Информационная безопасность и защита информации - Мельников В.П.
ISBN 978-5-7695-4884-0
Скачать (прямая ссылка):
В надежной системе стандартная процедура идентификации и аутентификации расширена. В ней предусмотрено больше правил, касающихся типов используемых паролей. Введены процедуры генерации и изменения паролей. Изменены местоположение и механизм защиты некоторых частей базы данных паролей. Администратору аутентификации представлены дополнительные возможности для контроля за действиями пользователей.
Для усиления качественных и количественным характеристик процедур идентификации и аутентификации в UNIX (в частности, в Linux) существуют следующие средства правил выбора безопасных паролей.
1. Задание администратором учета пользователей и терминалов определенных требований на пароли:
• ограничение минимальной длины вводимого пользователем пароля;
• требование наличия в пароле обязательного минимального числа букв нижнего регистра, букв верхнего регистра, цифр и специальных символов;
• запрещение пользователю вводить собственные пароли; разрешение вводить только пароли, созданные системой.
2. Задание администратором временньіх ограничений по частоте сменяемости и времени жизни паролей. При этом для удобства пользователя возможно задание интервала между началом требования смены пароля и окончанием срока его действия.
3. Автоматическое блокирование пользователя на входе в систему по старости пароля, по числу неуспешных попыток входа.
4. Задание числа и номеров терминалов для входа в систему для каждого пользователя.
5. Проверка системой паролей пользователей при вводе на их семантические и контекстуальные особенности (вхождение идентификатора, имени пользователя, повторяемость символов и т.д.).
259
6. Хранение зашифрованных паролей не в /etc/passwd, как в старых версиях, а в закрытом от доступа отдельном файле.
7. Получение статистической информации по времени работы пользователя в системе, его блокировке, номеру терминала и т.д.
8. При установке класса защиты С2 (см. далее) невозможность администратором регистрации пользователя без пароля (guest).
Помимо этого существует возможность блокирования по числу неуспешных попыток входа не только пользователя, но и терминала. При этом можно задать интервал времени, который должен пройти между попытками регистрации. Также предусмотрено ведение записей об успешных и неуспешных попытках входа в систему.
Хорошо себя зарекомендовало использование командного интерпретатора rsh (restricted). Во-первых, пользователь не может никуда перейти из своего домашнего справочника. Во-вторых, он может использовать только команды из тех справочников, которые определены в переменной окружения PATH. При этом изменить значение переменной окружения PATH пользователь не может. В-третьих, пользователь не может задавать полные имена программных файлов и перенаправлять потоки ввода-вывода.
Практически можно создать изолированную среду пользователя путем введения в его стартовый командный файл (.profile) определенной команды (системы, приложения), которая будет вызываться через команду exec. В этой ситуации при добавлении в стартовый командный файл команд trap и exit пользователь сможет работать только с заданной ему командой (программой).
Очевидно, что успешно реализовать парольную защиту можно только с соблюдением организационных мер. При этом реальной угрозой преодоления парольной защиты ОС является оставление без присмотра терминала, на котором пользователь уже прошел процедуры ИА (зарегистрировался). В этом случае необходимо использовать команды блокирования терминала (lock, xlock). Существуют средства автоматического блокирования терминала по истечении определенного периода времени. Такие средства встроены в некоторые командные интерпретаторы или графические оболочки. Однако использование этих средств необходимо соотносить с угрозой внедрения программы, имитирующей блокирование экрана и считывающей пароль пользователя. В системе обязательно должен быть определен список терминалов, с которых не могут входить администраторы.
Парольная защита также применяется для того, чтобы обезопасить удаленный вход пользователей по каналам связи, подключаемых к последовательным портам. В этом случае возможна установка отдельного пароля на каждое используемое для удаленного входа устройство (специальный файл). При вводе неправильного пароля с удаленной системы работа с системой становится невозможной.
260
На сегодняшний день во всех коммерческих версиях образцы для аутентификации не хранятся в файле /etc/passwd.
Наибольшее внимание в вопросах защиты ОС должно быть уделено защите файловой системы. Под защитой файловой системы понимают реализацию СБ для субъектов — процессов и объектов — файлов.
Файловая система в Linux имеет древовидную структуру. Блок прямого доступа подразделяется на несколько областей:
1) начальный загрузчик;
2) суперблок;
3) область индексных дескрипторов;
4) область файлов;
5) область, не используемая для файловой системы (например, область для выгрузки процессов).
Суперблок состоит из следующих полей:
• размер файловой системы;
• число свободных блоков в файловой системе;
