterda saqlanayotgan to‘rtta satxi - 20 ro‘yxatga olish, ekranni saqlash rejimidan chiqish, yuklash va fayllarni deshifratsiyalash uchun autentifikatsiyani bajarishga imkon beradi. Foydalanuvchini biometrik autentifikatsiyalash maxfiy kalitdan foydalanishni modul ko‘rinishida shifrlashda jiddiy ahamiyatga ega bo‘lishi mumkin. Bu modul axborotdan faqat xaqiqiy xususiy kalit egasining foydalanishiga imkon beradi. So‘ngra kalit egasi o‘zining maxfiy kalitini ishlatib xususiy tarmoqlar yoki Internet orqali uzatilayotgan axborotni shifrlashi mumkin. Yüklə 257,54 Kb. Dostları ilə paylaş:
|