Teknologi biometrik didasarkan pada biometrik, pengukuran karakteristik unik seseorang. Ini bisa berupa ciri-ciri unik yang diterima sejak lahir, misalnya: DNA, sidik jari, iris mata; serta ciri-ciri yang diperoleh seiring berjalannya waktu atau yang dapat berubah seiring bertambahnya usia atau pengaruh luar, misalnya: tulisan tangan, suara, atau gaya berjalan.

Prinsip operasi

Semua sistem biometrik bekerja dengan cara yang hampir sama. Pertama, sistem mengingat sampel karakteristik biometrik (ini disebut proses perekaman). Selama perekaman, beberapa sistem biometrik mungkin meminta beberapa sampel diambil untuk menghasilkan gambaran karakteristik biometrik yang paling akurat. Informasi yang diterima kemudian diproses dan diubah menjadi kode matematika. Selain itu, sistem mungkin meminta Anda melakukan beberapa tindakan lagi untuk “menetapkan” sampel biometrik ke orang tertentu. Misalnya, nomor identifikasi pribadi (PIN) dilampirkan pada sampel tertentu, atau kartu pintar yang berisi sampel dimasukkan ke dalam pembaca. Dalam hal ini, sampel karakteristik biometrik diambil kembali dan dibandingkan dengan sampel yang diserahkan. Identifikasi menggunakan sistem biometrik melewati empat tahap:

• Rekaman - pola fisik atau perilaku diingat oleh sistem;
• Ekstraksi - informasi unik dihapus dari sampel dan sampel biometrik dikompilasi;
• Perbandingan - sampel yang disimpan dibandingkan dengan sampel yang disajikan;
• Cocok/tidak cocok - sistem memutuskan apakah sampel biometrik cocok dan mengambil keputusan.

Sebagian besar orang percaya bahwa memori komputer menyimpan sampel sidik jari, suara, atau gambar iris mata seseorang. Namun kenyataannya, di sebagian besar sistem modern hal ini tidak terjadi. Basis data khusus menyimpan kode digital hingga panjang 1000 bit, yang dikaitkan dengan orang tertentu yang memiliki hak akses. Pemindai atau perangkat lain apa pun yang digunakan dalam sistem membaca parameter biologis tertentu seseorang. Selanjutnya, ia memproses gambar atau suara yang dihasilkan, mengubahnya menjadi kode digital. Kunci inilah yang dibandingkan dengan isi database khusus untuk identifikasi pribadi.

Metode identifikasi statis

Dengan sidik jari

Cara ini didasari oleh keunikan pola papiler pada jari setiap orang. Sidik jari yang diperoleh dengan menggunakan pemindai khusus diubah menjadi kode digital (konvolusi) dan dibandingkan dengan standar yang dimasukkan sebelumnya. Teknologi ini adalah yang paling umum dibandingkan metode otentikasi biometrik lainnya.

Sesuai dengan bentuk telapak tangan

Metode ini didasarkan pada geometri tangan. Menggunakan perangkat khusus yang terdiri dari kamera dan beberapa dioda penerangan, yang jika dinyalakan secara bergantian, menghasilkan cahaya yang berbeda proyeksi telapak tangan, gambar tiga dimensi tangan dibangun, yang dengannya konvolusi terbentuk dan orang tersebut diidentifikasi.

Sesuai dengan letak urat di bagian depan telapak tangan

Dengan menggunakan kamera infra merah, pola pembuluh darah di sisi depan telapak tangan atau tangan terbaca. Gambar yang dihasilkan diproses dan konvolusi digital dibentuk sesuai dengan pola letak vena.

Menurut retinanya

Lebih tepatnya cara ini disebut identifikasi berdasarkan pola pembuluh darah fundus. Agar pola ini terlihat, Anda perlu melihat titik cahaya yang jauh; fundus mata disinari dan dipindai dengan kamera khusus.

Oleh iris mata

Pola iris mata juga menjadi ciri khas seseorang. Untuk memindainya, ada kamera portabel khusus dengan software khusus. Identifikasi terjadi sebagai berikut. Kamera menangkap gambar bagian wajah, yang kemudian diambil gambar matanya. Dari gambar mata, pola iris diekstraksi, dari mana kode digital dibuat untuk mengidentifikasi orang tersebut.

Sesuai dengan bentuk wajah

Dalam metode identifikasi ini, dibangun gambar tiga dimensi wajah seseorang. Kontur alis, mata, hidung, bibir, dll disorot pada wajah, jarak antara keduanya dihitung dan tidak hanya gambar yang dibuat, tetapi juga banyak variannya untuk kasus memutar wajah, memiringkan, atau mengubah ekspresi. Jumlah gambar bervariasi tergantung pada tujuan penggunaan metode ini (untuk otentikasi, verifikasi, pencarian jarak jauh di area yang luas, dll.).

Menurut termogram wajah

Metode identifikasi ini didasarkan pada distribusi unik arteri di wajah yang memasok darah ke kulit dan menghasilkan panas. Untuk mendapatkan termogram, kamera inframerah khusus digunakan. Berbeda dengan identifikasi berdasarkan bentuk wajah, metode ini memungkinkan Anda membedakan anak kembar .

Melalui DNA

Keuntungan dari metode ini sangat jelas. Namun, metode yang ada saat ini untuk memperoleh dan memproses DNA membutuhkan banyak waktu sehingga hanya dapat digunakan untuk pemeriksaan khusus.

Metode identifikasi statis lainnya

Ada metode identifikasi lain berdasarkan karakteristik biometrik seseorang. Hanya yang paling umum yang dijelaskan di sini. Misalnya, ada metode unik seperti identifikasi berdasarkan lapisan kulit subungual, berdasarkan volume jari yang ditunjukkan untuk pemindaian, bentuk telinga, bau badan, dll.

Metode Dinamis

Metode otentikasi biometrik dinamis didasarkan pada karakteristik perilaku (dinamis) seseorang, yaitu, dibangun di atas ciri-ciri karakteristik gerakan bawah sadar dalam proses mereproduksi tindakan apa pun.

Dengan tulisan tangan

Biasanya, untuk jenis identifikasi seseorang ini, lukisannya (terkadang menulis kata sandi) digunakan. Kode identifikasi digital dihasilkan, tergantung pada tingkat perlindungan yang diperlukan dan ketersediaan peralatan (tablet grafis, layar komputer saku Palm, dll.), dari dua jenis:

• Menurut lukisan itu sendiri (untuk identifikasi, yang digunakan hanyalah tingkat kebetulan kedua gambar);
• Menurut sifat lukisan dan dinamika tulisan (untuk identifikasi, dibuat konvolusi yang meliputi informasi tentang lukisan, karakteristik waktu lukisan dan karakteristik statistik dinamika tekanan pada permukaan).

Dengan tulisan tangan keyboard

Metode ini umumnya mirip dengan yang dijelaskan di atas, tetapi alih-alih menandatangani, kata kode tertentu digunakan (ketika kata sandi pribadi pengguna digunakan untuk ini, otentikasi tersebut disebut otentikasi dua faktor) dan tidak diperlukan peralatan khusus selain a papan ketik standar. Karakteristik utama yang digunakan untuk membangun konvolusi identifikasi adalah dinamika kumpulan kata kode.

Ini adalah salah satu teknologi biometrik tertua. Saat ini, perkembangannya semakin intensif, memiliki masa depan yang cerah dan digunakan secara luas dalam pembangunan “bangunan cerdas”. Ada banyak cara untuk membuat kode identifikasi suara; biasanya, ini adalah berbagai kombinasi frekuensi dan karakteristik statistik suara.

Metode identifikasi dinamis lainnya

Untuk kelompok metode ini, hanya metode yang paling umum yang dijelaskan; ada juga metode unik seperti identifikasi dengan gerakan bibir saat mereproduksi kata sandi, dengan dinamika memutar kunci di kunci pintu, dll.

Aplikasi

Teknologi biometrik secara aktif digunakan di banyak bidang yang berkaitan dengan menjamin keamanan akses terhadap informasi dan objek material, serta dalam tugas identifikasi pribadi yang unik, untuk tujuan:

• Kontrol akses;
• Perlindungan informasi;
• Identifikasi klien.

Standar

BioAPI adalah standar Konsorsium BioAPI yang dikembangkan secara khusus untuk menyatukan antarmuka perangkat lunak pengembang perangkat biometrik.

Format Minutiae Sidik Jari AAMVA/Standar Nasional untuk Surat Izin Mengemudi/Kartu Tanda Penduduk DL/ID-2000- Standar Amerika untuk format penyajian, penyimpanan dan transmisi sidik jari untuk surat izin mengemudi. Sesuai dengan spesifikasi BioAPI dan standar CBEFF.

CBEFF (Format File Pertukaran Biometrik Umum)- format terpadu untuk menyajikan data biometrik, yang diusulkan untuk menggantikan format biometrik yang digunakan oleh produsen berbagai segmen pasar sistem biometrik pada peralatan dan perangkat lunak mereka. Saat membuat CBEFF, semua kemungkinan aspek penerapannya diperhitungkan, termasuk kriptografi, identifikasi biometrik multifaktor, dan integrasi dengan sistem identifikasi kartu.

CDSA/HRS (Layanan Pengenalan Manusia)- modul biometrik dalam Arsitektur Keamanan Data Umum, yang dikembangkan oleh Intel Architecture Labs dan disetujui oleh konsorsium Open Group. CDSA mendefinisikan sekumpulan API yang mewakili serangkaian fungsi yang terhubung secara logis yang mencakup komponen keamanan seperti enkripsi, sertifikat digital, berbagai metode otentikasi pengguna, yang ke dalam daftarnya, berkat HRS, telah ditambahkan biometrik. CDSA/HRS kompatibel dengan spesifikasi BioAPI dan standar CBEFF.

Revisi Standar Sidik Jari ANSI/NIST-ITL 1-2000 adalah standar Amerika yang mendefinisikan format umum untuk penyajian dan transmisi data sidik jari, wajah, bekas luka tubuh, dan tato untuk digunakan oleh lembaga penegak hukum AS.

Di Rusia, masalah standardisasi adalah tanggung jawab subkomite terkait dari Komite Teknis Nasional Standardisasi TK 355, yang sejak tahun 2003 telah mewakili Federasi Rusia di subkomite internasional standardisasi di bidang biometrik. ISO/IEC JTC1/SC37“Biometrik” (ISO/IEC STC 1 /PC37 “Biometrik”).

Bagian ini akan membahas beberapa langkah teknis untuk meningkatkan keamanan sistem. Pilihan tindakan yang dipertimbangkan ditentukan oleh kemungkinan penerapannya menggunakan sistem operasi bawaan keluarga Microsoft Windows. Oleh karena itu, tingkat keamanan dapat ditingkatkan tanpa biaya tambahan untuk peralatan perlindungan khusus.

Bagian teoretis dari kursus ini akan mencakup metode yang mendasari cara dan mekanisme terkait. Lab mencakup pengaturan sistem operasi tertentu.

Masalah yang sedang dipertimbangkan dapat dibagi menjadi dua kelompok:

• masalah yang berkaitan dengan identifikasi dan otentikasi pengguna;
• perlindungan pesan yang dikirimkan.

Identifikasi dan Otentikasi

Identifikasi- menugaskan pengidentifikasi kepada pengguna (nama atau label unik) yang dengannya sistem “mengenal” pengguna. Selain mengidentifikasi pengguna, identifikasi kelompok pengguna, sumber daya IS, dll dapat dilakukan. Identifikasi juga diperlukan untuk tugas sistem lainnya, misalnya, untuk memelihara log peristiwa. Dalam kebanyakan kasus, identifikasi disertai dengan otentikasi. Otentikasi- otentikasi - memeriksa apakah pengidentifikasi yang diberikan kepada pengguna adalah miliknya. Misalnya, pada awal sesi dalam suatu sistem informasi, pengguna memasukkan nama dan kata sandi. Berdasarkan data tersebut, sistem melakukan identifikasi (berdasarkan nama pengguna) dan otentikasi (dengan membandingkan nama belakang dan kata sandi yang dimasukkan).

Sistem identifikasi dan otentikasi adalah salah satu elemen kunci dari infrastruktur perlindungan akses tidak sah (ATP) dari sistem informasi apa pun. Sesuai dengan model keamanan berlapis yang dibahas sebelumnya, otentikasi pengguna komputer mengacu pada lapisan keamanan node.

Biasanya ada 3 kelompok metode otentikasi.

1. Otentikasi berdasarkan apakah pengguna memiliki objek unik dari tipe tertentu. Kelas metode autentikasi ini terkadang disebut "Saya punya" dalam bahasa Inggris. Contohnya adalah otentikasi menggunakan kartu pintar atau dongle USB.
2. Otentikasi berdasarkan fakta bahwa pengguna mengetahui beberapa informasi rahasia - "Saya tahu". Misalnya, otentikasi kata sandi. Sistem kata sandi dibahas secara lebih rinci nanti di bagian ini.
3. Otentikasi pengguna dengan karakteristik uniknya sendiri - "Saya" ("Saya"). Metode ini disebut juga biometrik.

Seringkali skema otentikasi gabungan digunakan, menggabungkan metode dari kelas yang berbeda. Misalnya, otentikasi dua faktor - pengguna memasukkan kartu pintar ke sistem dan memasukkan kode PIN untuk mengaktifkannya.

Yang paling umum saat ini adalah kata sandi. sistem otentikasi. Pengguna memiliki ID dan kata sandi, mis. informasi rahasia yang hanya diketahui oleh pengguna (dan mungkin sistem) yang digunakan untuk otentikasi.

Tergantung pada implementasi sistem, kata sandi dapat digunakan sekali atau beberapa kali. Sistem operasi biasanya melakukan otentikasi menggunakan kata sandi yang dapat digunakan kembali. Kombinasi pengidentifikasi, kata sandi, dan, mungkin, informasi tambahan yang berfungsi untuk menggambarkan bentuk pengguna akun pengguna.

Jika penyerang mengetahui kata sandi pengguna yang sah, maka dia dapat, misalnya, masuk ke sistem menggunakan akunnya dan mendapatkan akses ke data rahasia. Oleh karena itu, perhatian khusus harus diberikan pada keamanan kata sandi.

Sebagaimana dicatat ketika membahas standar ISO 17799, disarankan agar pengguna sistem menandatangani dokumen untuk menjaga kerahasiaan kata sandi mereka. Namun penyerang juga dapat mencoba menebak kata sandi, menebaknya, mencegatnya, dll. Mari kita lihat beberapa rekomendasi untuk mengelola sistem kata sandi untuk mengurangi kemungkinan terjadinya ancaman tersebut.

1. Mengatur panjang minimum kata sandi yang digunakan dalam sistem. Hal ini membuat serangan tebak kata sandi menjadi lebih sulit. Sebagai aturan, disarankan untuk mengatur panjang minimum menjadi 6-8 karakter.
2. Menetapkan persyaratan untuk menggunakan kelompok karakter yang berbeda dalam kata sandi - huruf besar dan kecil, angka, karakter khusus. Hal ini juga membuat seleksi menjadi sulit.
3. Pemeriksaan berkala administrator keamanan kualitas kata sandi yang digunakan dengan simulasi serangan seperti kamus tebak kata sandi (yaitu pengujian untuk melihat apakah kata sandi menggunakan kata-kata bahasa alami dan kombinasi karakter sederhana seperti "1234").
4. Menetapkan masa pakai kata sandi maksimum dan minimum, menggunakan mekanisme yang memaksa kata sandi lama diubah.
5. Batasi jumlah upaya kata sandi yang gagal (mengunci akun Anda setelah sejumlah upaya login yang gagal).
6. Menyimpan log riwayat kata sandi sehingga pengguna, setelah perubahan kata sandi yang dipaksakan, tidak dapat memilih kembali kata sandi lama yang mungkin telah disusupi.

Sistem operasi modern dari keluarga Windows memungkinkan Anda membuat pengaturan yang secara otomatis mengontrol kepatuhan terhadap persyaratan 1,2,4-6. Saat menggunakan domain Windows, persyaratan ini dapat diperluas ke semua komputer di domain tersebut dan dengan demikian meningkatkan keamanan seluruh jaringan.

Namun ketika mekanisme perlindungan baru diperkenalkan, konsekuensi yang tidak diinginkan mungkin muncul. Misalnya, persyaratan “kompleksitas” kata sandi dapat membingungkan pengguna yang kurang terlatih. Dalam hal ini, Anda perlu menjelaskan bahwa dari sudut pandang sistem operasi Windows, kata sandi yang kuat berisi 3 dari 4 kelompok karakter (huruf kapital, huruf kecil, angka, karakter layanan). Demikian pula, Anda perlu mempersiapkan pengguna untuk penerapan penguncian akun setelah beberapa kali gagal memasukkan kata sandi. Penting untuk menjelaskan kepada pengguna apa yang terjadi, dan aturan pemblokiran itu sendiri harus dipikirkan dengan matang. Misalnya, jika ada kemungkinan besar bahwa pengguna akan memblokir entrinya selama administrator tidak ada, lebih baik memblokirnya tidak secara permanen, tetapi untuk jangka waktu tertentu (30 menit, satu jam, dll.).

Hal ini mengarah pada fakta bahwa suatu kebijakan harus dikembangkan manajemen kata sandi, dokumen pelengkap, dan kemudian dilakukan implementasi.

Saat menggunakan OS Windows, Anda dapat mengidentifikasi akun dengan kata sandi yang lemah atau hilang, misalnya menggunakan utilitas Microsoft Baseline Security Analyzer. Ini juga memungkinkan Anda mengidentifikasi kesalahan administrasi lainnya. Pekerjaan laboratorium No. 3 dikhususkan untuk penggunaan utilitas ini, serta menyiapkan kebijakan kata sandi.

Protokol Kerberos dikembangkan di MIT pada pertengahan tahun 1980an dan sekarang menjadi standar de facto untuk otentikasi terpusat dan distribusi kunci enkripsi simetris. Didukung oleh sistem operasi keluarga Unix, Windows (mulai dari Windows "2000), ada implementasi untuk Mac OS.

Pada jaringan Windows (dimulai dengan Windows "2000 Serv.), otentikasi menggunakan protokol Kerberos v.5 (RFC 1510) diimplementasikan di tingkat domain. Kerberos adalah protokol otentikasi utama di domain, tetapi untuk memastikan kompatibilitas dengan sebelumnya versi, protokol NTLM juga didukung.

Sebelum kita melihat cara kerja Kerberos, mari kita lihat mengapa Kerberos pertama kali dikembangkan. Terpusat distribusi kunci enkripsi simetris menyiratkan bahwa setiap pelanggan jaringan hanya memiliki satu kunci utama, yang digunakan untuk berinteraksi pusat distribusi utama(server kunci). Untuk mendapatkan kunci enkripsi guna melindungi komunikasi dengan pelanggan lain, pengguna menghubungi server kunci, yang menetapkan sesi untuk pengguna ini dan pelanggan terkait. kunci simetris.

Protokol Kerberos menyediakan distribusi kunci enkripsi simetris dan otentikasi pengguna yang bekerja di jaringan tidak aman. Implementasi Kerberos adalah sistem perangkat lunak yang dibangun pada arsitektur client-server. Bagian klien diinstal pada semua komputer di jaringan yang dilindungi, kecuali komputer yang komponen server Kerberosnya diinstal. Secara khusus, server jaringan (server file, server cetak, dll.) juga dapat bertindak sebagai klien Kerberos.

Sisi server Kerberos dipanggil pusat distribusi utama(eng. Key Distribution Center, disingkat KDC) dan terdiri dari dua komponen:

• server otentikasi (eng. Server Otentikasi, disingkat AS);
• server penerbit izin (Server Pemberian Tiket, disingkat TGS).

Server Kerberos menetapkan kunci enkripsi simetris bersama untuk setiap subjek jaringan dan memelihara database subjek dan kunci rahasianya. Diagram fungsi protokol Kerberos ditunjukkan pada Gambar.

5.1.

Biarkan klien C akan mulai berinteraksi dengan server SS (Server Layanan Bahasa Inggris - server yang menyediakan layanan jaringan). Dalam bentuk yang agak disederhanakan, protokol ini melibatkan langkah-langkah berikut [, ]:

1. C->SEBAGAI: (c) .

   Klien C mengirimkan pengidentifikasi c ke server otentikasi AS (pengidentifikasi dikirim dalam bentuk teks yang jelas).

2. SEBAGAI->C: ((TGT)K AS_TGS , K C_TGS )K C,
   • K C - kunci utama C;
   • K C_TGS - kunci yang dikeluarkan oleh C untuk mengakses server izin TGS ;
   • (TGT) - Tiket Pemberian Tiket - tiket untuk akses ke server penerbit izin

   (TGT)=(c, tgs ,t 1 ,p 1 , K C_TGS ), Di mana terima kasih- pengidentifikasi server penerbit izin, t 1 - stempel waktu, p 1 - masa berlaku tiket.

   Pada langkah ini, server otentikasi AS, setelah memverifikasi bahwa klien C ada dalam databasenya, mengembalikan kepadanya tiket untuk mengakses server izin dan kunci untuk berinteraksi dengan server izin. Seluruh paket dienkripsi menggunakan kunci klien C. Jadi, meskipun pada langkah pertama interaksi, pengidentifikasi c dikirim bukan oleh klien C, tetapi oleh penyusup X, maka X tidak akan dapat mendekripsi paket yang diterima dari AS.

   Bukan hanya penyusup, klien C juga tidak bisa mengakses isi tiket TGT karena tiket dienkripsi dengan kunci yang didistribusikan antara server otentikasi dan server izin.

3. C-> TGS : (TGT)K AS_TGS , (Aut 1 ) K C_TGS , (ID)

   dimana (Aut 1) - blok otentikasi - Aut 1 = (s,t 2), t 2 - cap waktu; ID - pengidentifikasi layanan yang diminta (khususnya, dapat berupa pengidentifikasi server SS).

   Klien C kali ini menghubungi server izin TGS. Ini meneruskan tiket yang diterima dari AS, dienkripsi dengan kunci K AS_TGS, dan blok otentikasi yang berisi pengidentifikasi c dan stempel waktu yang menunjukkan kapan paket itu dibuat. Server izin mendekripsi tiket TGT dan menerima informasi tentang siapa tiket tersebut dikeluarkan untuk, kapan dan untuk berapa lama, kunci enkripsi yang dihasilkan oleh server AS untuk interaksi antara klien C dan server TGS. Blok otentikasi didekripsi menggunakan kunci ini. Jika label di blok cocok dengan label di tiket, ini membuktikan bahwa paket tersebut benar-benar dihasilkan oleh C (lagi pula, hanya dia yang mengetahui kunci K C_TGS dan dapat mengenkripsi pengenalnya dengan benar). Selanjutnya masa berlaku tiket dan waktu pemberangkatan parsel diperiksa. 3 ). 4 ).

4. TGS ->C: (( TGS )K TGS_SS ,K C_SS )K C_TGS,

   dimana K C_SS adalah kunci interaksi antara C dan SS, ( TGS)- Layanan Pemberian Tiket - tiket untuk akses ke SS (perhatikan bahwa singkatan yang sama dalam deskripsi protokol juga menunjukkan server penerbit izin). ( TGS ) = (с,ss,t 3 ,p 2 , K C_SS ).

   Sekarang server izin TGS mengirimkan klien C kunci enkripsi dan tiket yang diperlukan untuk mengakses server SS. Struktur tiketnya sama seperti pada langkah 2): pengenal orang yang menerima tiket tersebut; ID orang yang menerima tiket tersebut; cap waktu; masa berlaku; kunci enkripsi.

5. C->SS: ( TGS )K TGS_SS , (Aut 2 )K C_SS

   dimana Aut 2 = (c,t 4 ) .

   Klien C mengirimkan tiket yang diterima dari server hibah dan blok otentikasinya ke server SS yang ingin digunakan untuk membuat sesi aman. Diasumsikan SS sudah terdaftar di sistem dan didistribusikan ke server TGS kunci enkripsi K TGS_SS . Dengan kunci ini, dia dapat mendekripsi tiket, mendapatkan kunci enkripsi K C_SS dan memverifikasi keasliannya pengirim pesan.

6. SS->C: (t 4 +1)K C_SS

   Maksud dari langkah terakhir adalah sekarang SS harus membuktikan keasliannya kepada C. Dia dapat melakukan ini dengan menunjukkan bahwa dia mendekripsi pesan sebelumnya dengan benar. Itu sebabnya SS mengambil stempel waktu dari blok otentikasi C, memodifikasinya dengan cara yang telah ditentukan (menambahnya sebesar 1), mengenkripsinya dengan kunci K C_SS dan mengembalikan C. Jaringan secara logis dibagi ke dalam cakupan server Kerberos. Ranah Kerberos adalah bagian dari jaringan yang pengguna dan servernya terdaftar dalam database server Kerberos tunggal (atau dalam database tunggal yang digunakan bersama oleh beberapa server). Satu area dapat mencakup segmen jaringan lokal, keseluruhan jaringan lokal, atau gabungan beberapa jaringan lokal yang terhubung. Diagram interaksi antara ranah Kerberos ditunjukkan pada Gambar.

   5.2.

   Setelah menjalin kesepakatan bersama, klien dari area 1 (biarkan K 11 ) dapat menjalin sesi dengan klien dari area 2 (misalnya K 21 ). Untuk melakukan ini, K 11 harus mendapatkan tiket dari server izinnya untuk mengakses server Kerberos yang kliennya ingin berkomunikasi (yaitu, server Kerberos KDC2). Tiket yang diterima memuat tanda yang menunjukkan di wilayah mana pemegang tiket terdaftar. Tiket dienkripsi menggunakan kunci yang dibagikan antara server KDC1 dan KDC2. Jika tiket berhasil didekripsi, server Kerberos jarak jauh dapat memastikan bahwa tiket tersebut diterbitkan ke klien ranah Kerberos tempat hubungan saling percaya. Protokol kemudian berfungsi seperti biasa.

   kuncinya, tetapi juga memverifikasi keaslian satu sama lain, dengan kata lain, saling mengautentikasi.

   Mengenai penerapan protokol Kerberos di Windows, hal-hal berikut perlu diperhatikan.

   1. Kunci pengguna dibuat berdasarkan kata sandinya. Jadi, ketika menggunakan kata sandi yang lemah, efek perlindungan yang andal dari proses otentikasi akan berkurang menjadi nol.
   2. Pengontrol domain bertindak sebagai server Kerberos, yang masing-masing harus menjalankan layanan Kerberos Key Distribution Center (KDC). Peran menyimpan informasi tentang pengguna dan kata sandi diambil alih oleh layanan direktori Direktori Aktif. Kunci yang dibagikan antara server autentikasi dan server izin dibentuk berdasarkan kata sandi akun layanan krbtgt- catatan ini dibuat secara otomatis saat membuat domain dan selalu diblokir.
   3. Microsoft menggunakan ekstensi Kerberos dalam sistem operasinya untuk mengimplementasikan kriptografi kunci publik. Hal ini memungkinkan pendaftaran di domain dan menggunakan kartu pintar yang menyimpan informasi penting dan digital sertifikat pengguna.
   4. Menggunakan Kerberos memerlukan sinkronisasi jam internal komputer yang menjadi anggota domain Windows.

   Untuk meningkatkan tingkat keamanan proses otentikasi pengguna, disarankan untuk menonaktifkan penggunaan protokol NTLM yang kurang dapat diandalkan dan hanya menyisakan Kerberos (jika penggunaan NTLM tidak diperlukan oleh OS klien lama).

Identifikasi biometrik adalah penyajian parameter biometrik uniknya oleh pengguna dan proses membandingkannya dengan seluruh database data yang tersedia. Untuk mengekstrak data pribadi semacam ini, .

Sistem kontrol akses biometrik nyaman bagi pengguna karena media penyimpanan selalu bersama mereka dan tidak dapat hilang atau dicuri. dianggap lebih dapat diandalkan, karena tidak dapat ditransfer ke pihak ketiga atau disalin.

Teknologi identifikasi biometrik

Metode identifikasi biometrik:

1. Statis, berdasarkan ciri-ciri fisiologis seseorang yang menyertainya sepanjang hidupnya:

• Identifikasi;
• Identifikasi;
• Identifikasi;
• Identifikasi dengan geometri tangan;
• Identifikasi dengan termogram wajah;
• Identifikasi dengan DNA.
• Identifikasi
• Identifikasi

Yang dinamis didasarkan pada ciri-ciri perilaku manusia, yaitu gerakan bawah sadar dalam proses mengulangi suatu tindakan biasa: tulisan tangan, suara, gaya berjalan.

• Identifikasi;
• Identifikasi dengan tulisan tangan;
• Identifikasi dengan tulisan tangan keyboard
• dan lainnya.

Salah satu jenis biometrik perilaku yang diprioritaskan adalah gaya mengetik pada keyboard. Saat menentukannya, kecepatan mengetik, tekanan tombol, durasi penekanan tombol, dan interval waktu antar penekanan tombol dicatat.

Faktor biometrik terpisah dapat berupa cara Anda menggunakan mouse. Selain itu, biometrik perilaku mencakup sejumlah besar faktor yang tidak terkait dengan komputer - gaya berjalan, ciri-ciri cara seseorang menaiki tangga.

Ada juga sistem identifikasi gabungan yang menggunakan beberapa karakteristik biometrik, yang memungkinkan memenuhi persyaratan paling ketat untuk keandalan dan keamanan sistem kontrol akses.

Kriteria identifikasi biometrik

Untuk mengetahui efektivitas ACS berdasarkan identifikasi biometrik digunakan indikator sebagai berikut:

• - tingkat kesalahan palsu;
• FMR adalah probabilitas bahwa sistem salah membandingkan pola masukan dengan pola yang tidak cocok dalam database;
• - tingkat penolakan palsu;
• FNMR adalah probabilitas sistem akan melakukan kesalahan dalam menentukan kecocokan antara sampel masukan dan templat yang sesuai dari database;
• Grafik ROC - visualisasi trade-off antara karakteristik FAR dan FRR;
• Tingkat penolakan pendaftaran (FTE atau FER) – tingkat kegagalan upaya membuat template dari data masukan (jika kualitas data masukan rendah);
• False Hold Rate (FTC) - kemungkinan bahwa sistem otomatis tidak dapat mendeteksi input biometrik ketika dikirimkan dengan benar;
• Kapasitas template adalah jumlah maksimum kumpulan data yang dapat disimpan dalam sistem.

Di Rusia, penggunaan data biometrik diatur oleh Pasal 11 Undang-Undang Federal “Tentang Data Pribadi” tanggal 27 Juli 2006.

Analisis komparatif metode utama identifikasi biometrik

Perbandingan metode otentikasi biometrik menggunakan statistik matematika (FAR dan FRR)

Parameter utama untuk mengevaluasi sistem biometrik adalah dua parameter:

FAR (Tingkat Penerimaan Palsu)- tingkat kesalahan palsu, mis. persentase situasi di mana sistem mengizinkan akses ke pengguna yang tidak terdaftar di sistem.

FRR (Tingkat Penolakan Palsu)- tingkat penolakan palsu, mis. penolakan akses ke pengguna sebenarnya dari sistem.

Kedua karakteristik tersebut diperoleh dengan perhitungan berdasarkan metode statistik matematika. Semakin rendah indikator ini, semakin akurat pengenalan suatu objek.

Untuk metode identifikasi biometrik terpopuler saat ini, rata-rata nilai FAR dan FRR adalah sebagai berikut:

Namun untuk membangun sistem kontrol akses yang efektif, indikator FAR dan FRR yang baik saja tidak cukup. Misalnya, sulit membayangkan sistem kontrol akses berdasarkan analisis DNA, meskipun dengan metode otentikasi ini koefisien yang ditunjukkan cenderung nol. Namun waktu identifikasi bertambah, pengaruh faktor manusia meningkat, dan biaya sistem meningkat secara tidak wajar.

Oleh karena itu, untuk analisis kualitatif sistem kontrol akses biometrik, perlu menggunakan data lain, yang terkadang hanya dapat diperoleh secara eksperimental.

Pertama-tama, data tersebut harus mencakup kemungkinan memalsukan data biometrik untuk identifikasi dalam sistem dan cara untuk meningkatkan tingkat keamanan.

Kedua, stabilitas faktor biometrik: kekekalannya dari waktu ke waktu dan kemandiriannya dari kondisi lingkungan.

Sebagai konsekuensi logisnya, kecepatan otentikasi dan kemungkinan pengambilan data biometrik tanpa kontak dengan cepat untuk identifikasi.

Dan tentu saja biaya penerapan sistem kontrol akses biometrik berdasarkan metode otentikasi yang dipertimbangkan dan ketersediaan komponen.

Perbandingan metode biometrik untuk ketahanan terhadap pemalsuan data

Pemalsuan data biometrik Bagaimanapun, ini adalah proses yang agak rumit, seringkali memerlukan pelatihan khusus dan dukungan teknis. Namun jika Anda bisa memalsukan sidik jari di rumah, maka pemalsuan iris mata yang berhasil belum diketahui. Dan untuk sistem otentikasi biometrik retina, tidak mungkin membuat yang palsu.

Perbandingan metode biometrik untuk kemampuan otentikasi yang kuat

Meningkatkan tingkat keamanan sistem biometrik Kontrol akses biasanya dicapai dengan menggunakan metode perangkat keras dan perangkat lunak. Misalnya, teknologi “jari hidup” untuk sidik jari, analisis kedutan mata yang tidak disengaja. Untuk meningkatkan tingkat keamanan, metode biometrik dapat menjadi salah satu komponen sistem otentikasi multifaktor.

Dimasukkannya fitur keamanan tambahan dalam sistem perangkat keras dan perangkat lunak biasanya meningkatkan biayanya secara signifikan. Namun, untuk beberapa metode, autentikasi yang kuat berdasarkan komponen standar dimungkinkan: menggunakan beberapa templat untuk mengidentifikasi pengguna (misalnya, banyak sidik jari).

Perbandingan metode otentikasi berdasarkan kekekalan karakteristik biometrik

Keteguhan karakteristik biometrik dari waktu ke waktu konsepnya juga bersyarat: semua parameter biometrik dapat berubah akibat operasi medis atau cedera. Namun jika luka potong rumah tangga biasa, yang dapat mempersulit verifikasi sidik jari pengguna, merupakan situasi umum, maka operasi yang mengubah pola iris mata jarang terjadi.

Perbandingan kepekaan terhadap faktor eksternal

Pengaruh parameter lingkungan terhadap efisiensi ACS bergantung pada algoritme dan teknologi pengoperasian yang diterapkan oleh produsen peralatan, dan dapat berbeda secara signifikan bahkan dalam metode biometrik yang sama. Contoh mencolok dari perbedaan tersebut adalah pembaca sidik jari, yang umumnya cukup sensitif terhadap pengaruh faktor eksternal.

Jika kita membandingkan metode identifikasi biometrik lainnya, pengenalan wajah 2D akan menjadi yang paling sensitif: keberadaan kacamata, topi, gaya rambut baru, atau janggut yang tumbuh bisa menjadi sangat penting di sini.

Sistem yang menggunakan metode otentikasi retina memerlukan posisi mata yang cukup kaku relatif terhadap pemindai, imobilitas pengguna, dan pemfokusan mata itu sendiri.

Metode untuk mengidentifikasi pengguna berdasarkan pola vena dan iris mata relatif stabil dalam pengoperasiannya, kecuali jika Anda mencoba menggunakannya dalam kondisi pengoperasian yang ekstrem (misalnya, otentikasi tanpa kontak jarak jauh saat hujan “jamur”).

Identifikasi wajah tiga dimensi adalah yang paling tidak sensitif terhadap pengaruh faktor eksternal. Satu-satunya parameter yang dapat mempengaruhi pengoperasian sistem kontrol akses tersebut adalah pencahayaan yang berlebihan.

Perbandingan kecepatan otentikasi

Kecepatan otentikasi tergantung pada waktu pengambilan data, ukuran templat dan jumlah sumber daya yang dialokasikan untuk pemrosesannya, dan algoritma perangkat lunak utama yang digunakan untuk mengimplementasikan metode biometrik tertentu.

Perbandingan kemampuan otentikasi nirsentuh

Otentikasi tanpa kontak memberikan banyak keuntungan menggunakan metode biometrik dalam sistem keamanan fisik di fasilitas dengan persyaratan sanitasi dan higienis yang tinggi (kedokteran, industri makanan, lembaga penelitian dan laboratorium). Selain itu, kemampuan untuk mengidentifikasi objek jarak jauh mempercepat prosedur verifikasi, yang penting untuk sistem kontrol akses besar dengan throughput tinggi. Dan juga, identifikasi nirsentuh dapat digunakan oleh lembaga penegak hukum untuk tujuan resmi. Itu sebabnya, namun belum mencapai hasil yang berkelanjutan. Yang paling efektif adalah metode yang memungkinkan Anda menangkap karakteristik biometrik suatu objek pada jarak jauh dan selama pergerakan. Dengan meluasnya pengawasan video, penerapan prinsip operasi ini menjadi semakin mudah.

Perbandingan metode biometrik untuk kenyamanan psikologis pengguna

Kenyamanan psikologis pengguna– juga merupakan indikator yang cukup relevan ketika memilih sistem keamanan. Jika dalam kasus pengenalan wajah dua dimensi atau pengenalan iris mata hal ini terjadi tanpa disadari, maka pemindaian retina adalah proses yang agak tidak menyenangkan. Dan identifikasi dengan sidik jari, meski tidak menimbulkan sensasi yang tidak menyenangkan, dapat menimbulkan asosiasi negatif dengan metode forensik.

Perbandingan biaya penerapan metode biometrik dalam sistem kontrol akses

Biaya kontrol akses dan sistem akuntansi Tergantung pada metode identifikasi biometrik yang digunakan, ini sangat bervariasi. Namun, perbedaannya dapat terlihat dalam satu metode, tergantung pada tujuan sistem (fungsi), teknologi produksi, metode yang meningkatkan perlindungan terhadap akses tidak sah, dll.

Perbandingan ketersediaan metode identifikasi biometrik di Rusia

Identifikasi-sebagai-layanan

Identifikasi sebagai Layanan di pasar teknologi biometrik adalah konsep yang cukup baru, namun menjanjikan banyak keuntungan nyata: kemudahan penggunaan, penghematan waktu, keamanan, kenyamanan, keserbagunaan, dan skalabilitas - seperti sistem lain yang berbasis pada penyimpanan Cloud dan pemrosesan data.

Pertama-tama, Identification-as-a-service menarik untuk proyek-proyek besar dengan berbagai tugas keamanan, khususnya untuk lembaga penegak hukum negara bagian dan lokal, yang memungkinkan terciptanya sistem identifikasi biometrik otomatis inovatif yang menyediakan identifikasi real-time. tersangka dan penjahat.

Identifikasi cloud sebagai teknologi masa depan

Perkembangan identifikasi biometrik sejalan dengan perkembangan layanan Cloud. Solusi teknologi modern ditujukan untuk mengintegrasikan berbagai segmen ke dalam solusi komprehensif yang memenuhi semua kebutuhan klien, dan tidak hanya dalam memastikan keamanan fisik. Jadi kombinasi layanan Cloud dan biometrik sebagai bagian dari sistem kontrol akses merupakan sebuah langkah yang sepenuhnya memenuhi semangat zaman dan menatap masa depan.

Apa prospek menggabungkan teknologi biometrik dengan layanan cloud?

Para editor situs menyampaikan pertanyaan ini kepada integrator sistem terbesar Rusia, perusahaan Technoserv:

“Mari kita mulai dengan fakta bahwa sistem keamanan terintegrasi cerdas yang kami demonstrasikan, pada kenyataannya, adalah salah satu opsi cloud. Dan opsi dari film: seseorang berjalan melewati kamera satu kali dan dia sudah masuk ke dalam sistem. .. Ini akan terjadi. Seiring waktu, dengan meningkatnya daya komputasi, tapi itu akan terjadi.

Sekarang untuk satu identifikasi dalam aliran, dengan kualitas terjamin, Anda memerlukan setidaknya delapan inti komputer: ini untuk mendigitalkan gambar dan membandingkannya dengan database dengan cepat. Saat ini hal ini secara teknis mungkin dilakukan, namun secara komersial tidak mungkin dilakukan - biaya setinggi itu tidak masuk akal. Namun, dengan peningkatan kapasitas, kami akan mencapai titik di mana database bioidentifikasi terpadu akan tercipta,”- jawab Alexander Abramov, direktur departemen multimedia dan pusat situasi di Technoserv.

Identitas sebagai Layanan Cloud Morpho

Penerapan layanan Cloud sebagai solusi yang nyaman dan aman ditunjukkan dengan penerapan pertama sistem identifikasi biometrik otomatis untuk penegakan hukum pemerintah di lingkungan cloud komersial, yang diselesaikan pada bulan September 2016: MorphoTrak, anak perusahaan Safran Identity & Security, dan Departemen Kepolisian Albuquerque berhasil menerapkan MorphoBIS di cloud MorphoCloud. Polisi telah mencatat peningkatan yang signifikan dalam kecepatan pemrosesan, serta kemampuan untuk mengenali cetakan dengan kualitas yang jauh lebih rendah.

Layanan yang dikembangkan oleh MorphoTrak) didasarkan pada Pemerintahan Microsoft Azure dan mencakup beberapa mekanisme identifikasi biometrik: biometrik sidik jari, biometrik wajah dan iris mata. Selain itu, pengenalan tato, pengenalan suara, layanan (VSaaS) juga dimungkinkan.

Keamanan siber sistem ini sebagian dijamin oleh server peradilan pidana pemerintah, Layanan Informasi Peradilan Pidana (CJIS), dan sebagian lagi oleh gabungan keahlian keamanan Morpho dan Microsoft.

"Kami merancang solusi kami untuk membantu lembaga penegak hukum mencapai penghematan waktu dan peningkatan efisiensi. Keamanan, tentu saja, merupakan elemen kunci. Kami menginginkan solusi berbasis cloud yang dapat memenuhi kebijakan keamanan CJIS pemerintah yang ketat dan menjadikan Microsoft sebagai mitra ideal untuk memastikan kontrol ketat terhadap kasus kriminal." dan data keamanan nasional, dalam lingkungan pusat data terdistribusi." kata Frank Barrett, Direktur Layanan Cloud di MorphoTrak, LLC.

Hasilnya, Morpho Cloud adalah contoh yang luar biasa manajemen identitas yang dialihdayakan, yang dapat memberikan perbaikan yang efektif dan hemat biaya pada sistem keamanan penegakan hukum. Identitas sebagai layanan memberikan manfaat yang tidak tersedia bagi sebagian besar institusi. Misalnya, pemulihan bencana yang terdistribusi secara geografis pada umumnya tidak mungkin dilakukan dari perspektif biaya proyek yang tinggi, dan peningkatan keamanan dengan cara ini hanya dapat dilakukan karena skala Microsoft Azure dan Morpho Cloud.

Otentikasi biometrik pada perangkat seluler

Otentikasi sidik jari pada perangkat seluler

Studi oleh Biometrics Research Group, Inc. dikhususkan untuk analisis dan perkiraan perkembangan pasar otentikasi biometrik di perangkat seluler. Studi disponsori oleh produsen pasar biometrik terkemuka Cognitec, VoicePIN dan Pengenalan Terapan.

Pasar biometrik seluler dalam jumlah

Menurut penelitian tersebut, volume segmen biometrik seluler diperkirakan mencapai $9 miliar pada tahun 2018 dan $45 miliar pada tahun 2020 di seluruh dunia. Pada saat yang sama, penggunaan karakteristik biometrik untuk otentikasi akan digunakan tidak hanya untuk membuka kunci perangkat seluler, tetapi juga untuk mengatur otentikasi multi-faktor dan konfirmasi instan pembayaran elektronik.

Perkembangan segmen pasar biometrik seluler dikaitkan dengan penggunaan aktif ponsel cerdas dengan sensor yang sudah terpasang sebelumnya. Tercatat pada akhir tahun 2015, perangkat seluler dengan biometrik akan digunakan oleh setidaknya 650 juta orang. Jumlah pengguna ponsel dengan sensor biometrik diproyeksikan tumbuh sebesar 20,1% per tahun dan pada tahun 2020 setidaknya berjumlah 2 miliar orang.

Materi dari proyek khusus "Tanpa Kunci"

Proyek khusus “Tanpa Kunci” adalah akumulator informasi tentang sistem kontrol akses, akses konvergen, dan personalisasi kartu

Identifikasi dan otentikasi adalah dasar dari alat keamanan perangkat lunak dan perangkat keras modern, karena layanan lain terutama dirancang untuk melayani entitas ini. Konsep-konsep ini mewakili semacam garis pertahanan pertama yang memberikan ruang bagi organisasi.

Apa itu?

Identifikasi dan otentikasi memiliki fungsi yang berbeda. Yang pertama memberi subjek (pengguna atau proses yang bertindak atas namanya) kemampuan untuk memberikan namanya sendiri. Dengan bantuan otentikasi, pihak kedua akhirnya yakin bahwa subjeknya benar-benar seperti yang dia klaim. Seringkali, identifikasi dan otentikasi diganti dengan frasa “pelaporan nama” dan “otentikasi.”

Mereka sendiri terbagi menjadi beberapa varietas. Selanjutnya kita akan melihat apa itu identifikasi dan otentikasi dan apa itu.

Otentikasi

Konsep ini menyediakan dua jenis: satu arah, ketika klien harus membuktikan keasliannya terlebih dahulu kepada server, dan dua arah, yaitu ketika dilakukan konfirmasi bersama. Contoh umum bagaimana identifikasi dan otentikasi pengguna standar dilakukan adalah prosedur login untuk sistem tertentu. Dengan demikian, tipe yang berbeda dapat digunakan pada objek yang berbeda.

Dalam lingkungan jaringan, ketika identifikasi dan otentikasi pengguna dilakukan pada pihak yang tersebar secara geografis, layanan yang dimaksud berbeda dalam dua aspek utama:

• yang bertindak sebagai pengautentikasi;
• Bagaimana tepatnya pertukaran data otentikasi dan identifikasi diatur dan bagaimana hal itu dilindungi.

Untuk mengonfirmasi keasliannya, subjek harus menunjukkan salah satu entitas berikut:

• informasi tertentu yang diketahuinya (nomor pribadi, kata sandi, kunci kriptografi khusus, dll.);
• barang tertentu yang dimilikinya (kartu pribadi atau perangkat lain yang memiliki tujuan serupa);
• suatu hal tertentu yang merupakan unsur dirinya (sidik jari, suara dan sarana biometrik lainnya untuk mengidentifikasi dan mengautentikasi pengguna).

Fitur Sistem

Dalam lingkungan jaringan terbuka, para pihak tidak memiliki jalur tepercaya, yang berarti bahwa secara umum, informasi yang dikirimkan oleh subjek mungkin pada akhirnya tidak cocok dengan informasi yang diterima dan digunakan dalam otentikasi. Penting untuk memastikan keamanan mendengarkan jaringan secara aktif dan pasif, yaitu perlindungan dari koreksi, intersepsi atau reproduksi berbagai data. Pilihan untuk mengirimkan kata sandi dalam teks biasa tidak memuaskan, dan mengenkripsi kata sandi tidak dapat menyelamatkan situasi dengan cara yang sama, karena kata sandi tersebut tidak dilindungi dari pengulangan. Inilah sebabnya mengapa protokol otentikasi yang lebih kompleks digunakan saat ini.

Identifikasi yang dapat diandalkan mengalami kesulitan tidak hanya karena berbagai alasan, tetapi juga karena sejumlah alasan lainnya. Pertama-tama, hampir semua entitas otentikasi dapat dicuri, dipalsukan, atau diendus. Ada juga kontradiksi tertentu antara keandalan sistem yang digunakan, di satu sisi, dan kenyamanan administrator sistem atau pengguna, di sisi lain. Oleh karena itu, demi alasan keamanan, pengguna perlu memasukkan kembali informasi autentikasinya dengan frekuensi tertentu (karena orang lain mungkin sudah duduk di tempatnya), dan ini tidak hanya menimbulkan kerumitan tambahan, tetapi juga secara signifikan meningkatkan keamanan. kemungkinan seseorang memata-matai masukan informasi Anda. Antara lain, keandalan perangkat pelindung secara signifikan mempengaruhi biayanya.

Sistem identifikasi dan otentikasi modern mendukung konsep sistem masuk tunggal ke jaringan, yang terutama membantu memenuhi persyaratan dalam hal kenyamanan pengguna. Jika jaringan perusahaan standar memiliki banyak layanan informasi yang memberikan kemungkinan akses independen, maka entri data pribadi berulang kali menjadi terlalu memberatkan. Saat ini, penggunaan single sign-on pada jaringan belum bisa dikatakan normal, karena solusi dominan belum muncul.

Oleh karena itu, banyak orang mencoba untuk menemukan kompromi antara keterjangkauan, kenyamanan dan keandalan sarana identifikasi/otentikasi yang disediakan. Otorisasi pengguna dalam hal ini dilakukan sesuai dengan aturan individu.

Perhatian khusus harus diberikan pada fakta bahwa layanan yang digunakan dapat dipilih sebagai target serangan ketersediaan. Jika hal ini dilakukan sedemikian rupa sehingga setelah beberapa kali gagal, kemampuan untuk masuk diblokir, maka dalam kasus ini, penyerang dapat menghentikan pekerjaan pengguna yang sah hanya dengan beberapa penekanan tombol.

Otentikasi kata sandi

Keuntungan utama dari sistem seperti ini adalah sangat sederhana dan familiar bagi sebagian besar orang. Kata sandi telah digunakan oleh sistem operasi dan layanan lainnya sejak lama, dan bila digunakan dengan benar, kata sandi memberikan tingkat keamanan yang cukup dapat diterima oleh sebagian besar organisasi. Namun di sisi lain, dalam hal keseluruhan karakteristik, sistem tersebut merupakan cara terlemah yang dapat digunakan untuk melakukan identifikasi/otentikasi. Otorisasi dalam hal ini menjadi sangat sederhana, karena kata sandi harus mudah diingat, namun kombinasi sederhana tidak sulit ditebak, terutama jika seseorang mengetahui preferensi pengguna tertentu.

Kadang-kadang kata sandi, pada prinsipnya, tidak dirahasiakan, karena kata sandi tersebut memiliki arti standar sepenuhnya yang ditentukan dalam dokumentasi tertentu, dan kata sandi tersebut tidak selalu diubah setelah sistem diinstal.

Saat Anda memasukkan kata sandi, Anda dapat melihatnya, dan dalam beberapa kasus orang bahkan menggunakan instrumen optik khusus.

Pengguna, sebagai subjek utama identifikasi dan autentikasi, seringkali dapat membagikan kata sandi kepada rekan kerja sehingga mereka dapat menggantikan pemiliknya untuk jangka waktu tertentu. Secara teori, dalam situasi seperti itu akan lebih baik untuk menggunakan kontrol akses khusus, namun dalam praktiknya tidak ada yang menggunakan ini. Dan jika dua orang mengetahui kata sandinya, hal ini sangat meningkatkan kemungkinan orang lain pada akhirnya akan mengetahuinya.

Bagaimana cara memperbaikinya?

Ada beberapa cara dimana identifikasi dan otentikasi dapat diamankan. Komponen pemrosesan informasi dapat diamankan dengan cara berikut:

• Menerapkan berbagai batasan teknis. Paling sering, aturan ditetapkan untuk panjang kata sandi, serta isi karakter tertentu.
• Mengelola masa berlaku kata sandi, yaitu perlunya penggantian secara berkala.
• Membatasi akses ke file kata sandi utama.
• Membatasi jumlah total upaya gagal yang tersedia saat login. Hal ini memastikan bahwa penyerang hanya perlu melakukan tindakan sebelum identifikasi dan otentikasi, karena kekerasan tidak dapat digunakan.
• Pelatihan pengguna awal.
• Menggunakan perangkat lunak khusus pembuat kata sandi yang memungkinkan Anda membuat kombinasi yang merdu dan cukup berkesan.

Semua tindakan di atas dapat digunakan dalam hal apa pun, meskipun cara otentikasi lain juga digunakan bersama dengan kata sandi.

Kata sandi satu kali

Opsi yang dibahas di atas dapat digunakan kembali, dan jika kombinasi tersebut terungkap, penyerang dapat melakukan operasi tertentu atas nama pengguna. Itulah sebabnya kata sandi satu kali digunakan sebagai cara yang lebih kuat untuk menahan kemungkinan penyadapan jaringan secara pasif, sehingga sistem identifikasi dan autentikasi menjadi jauh lebih aman, meskipun tidak senyaman itu.

Saat ini, salah satu perangkat lunak penghasil kata sandi satu kali yang paling populer adalah sistem bernama S/KEY, yang dirilis oleh Bellcore. Konsep dasar sistem ini adalah adanya fungsi F tertentu yang diketahui oleh pengguna dan server otentikasi. Berikut ini adalah kunci rahasia K yang hanya diketahui oleh pengguna tertentu.

Selama administrasi pengguna awal, fungsi ini diterapkan ke kunci beberapa kali, setelah itu hasilnya disimpan di server. Nantinya, prosedur otentikasi terlihat seperti ini:

1. Sistem pengguna menerima nomor dari server yang jumlahnya 1 lebih kecil dari berapa kali fungsi kunci tersebut digunakan.
2. Pengguna menggunakan fungsi tersebut ke kunci rahasia yang ada beberapa kali yang ditetapkan pada poin pertama, setelah itu hasilnya dikirim melalui jaringan langsung ke server otentikasi.
3. Server menggunakan fungsi ini pada nilai yang diterima, setelah itu hasilnya dibandingkan dengan nilai yang disimpan sebelumnya. Jika hasilnya cocok, maka pengguna diautentikasi, dan server menyimpan nilai baru dan kemudian mengurangi penghitungnya satu per satu.

Dalam praktiknya, penerapan teknologi ini memiliki struktur yang sedikit lebih kompleks, namun saat ini hal tersebut tidak begitu penting. Karena fungsinya tidak dapat diubah, bahkan jika terjadi intersepsi kata sandi atau akses tidak sah ke server otentikasi, fungsi ini tidak memberikan kemampuan untuk mendapatkan kunci rahasia dan dengan cara apa pun memprediksi seperti apa kata sandi satu kali berikutnya.

Di Rusia, portal negara khusus, “Sistem Identifikasi/Otentikasi Terpadu” (“USIA”), digunakan sebagai layanan terpadu.

Pendekatan lain terhadap sistem otentikasi yang andal adalah dengan menghasilkan kata sandi baru dalam interval pendek, yang juga diterapkan melalui penggunaan program khusus atau berbagai kartu pintar. Dalam hal ini, server otentikasi harus menerima algoritma pembuatan kata sandi yang sesuai, serta parameter tertentu yang terkait dengannya, dan di samping itu, juga harus ada sinkronisasi jam server dan klien.

Kerbero

Server otentikasi Kerberos pertama kali muncul pada pertengahan tahun 90an abad lalu, namun sejak itu telah menerima banyak perubahan mendasar. Saat ini, masing-masing komponen sistem ini terdapat di hampir setiap sistem operasi modern.

Tujuan utama dari layanan ini adalah untuk memecahkan masalah berikut: ada jaringan tertentu yang tidak terlindungi, dan di node-nya berbagai subjek terkonsentrasi dalam bentuk pengguna, serta sistem perangkat lunak server dan klien. Setiap subjek memiliki kunci rahasia tersendiri, dan agar subjek C memiliki kesempatan untuk membuktikan keasliannya kepada subjek S, yang tanpanya ia tidak akan melayaninya, ia tidak hanya perlu mengidentifikasi dirinya sendiri, tetapi juga menunjukkan bahwa dia mengetahui kunci rahasia tertentu. Pada saat yang sama, C tidak memiliki kesempatan untuk mengirim kunci rahasianya ke S, karena pertama-tama jaringan terbuka, dan selain itu, S tidak mengetahuinya, dan, pada prinsipnya, tidak boleh mengetahuinya. Dalam situasi seperti ini, teknologi yang tidak terlalu mudah digunakan untuk mendemonstrasikan pengetahuan tentang informasi ini.

Identifikasi/otentikasi elektronik melalui sistem Kerberos melibatkan penggunaannya sebagai pihak ketiga tepercaya yang memiliki informasi tentang kunci rahasia entitas yang dilayani dan, jika perlu, membantu mereka dalam melakukan otentikasi berpasangan.

Jadi, klien pertama-tama mengirimkan permintaan ke sistem, yang berisi informasi yang diperlukan tentang dirinya, serta tentang layanan yang diminta. Setelah ini, Kerberos memberinya semacam tiket, yang dienkripsi dengan kunci rahasia server, serta salinan beberapa data darinya, yang dienkripsi dengan kunci klien. Jika ada kecocokan, dipastikan bahwa klien mendekripsi informasi yang ditujukan untuknya, yaitu, dia mampu menunjukkan bahwa dia benar-benar mengetahui kunci rahasianya. Hal ini menunjukkan bahwa klien adalah orang yang dia klaim.

Perhatian khusus harus diberikan di sini pada fakta bahwa transfer kunci rahasia tidak dilakukan melalui jaringan, dan hanya digunakan untuk enkripsi.

Otentikasi biometrik

Biometrik melibatkan kombinasi cara otomatis untuk mengidentifikasi/mengautentikasi orang berdasarkan karakteristik perilaku atau fisiologis mereka. Sarana otentikasi dan identifikasi fisik meliputi pemeriksaan retina dan kornea mata, sidik jari, geometri wajah dan tangan, serta informasi individu lainnya. Karakteristik perilaku mencakup gaya bekerja dengan keyboard dan dinamika tanda tangan. Metode gabungan mewakili analisis berbagai fitur suara seseorang, serta pengenalan ucapannya.

Sistem identifikasi/otentikasi dan enkripsi seperti ini umum digunakan di banyak negara di seluruh dunia, namun sudah lama memerlukan biaya yang sangat mahal dan sulit untuk diterapkan. Baru-baru ini, permintaan akan produk biometrik telah meningkat secara signifikan karena perkembangan e-commerce, karena dari sudut pandang pengguna, menampilkan diri jauh lebih nyaman daripada mengingat beberapa informasi. Oleh karena itu, permintaan menciptakan pasokan, sehingga produk yang relatif murah mulai bermunculan di pasar, yang terutama berfokus pada pengenalan sidik jari.

Dalam sebagian besar kasus, biometrik digunakan dalam kombinasi dengan pengautentikasi lain seperti Seringkali, autentikasi biometrik hanya mewakili garis pertahanan pertama dan bertindak sebagai sarana untuk mengaktifkan kartu pintar yang mencakup berbagai rahasia kriptografi. Saat menggunakan teknologi ini, templat biometrik disimpan di kartu yang sama.

Aktivitas di bidang biometrik cukup tinggi. Sudah ada konsorsium terkait, dan pekerjaan yang cukup aktif sedang dilakukan untuk menstandardisasi berbagai aspek teknologi. Saat ini Anda dapat melihat banyak artikel periklanan yang menampilkan teknologi biometrik sebagai sarana ideal untuk memberikan peningkatan keamanan dan pada saat yang sama dapat diakses oleh massa.

ESIA

Sistem Identifikasi dan Otentikasi ("ESIA") adalah layanan khusus yang dibuat untuk memastikan pelaksanaan berbagai tugas terkait verifikasi keaslian pelamar dan peserta interaksi antardepartemen dalam hal penyediaan layanan kota atau pemerintah dalam bentuk elektronik.

Untuk mendapatkan akses ke “Portal Terpadu Instansi Pemerintah”, serta sistem informasi lainnya dari infrastruktur e-pemerintah yang ada, Anda harus terlebih dahulu mendaftarkan akun dan, sebagai hasilnya, menerima PEP.

Tingkat

Portal ini menyediakan tiga tingkat akun utama untuk individu:

• Sederhana. Untuk mendaftarkannya, Anda hanya perlu mencantumkan nama belakang dan depan Anda, serta saluran komunikasi tertentu berupa alamat email atau ponsel. Ini adalah tingkat dasar, di mana seseorang hanya memiliki akses terhadap sejumlah layanan pemerintah, serta kemampuan sistem informasi yang ada.
• Standar. Untuk menerimanya, Anda harus terlebih dahulu mendaftar untuk akun yang disederhanakan, lalu memberikan data tambahan, termasuk informasi dari paspor dan nomor rekening asuransi individu Anda. Informasi yang ditentukan secara otomatis diverifikasi melalui sistem informasi Dana Pensiun, serta Layanan Migrasi Federal, dan jika verifikasi berhasil, akun ditransfer ke tingkat standar, yang membuka pengguna ke daftar layanan pemerintah yang diperluas .
• Dikonfirmasi. Untuk memperoleh tingkat akun ini, Sistem Identifikasi dan Otentikasi Terpadu mengharuskan pengguna untuk memiliki akun standar, serta bukti identitas, yang dilakukan melalui kunjungan pribadi ke cabang layanan resmi atau dengan menerima kode aktivasi melalui surat tercatat. Jika verifikasi identitas berhasil, akun akan berpindah ke level baru, dan pengguna akan memiliki akses ke daftar lengkap layanan pemerintah yang diperlukan.

Terlepas dari kenyataan bahwa prosedurnya mungkin tampak cukup rumit, sebenarnya Anda dapat mengetahui daftar lengkap data yang diperlukan langsung di situs resminya, sehingga pendaftaran penuh sangat mungkin dilakukan dalam beberapa hari.

Salah satu metode perlindungan terpenting untuk menjaga kerahasiaan adalah kontrol akses. Hampir sejak penciptaan sistem operasi multi-pengguna pertama, kata sandi telah digunakan untuk membatasi akses. Mari kita ingat ceritanya.

Sistem operasi Windows 95/98 menyimpan kata sandi dalam file PWL (biasanya USERNAME.PWL) di direktori Windows. Namun, perlu dicatat bahwa meskipun konten file PWL dienkripsi, cukup mudah untuk mengekstrak kata sandi dari file tersebut. Algoritme enkripsi pertama di Windows 95 memungkinkan pembuatan program untuk mendekripsi file PWL. Namun, kelemahan ini telah diperbaiki di Windows 95 OSR2. Namun, sistem proteksi kata sandi OSR2 memiliki beberapa kelemahan serius, termasuk:

• semua kata sandi diubah menjadi huruf besar, yang secara signifikan mengurangi jumlah kemungkinan kata sandi;
• Algoritme MD5 dan RC4 yang digunakan untuk enkripsi memungkinkan enkripsi kata sandi lebih cepat, tetapi kata sandi Windows yang valid harus memiliki panjang minimal sembilan karakter.
• Sistem cache kata sandi pada dasarnya tidak aman. Kata sandi hanya dapat disimpan jika tidak ada personel yang memiliki akses ke komputer Anda tanpa izin yang sesuai.

Sistem operasi yang saat ini digunakan (Windows XP/2000/2003) menggunakan metode otentikasi kata sandi yang lebih aman. Namun pada saat yang sama, Anda harus mengikuti rekomendasi Microsoft berikut:

• Kata sandi harus terdiri dari minimal delapan karakter;
• kata sandi harus mengandung huruf besar dan kecil, angka dan karakter khusus;
• Kata sandi harus valid tidak lebih dari 42 hari;
• kata sandi tidak boleh diulang.

Di masa depan, persyaratan ini akan semakin ketat. Hal ini akan menyebabkan apa, atau lebih tepatnya, sayangnya, hal ini telah menyebabkannya? Semakin rumit kata sandinya, semakin banyak aplikasi yang memerlukan memasukkan kata sandi, semakin tinggi kemungkinan pengguna akan menggunakan kata sandi yang sama untuk semua aplikasi, termasuk otentikasi OS, dan juga menuliskannya di atas kertas. Apakah ini baik atau buruk? Apakah itu diperbolehkan?

Di satu sisi, hal ini jelas tidak dapat diterima, karena risiko pembobolan kata sandi meningkat tajam; di sisi lain, kata sandi yang terlalu rumit (seperti PqSh*98+) sulit untuk diingat. Pengguna jelas akan memilih kata sandi yang sederhana, atau terus-menerus melupakan kata sandi yang rumit dan mengalihkan perhatian administrator dari hal-hal yang lebih penting. Penelitian Gartner menunjukkan bahwa antara 10 dan 30% panggilan ke dukungan teknis perusahaan adalah permintaan dari karyawan untuk memulihkan kata sandi yang terlupa.

Menurut IDC, setiap kata sandi yang terlupa akan dikenakan biaya sebesar $10-25 bagi organisasi. Ditambah lagi dengan kebutuhan untuk selalu mengubahnya dan persyaratan agar kata sandi tidak dapat diulang. Apa yang harus dilakukan? Apa solusinya?

Faktanya, saat ini ada beberapa pilihan untuk menyelesaikan masalah sulit ini.

Opsi pertama. Poster dengan slogan digantung di tempat yang menonjol di dalam ruangan (di dinding, di atas meja). Setelah itu, teks yang berisi, katakanlah, setiap karakter ketiga dari slogan, termasuk spasi dan tanda baca, digunakan sebagai kata sandi. Tanpa mengetahui algoritma pemilihan karakter, cukup sulit menemukan kata sandi seperti itu.

Pilihan kedua. Urutan acak huruf, angka dan karakter khusus dipilih sebagai kata sandi (dihasilkan menggunakan perangkat lunak khusus). Dalam hal ini, kata sandi yang ditentukan dicetak pada printer dot matriks pada amplop khusus yang tidak dapat dibuka tanpa melanggar integritasnya. Contoh amplop tersebut adalah amplop dengan kode PIN untuk kartu pembayaran. Amplop ini disimpan di brankas kepala departemen atau di brankas layanan keamanan informasi. Satu-satunya kesulitan dengan metode ini adalah kebutuhan untuk segera mengubah kata sandi segera setelah membuka amplop dan membuat amplop serupa lainnya dengan kata sandi baru, serta mengatur pembukuan amplop. Namun, jika Anda mempertimbangkan penghematan waktu bagi administrator jaringan dan aplikasi, biaya ini tidak berlebihan.

Opsi ketiga- penggunaan otentikasi multi-faktor berdasarkan teknologi otentikasi terbaru. Mari kita ambil autentikasi dua faktor sebagai contoh. Keuntungan utama dari otentikasi tersebut adalah adanya kunci fisik dan kode PIN, yang memberikan ketahanan tambahan terhadap peretasan. Lagi pula, hilangnya kunci perangkat keras tidak berarti kompromi kata sandi, karena selain kunci, untuk mengakses sistem Anda juga memerlukan kode PIN untuk kunci tersebut.

Secara terpisah, ada baiknya mempertimbangkan sistem yang menggunakan kata sandi satu kali, yang semakin tersebar luas karena meluasnya perkembangan teknologi Internet, dan sistem otentikasi biometrik.

Saat ini, cara utama untuk melindungi informasi dari akses tidak sah (UNA) adalah penerapan apa yang disebut alat AAA (Otentikasi, Otorisasi, Akuntansi - otentikasi, otorisasi, manajemen hak pengguna). Saat menggunakan teknologi ini, pengguna memperoleh akses ke komputer hanya setelah berhasil melewati prosedur identifikasi dan otentikasi.

Perlu dipertimbangkan bahwa segmen AAA terus berkembang di pasar layanan TI global. Tren ini disorot dalam laporan penelitian dari IDC, Gartner dan perusahaan konsultan lainnya. Kesimpulan yang sama dapat ditarik dengan meninjau secara cermat survei kejahatan komputer tahunan yang dilakukan oleh Institut Keamanan Komputer AS dan FBI pada tahun 2005 (Gbr. 1).

Beras. 1. Data volume kerugian akibat berbagai jenis serangan tahun 2005, dolar.
Total volume kerugian pada tahun 2005 adalah $130.104.542.
Jumlah perusahaan yang merespons (AS) - 700

Seperti dapat dilihat dari diagram, kerusakan akibat pencurian informasi rahasia telah meningkat secara signifikan. Artinya, setiap perusahaan yang disurvei rata-rata mengalami kerugian lebih dari $350 ribu akibat pencurian informasi rahasia. Studi ini menegaskan tren yang muncul selama beberapa tahun terakhir. Menurut laporan tahun 2004 oleh Institut Keamanan Komputer AS dan FBI, pencurian data sensitif sudah menjadi salah satu ancaman paling berbahaya - kerusakan yang diakibatkannya menyumbang sekitar 40% dari total kerusakan semua ancamannya. Pada saat yang sama, rata-rata volume kerugian lebih dari 300 ribu dolar, dan volume maksimum adalah 1,5 juta dolar.

Berdasarkan hal ini, kita dapat menyimpulkan bahwa pencurian informasi rahasia memiliki salah satu peringkat tertinggi di antara semua ancaman TI di Amerika Serikat. Perlu dicatat bahwa tidak mungkin menemukan pelakunya tanpa menyelesaikan masalah identifikasi dan otentikasi!

Di antara layanan keamanan utama:

• identifikasi dan otentikasi;
• kontrol keamanan;
• pengendalian integritas dan keaslian informasi;
• firewall;
• membangun VPN;
• pencatatan/audit;
• kontrol akses;
• manajemen keamanan;
• pemfilteran konten;
• enkripsi.

Perhatikan bahwa masalah kontrol akses harus diselesaikan saat membuat sistem informasi apa pun. Saat ini, ketika sistem menjadi semakin terdistribusi, sulit untuk melebih-lebihkan pentingnya kontrol akses yang benar. Pada saat yang sama, perlindungan sistem otentikasi yang semakin andal diperlukan baik dari penyerang eksternal maupun internal. Perlu dipahami bahwa pengguna tidak cenderung mempersulit hidup mereka dan mencoba menggunakan kata sandi yang paling rumit. Oleh karena itu, untuk menghilangkan hal ini di masa depan, alat otentikasi perangkat lunak dan perangkat keras akan semakin banyak digunakan, yang secara bertahap akan menggantikan kata sandi tradisional (Gbr. 2).

Beras. 2. Pertumbuhan pasar keamanan informasi

Klasifikasi sarana identifikasi dan otentikasi

Alat identifikasi dan otentikasi perangkat lunak dan perangkat keras modern dapat dibagi menjadi elektronik, biometrik dan gabungan berdasarkan jenis fitur identifikasi (Gbr. 3). Karena penerapannya yang spesifik, sistem kata sandi satu kali yang termasuk dalam media elektronik dapat diklasifikasikan ke dalam subkelompok terpisah.

Beras. 3. Klasifikasi sistem identifikasi perangkat lunak dan perangkat keras
dan otentikasi

Dalam sistem elektronik, fitur identifikasi disajikan dalam bentuk kode yang disimpan dalam area memori terlindung dari pengidentifikasi (media) dan, dengan pengecualian yang jarang, tidak benar-benar meninggalkannya. Pengidentifikasi dalam hal ini adalah sebagai berikut:

• hubungi kartu pintar;
• kartu pintar tanpa kontak;
• Kunci USB (token USB);
• iButton.

Dalam sistem biometrik, karakteristik individu seseorang diidentifikasi, yang dalam hal ini disebut karakteristik biometrik. Identifikasi dilakukan dengan membandingkan karakteristik biometrik yang diperoleh dan template yang disimpan dalam database. Tergantung pada karakteristik yang digunakan, sistem biometrik dibagi menjadi statis dan dinamis.

Biometrik statis didasarkan pada data (templat) yang diperoleh dengan mengukur ciri anatomi seseorang (sidik jari, pola iris mata, dll.), dan biometrik dinamis didasarkan pada analisis tindakan manusia (suara, parameter tanda tangan, dinamikanya).

Menurut pendapat saya, sistem otentikasi biometrik belum tersebar luas karena beberapa alasan:

• tingginya biaya sistem tersebut;
• kurangnya staf profesional yang terlatih;
• kompleksitas pengaturan sistem tersebut;
• penolakan dari karyawan, karena manajemen mendapat kesempatan untuk mengontrol semua pergerakan mereka dan benar-benar mengontrol jam kerja.

Dalam sistem gabungan, beberapa fitur digunakan secara bersamaan, dan fitur-fitur tersebut dapat dimiliki oleh sistem dari kelas yang sama atau berbeda.

Sistem identifikasi dan otentikasi elektronik

Sistem identifikasi dan otentikasi elektronik mencakup kartu pintar kontak dan nirsentuh serta kunci USB (token USB).

Hubungi kartu pintar dan kunci USB

Kunci USB berfungsi dengan port USB komputer dan dibuat dalam bentuk key fob. Kita akan melihat apa itu kunci USB menggunakan eToken dari Aladdin sebagai contoh.

eToken adalah alat otentikasi pribadi dan penyimpanan data yang mendukung perangkat keras untuk bekerja dengan sertifikat digital dan tanda tangan digital elektronik (EDS). eToken dapat dibuat dalam bentuk kartu pintar standar atau kunci USB:

• Kartu pintar memerlukan pembaca kartu pintar yang kompatibel dengan PC/SC untuk terhubung ke komputer. Ini dapat digunakan sebagai alat identifikasi visual (kartu pintar eToken PRO/SC dapat berisi informasi tentang pemiliknya dan foto (lencana ID) untuk digunakan oleh layanan keamanan perusahaan). Kartu pintar dapat dibuat dari plastik putih untuk pencetakan selanjutnya (foto, data pribadi, dll) dengan pra-cetak, serta dengan strip magnetik terpasang atau dalam bentuk kartu timbul (dengan karakter timbul);
• Kunci USB - terhubung langsung ke komputer melalui port USB (Universal Serial Bus), menggabungkan fungsi kartu pintar dan perangkat untuk membacanya.

Jika kita membandingkan kedua teknologi ini, terlihat jelas bahwa pilihan salah satunya bergantung pada teknologi keamanan yang diadopsi oleh perusahaan. Jadi, jika Anda berencana untuk memperkenalkan rezim akses otomatis dan tiket tersebut harus memiliki foto, nama pemilik, dan informasi lainnya, maka lebih baik menggunakan kartu pintar. Namun, perlu dipertimbangkan bahwa Anda juga perlu membeli pembaca kartu pintar.

Jika kontrol akses telah diperkenalkan dan Anda hanya perlu memberikan kontrol tambahan dan memperketat rezim masuk ke beberapa tempat, Anda harus memperhatikan eToken PRO dengan tag radio bawaan. Lagi pula, jauh lebih mudah bagi layanan keamanan fisik yang bertanggung jawab atas kontrol akses untuk mengontrol pass jika mereka memiliki foto, nama belakang dan nama depan pemiliknya, meskipun eToken PRO dengan chip RFID internal dan kartu pintar serupa adalah identik dalam fungsionalitas.

Area utama penerapan eToken (Gbr. 4):

Beras. 4. fitur eToken

• otentikasi dua faktor pengguna saat mengakses server, database, aplikasi, bagian situs web;
• penyimpanan informasi rahasia yang aman: kata sandi, tanda tangan digital dan kunci enkripsi, sertifikat digital;
• perlindungan email (tanda tangan digital dan enkripsi, akses);
• perlindungan komputer dari akses tidak sah (NSD);
• perlindungan jaringan dan saluran transmisi data (VPN, SSL);
• bank klien, sistem seperti e-banking dan e-commerce.

Saat bekerja dengan otentikasi multi-faktor, pengguna menerima sejumlah manfaat. Secara khusus, dia hanya perlu mengingat satu kata sandi eToken, bukan beberapa kata sandi aplikasi. Selain itu, kini tidak perlu lagi mengganti kata sandi secara rutin. Dan jika Anda kehilangan eToken, tidak ada hal buruk yang akan terjadi. Lagi pula, untuk menggunakan eToken yang ditemukan (dicuri), Anda juga perlu mengetahui kata sandinya. Semua ini secara signifikan meningkatkan tingkat keamanan organisasi. Pada saat yang sama, perlu dipahami bahwa eToken mendukung dan terintegrasi dengan semua sistem dan aplikasi utama yang menggunakan teknologi kartu pintar atau PKI (Public Key Infrastructure) - yang disebut aplikasi siap PKI.

Tujuan utama eToken:

• otentikasi dua faktor yang ketat bagi pengguna saat mengakses sumber daya yang dilindungi (komputer, jaringan, aplikasi);
• penyimpanan kunci pribadi yang aman untuk sertifikat digital, kunci kriptografi, profil pengguna, pengaturan aplikasi, dll. di memori non-volatile kunci tersebut;
• eksekusi perangkat keras dari operasi kriptografi di lingkungan tepercaya (pembuatan kunci enkripsi, enkripsi simetris dan asimetris, penghitungan fungsi hash, pembuatan tanda tangan digital).

Sebagai alat otentikasi, eToken didukung oleh sebagian besar sistem operasi modern, aplikasi bisnis, dan produk keamanan informasi dan dapat digunakan untuk menyelesaikan tugas-tugas berikut:

• otentikasi pengguna yang ketat saat mengakses sumber informasi: server, database, bagian situs web, penyimpanan aman, drive terenkripsi, dll.;
• masuk ke sistem operasi, layanan direktori, jaringan heterogen (sistem operasi Microsoft, Linux, UNIX, Novell) dan aplikasi bisnis (SAP R/3, IBM Lotus Notes/Domino);
• implementasi sistem PKI (Entrust, Microsoft CA, RSA Keon, serta di pusat sertifikasi dan sistem yang menggunakan penyedia kripto domestik “Crypto-Pro”, “Signal-Com”, dll.) - penyimpanan informasi kunci, pembuatan kunci perangkat keras memasangkan dan melakukan operasi kriptografi di lingkungan tepercaya (pada chip kartu pintar);
• membangun sistem manajemen dokumen, sistem email yang aman (berdasarkan Microsoft Exchange, Novell GroupWise, Lotus Notes/Domino) - tanda tangan digital dan enkripsi data, penyimpanan sertifikat dan kunci pribadi;
• organisasi saluran transmisi data yang aman menggunakan transportasi Internet (teknologi VPN, protokol IPSec dan SSL) - otentikasi pengguna, pembuatan kunci, pertukaran kunci;
• firewall dan perlindungan perimeter jaringan (Cisco Systems, produk Check Point) - otentikasi pengguna;
• enkripsi data pada disk (dalam produk seperti Secret Disk NG) - otentikasi pengguna, pembuatan kunci enkripsi, penyimpanan informasi penting;
• titik masuk pengguna tunggal ke dalam sistem informasi dan portal (dalam produk eTrust SSO, IBM Tivoli Access Manager, WebSphere, mySAP Enterprise Portal) dan aplikasi yang menjalankan Oracle DBMS - otentikasi dua faktor yang ketat;
• perlindungan server web dan aplikasi e-commerce (berdasarkan Microsoft IIS, Apache Web Server) - otentikasi pengguna, pembuatan kunci, pertukaran kunci;
• manajemen keamanan sistem informasi perusahaan, integrasi sistem keamanan informasi (Token Management System) - eToken adalah pengidentifikasi universal tunggal untuk akses ke berbagai aplikasi;
• dukungan aplikasi lama dan pengembangan solusi sendiri di bidang keamanan informasi.

Karakteristik kunci USB diberikan dalam tabel. 1.

Jenis kunci USB berikut tersedia di pasaran saat ini:

• eToken R2, eToken PRO - Perusahaan Aladdin;
• iKey10xx, iKey20xx, iKey 3000 - Teknologi Pelangi;
• ePass 1000, ePass 2000 - Teknologi Feitian;
• ruToken - dikembangkan oleh perusahaan Aktiv dan perusahaan ANKAD;
• uaToken adalah perusahaan Technotrade LLC.

Kunci USB adalah penerus kartu pintar; oleh karena itu, struktur kunci USB dan kartu pintar identik.

Kartu pintar tanpa kontak

Kartu pintar nirsentuh (BSC) banyak digunakan dalam berbagai aplikasi baik untuk otentikasi (mode pass elektronik, kunci pintu elektronik, dll.) dan untuk berbagai jenis aplikasi transportasi, identifikasi, pembayaran dan diskon.

Properti penting BSK, yang membedakannya dari sejumlah kartu pintar lainnya, adalah tidak adanya kontak mekanis dengan perangkat yang memproses data dari kartu tersebut. Faktanya, keandalan elemen teknis sistem yang menggunakan BSC ditentukan oleh keandalan sirkuit mikro. Keadaan terakhir menyebabkan pengurangan biaya pengoperasian sistem secara signifikan dibandingkan dengan sistem serupa yang menggunakan kartu pintar dengan kontak eksternal.

Urutan pengoperasian BSK dan pembaca/penulis memori kartu (selanjutnya disebut pembaca) ditentukan oleh aplikasi perangkat lunak. Ketika pengguna membawa kartu ke pembaca, terjadi transaksi, yaitu pertukaran data antara kartu dan pembaca, dan kemungkinan perubahan informasi dalam memori kartu. Jarak maksimum transaksi antara pembaca dan kartu adalah 10 cm, dalam hal ini kartu tidak perlu dikeluarkan dari dompet. Di satu sisi, hal ini memungkinkan pengguna untuk melakukan transaksi dengan mudah dan cepat, dan di sisi lain, ketika kartu memasuki bidang antena, ia terlibat dalam proses pertukaran informasi, terlepas dari apakah pengguna menginginkannya atau tidak. .

Urutan perintah awal yang khas agar aplikasi dapat bekerja dengan peta meliputi:

• pengambilan kartu (kartu pertama yang terletak di bidang antena pembaca dipilih), jika perlu, aktifkan algoritma anti-tabrakan (perintah anti-tabrakan memberi tahu aplikasi nomor seri unik dari kartu yang ditangkap, atau lebih tepatnya nomor unik dari kartu tersebut chip yang terpasang di dalam kartu);
• memilih kartu dengan nomor seri tertentu untuk pekerjaan selanjutnya dengan memori kartu atau nomor serinya.

Urutan perintah yang ditentukan dieksekusi dalam 3 ms, hampir seketika.

Berikutnya adalah otentikasi area memori kartu yang dipilih. Hal ini didasarkan pada penggunaan kunci rahasia dan akan dijelaskan di bawah. Jika kartu dan pembaca saling mengenali, maka area memori ini dibuka untuk pertukaran data dan, tergantung pada kondisi akses, perintah baca dan tulis dapat dijalankan, serta perintah dompet elektronik khusus (jika, tentu saja, area tersebut ditandai sesuai saat mempersonalisasi kartu). Perintah untuk membaca 16 byte memori kartu diselesaikan dalam 2,5 ms, perintah untuk membaca dan mengubah saldo dompet - dalam 9-10 ms. Jadi, transaksi tipikal yang dimulai dengan pengambilan kartu dan menghasilkan perubahan memori 16 byte diselesaikan dalam waktu maksimum 16 ms.

Untuk mengautentikasi sektor memori kartu, algoritma tiga lintasan digunakan menggunakan nomor acak dan kunci rahasia sesuai dengan standar ISO/IEC DIS 9798-2.

Secara umum, proses otentikasi dapat direpresentasikan sebagai berikut. Chip kartu dan perangkat untuk bekerja dengannya bertukar nomor acak. Pada langkah pertama, kartu mengirimkan nomor acak yang dihasilkannya ke pembaca. Pembaca menambahkan nomor acaknya ke dalamnya, mengenkripsi pesan dan mengirimkannya ke kartu. Kartu mendekripsi pesan yang diterima, membandingkan nomor acaknya dengan nomor yang diterima dalam pesan; Jika ada kecocokan, pesan akan dienkripsi ulang dan diteruskan ke pembaca. Pembaca mendekripsi pesan kartu, membandingkan nomor acaknya dengan nomor yang diterima dalam pesan, dan jika nomornya cocok, otentikasi sektor dianggap berhasil.

Jadi, bekerja dengan sektor memori hanya mungkin dilakukan setelah otentikasi sektor kartu yang dipilih berhasil dan saat kartu berada di bidang antena pembaca. Apalagi semua data yang dikirimkan melalui saluran frekuensi radio selalu dienkripsi.

Kunci awal (yang disebut transportasi), serta kondisi untuk akses ke sektor, ditetapkan selama personalisasi awal kartu di pabrikan dan dikomunikasikan secara rahasia ke penerbit. Selanjutnya, dalam proses personalisasi sekunder kartu oleh penerbit atau pengguna aplikasi, kunci biasanya diubah menjadi kunci lain, yang hanya diketahui oleh penerbit atau pengguna. Selain itu (ini ditentukan oleh aplikasi spesifik), dengan personalisasi sekunder, kondisi untuk mengakses sektor memori kartu juga berubah.

Kartu pintar nirkontak dibagi menjadi pengidentifikasi PROximity dan kartu pintar berdasarkan standar internasional ISO/IEC 15693 dan ISO/IEC 14443. Sebagian besar perangkat berdasarkan kartu pintar nirkontak didasarkan pada teknologi identifikasi frekuensi radio (Tabel 2).

Komponen utama perangkat nirsentuh adalah chip dan antena. ID dapat berupa aktif (dengan baterai) atau pasif (tanpa sumber listrik). ID memiliki nomor seri 32/64-bit yang unik.

Sistem identifikasi berbasis PROximity tidak dilindungi secara kriptografis, kecuali sistem kustom khusus.

Setiap kunci memiliki nomor seri 32/64-bit yang dapat di-flash.

Sistem gabungan

Pengenalan sistem gabungan secara signifikan meningkatkan jumlah fitur identifikasi dan dengan demikian meningkatkan keamanan (Tabel 3).

Saat ini, ada sistem gabungan dari jenis berikut:

• sistem berdasarkan kartu pintar nirkontak dan kunci USB;
• sistem berdasarkan kartu pintar hybrid;
• sistem bioelektronik.

Antena dan chip dipasang di badan key fob USB untuk membuat antarmuka nirsentuh. Ini memungkinkan Anda untuk mengatur kontrol akses ke ruangan dan komputer menggunakan satu pengidentifikasi. Skema penggunaan pengidentifikasi ini menghilangkan situasi ketika seorang karyawan, meninggalkan tempat kerja, meninggalkan kunci USB di konektor komputer, yang memungkinkan untuk bekerja di bawah pengidentifikasinya.

Saat ini, dua pengidentifikasi jenis ini paling banyak digunakan: RFiKey - dari Rainbow Technologies dan eToken PRO RM - dari Aladdin Software Security R.D. Perangkat RFiKey mendukung antarmuka USB 1.1/2.0 dan beroperasi dengan pembaca dari HID Corporation (PR5355, PK5355, PR5365, MX5375, PP6005) dan perusahaan Rusia Parsec (APR-03Hx, APR-05Hx, APR-06Hx, APR-08Hx, H-Pembaca) . eToken RM - Kunci USB dan kartu pintar eToken PRO, dilengkapi dengan tag RFID pasif.

Menggunakan eToken untuk mengontrol akses fisik

Teknologi RFID (Radio Frequency IDentification) merupakan teknologi identifikasi nirsentuh yang paling populer saat ini. Pengenalan frekuensi radio dilakukan dengan menggunakan apa yang disebut tag RFID yang ditempelkan pada suatu objek, membawa identifikasi dan informasi lainnya.

Dari rangkaian kunci USB eToken, tag RFID dapat dilengkapi dengan eToken PRO/32K dan lebih tinggi. Dalam hal ini, perlu mempertimbangkan batasan yang disebabkan oleh ukuran kunci: diameter tag RFID tidak boleh lebih dari 1,2 cm. Tag yang beroperasi pada frekuensi 13,56 MHz, misalnya, diproduksi oleh Angstrem dan HID, memiliki dimensi seperti itu.

Selain keunggulan tradisional teknologi RFID, kombinasi kunci USB dan kartu pintar eToken, menggunakan satu “pass elektronik” untuk mengontrol akses ke tempat dan sumber informasi, memungkinkan Anda untuk:

• mengurangi biaya;
• melindungi investasi yang dilakukan pada sistem kontrol akses yang dibeli sebelumnya dengan mengintegrasikan eToken dengan sebagian besar jenis tag RFID;
• mengurangi pengaruh faktor manusia pada tingkat keamanan informasi organisasi: karyawan tidak akan dapat meninggalkan lokasi, meninggalkan kartu gabungan di tempat kerja;
• mengotomatiskan pencatatan jam kerja dan pergerakan karyawan di sekitar kantor;
• melakukan implementasi bertahap dengan secara bertahap mengganti pengidentifikasi yang sudah usang.

Penerapan kartu pintar hybrid untuk kontrol akses fisik

Kartu pintar hibrid berisi chip yang berbeda: satu chip mendukung antarmuka kontak, chip lainnya mendukung antarmuka nirsentuh. Seperti halnya kunci USB hibrid, kartu pintar hibrid memecahkan dua masalah: mengendalikan akses ke lokasi dan ke komputer. Selain itu, Anda dapat menambahkan logo perusahaan, foto karyawan, atau strip magnetik ke kartu, yang memungkinkan Anda mengganti kartu pas biasa dengan kartu tersebut dan beralih ke satu kartu elektronik.

Kartu pintar jenis ini ditawarkan oleh perusahaan berikut: HID Corporation, Axalto, GemPlus, Indala, Aladdin, dll.

Di Rusia, Aladdin Software Security R.D. teknologi untuk produksi kartu pintar hybrid eToken PRO/SC RM telah dikembangkan. Di dalamnya, sirkuit mikro dengan antarmuka kontak eToken PRO dibangun ke dalam kartu pintar nirkontak. Kartu pintar eToken PRO dapat dilengkapi dengan tag RFID pasif yang diproduksi oleh HID/ISOPROx II, EM-Marin (frekuensi 125 kHz), Cotag (frekuensi 122/66 kHz), Angstrem/KIBI-002 (frekuensi 13,56 MHz), Mifare dan lainnya perusahaan. Pilihan opsi kombinasi ditentukan oleh pelanggan. Selain itu, Anda dapat menambahkan logo perusahaan, foto karyawan, atau strip magnetik ke kartu, yang memungkinkan Anda mengabaikan tiket biasa dan beralih ke satu tiket elektronik.

Sistem bioelektronik

Biasanya, untuk melindungi sistem komputer dari akses tidak sah, kombinasi dua sistem digunakan - biometrik dan kontak berdasarkan kartu pintar atau kunci USB.

Apa yang tersembunyi di balik konsep “biometrik”? Faktanya, kita menggunakan teknologi tersebut setiap hari, namun biometrik mulai digunakan sebagai metode teknis otentikasi baru-baru ini. Biometrik adalah identifikasi pengguna menggunakan karakteristik biologis unik yang hanya ada pada dirinya. Sistem seperti itu adalah yang paling nyaman dari sudut pandang pengguna itu sendiri, karena tidak perlu mengingat apa pun, dan sangat sulit untuk kehilangan karakteristik biologis.

Dengan identifikasi biometrik, kode digital yang terkait dengan orang tertentu disimpan dalam database. Pemindai atau perangkat lain yang digunakan untuk otentikasi membaca parameter biologis tertentu. Kemudian diproses menggunakan algoritma tertentu dan dibandingkan dengan kode yang terdapat dalam database.

Hanya? Dari sudut pandang pengguna - tentu saja. Namun metode ini mempunyai kelebihan dan kekurangan.

Keuntungan pemindai biometrik biasanya mencakup fakta bahwa pemindai tersebut tidak bergantung pada pengguna dengan cara apa pun (misalnya, pengguna mungkin membuat kesalahan saat memasukkan kata sandi) dan pengguna tidak dapat mentransfer pengenal biologisnya ke orang lain, tidak seperti kata sandi. . Dan, misalnya, hampir tidak mungkin memalsukan pola yang ada di jari setiap orang. Namun, seperti yang ditunjukkan oleh penelitian yang dilakukan di Amerika Serikat, pemindai biometrik berdasarkan sidik jari cukup mudah disesatkan dengan menggunakan sidik jari tiruan atau bahkan jari mayat. Penolakan akses berdasarkan pengenalan suara juga umum terjadi jika seseorang sedang pilek. Namun kelemahan terbesar sistem biometrik adalah harganya yang mahal.

Semua teknologi biometrik dapat dibagi menjadi dua kelompok:

• metode statis, yang didasarkan pada ciri-ciri fisiologis (statis) seseorang, yaitu suatu sifat unik yang melekat dalam dirinya sejak lahir dan tidak dapat dicabut darinya. Ciri biologis statis meliputi bentuk telapak tangan, sidik jari, iris mata, retina, bentuk wajah, letak pembuluh darah di tangan, dll (Tabel 4);
• metode dinamis yang didasarkan pada karakteristik perilaku (dinamis) seseorang - ciri-ciri karakteristik gerakan bawah sadar dalam proses mereproduksi tindakan apa pun (tanda tangan, ucapan, dinamika pengetikan keyboard).

Karakteristik biometrik manusia (HB) yang ideal harus bersifat universal, unik, stabil, dan dapat dikoleksi. Universalitas artinya setiap orang mempunyai ciri biometrik. Keunikannya - tidak mungkin ada dua orang yang memiliki nilai BHC yang sama. Stabilitas - kemandirian BHC dari waktu. Kolektabilitas merupakan kemampuan memperoleh karakteristik biometrik dari setiap individu. BCP yang sebenarnya tidaklah ideal, dan ini membatasi penerapannya. Sebagai hasil penilaian ahli terhadap sumber BHC seperti bentuk dan termogram wajah, sidik jari, geometri tangan, struktur iris mata (ORG), pola pembuluh retina, tanda tangan, ciri suara, bentuk bibir dan telinga, dinamika tulisan tangan dan gaya berjalan, ditemukan bahwa tidak satupun dari mereka memenuhi semua persyaratan untuk sifat-sifat yang tercantum di atas (Tabel 5). Kondisi yang diperlukan untuk penggunaan HCP tertentu adalah universalitas dan keunikannya, yang secara tidak langsung dapat dibenarkan oleh hubungannya dengan genotipe atau kariotipe manusia.

Pengenalan sidik jari

Ini adalah metode identifikasi biometrik statis yang paling umum, yang didasarkan pada keunikan pola papiler pada jari setiap orang. Gambar sidik jari yang diperoleh dengan menggunakan pemindai khusus diubah menjadi kode digital (konvolusi) dan dibandingkan dengan templat yang dimasukkan sebelumnya (standar) atau sekumpulan templat (dalam hal otentikasi).

Produsen pemindai sidik jari terkemuka:

• BioLink (http://www.biolink.ru/, http://www.biolinkusa.com/);
• Bioskripsi (http://www.bioscrypt.com/);
• DigitalPersona (http://www.digitalpersona.com/);
• Ethentica (http://www.ethentica.com/);
• Biometrik Tepat (http://www.precisebiometrics.com/);
• Produsen sensor terkemuka (elemen membaca untuk perangkat pemindaian):
• Atmel (http://www.atmel.com/, http://www.atmel-grenoble.com/);
• AuthenTec (http://www.authentec.com/);
• Veridicom (http://www.veridicom.com/);

Pengenalan bentuk tangan

Metode statis ini didasarkan pada pengenalan geometri tangan, yang juga merupakan karakteristik biometrik unik seseorang. Menggunakan perangkat khusus yang memungkinkan Anda mendapatkan gambar tiga dimensi tangan (beberapa produsen memindai bentuk beberapa jari), pengukuran dilakukan yang diperlukan untuk mendapatkan konvolusi digital unik yang mengidentifikasi seseorang.

Produsen terkemuka peralatan tersebut:

• Sistem Pengenalan (http://www.recogsys.com/, http://www.handreader.com/);
• Mitra BioMet (http://www.biomet.ch/).

Pengenalan iris

Metode pengenalan ini didasarkan pada keunikan pola iris mata. Untuk menerapkan metode ini, Anda memerlukan kamera yang memungkinkan Anda memperoleh gambar mata seseorang dengan resolusi yang memadai, dan perangkat lunak khusus yang mengekstrak pola iris dari gambar yang dihasilkan, yang digunakan untuk membuat kode digital untuk mengidentifikasi a orang.