احراز اصالت کاربران و کنترل دسترسی

مقدمه

یکی از اولین راههای حفاظت از سیستم های رایانه ای احراز اصالت کاربران آن است.احراز اصالت معمولا توسط کلمه عبور انجام می شود.کاربر مجاز برای کار با سیستم به وسیله احراز اصالت خود را به سیستم می شناساند. درهر صورت اگر فرد خارجی به طریقی بتواند اطلاعات محرمانه مربوط  به احراز اصالت کاربری را پیدا کند راه نفوذ برای وی باز می شود. بنابراین ویژگیهای اطلاعات احراز اصالت و نحوه نگهداری آن برای حفاظت از سیستم اهمیت بسزایی دارد. وقتی اصالت یک کاربر برای سیستم احراز شد لزومی ندارد توانایی دسترسی به کلیه منابع سیستم را داشته باشد. جلوگیری از دسترسی غیرمجاز کاربر واقعی (مجاز) توسط روشی به نام کنترل دسترسی صورت می گیرد.

۱-روش احراز اصالت کاربران

سه روش اصلی برای احراز اصالت کاربران وجود دارد: کلیدهای اطلاعاتی، کلیدهای فیزیکی و کلیدهای بیولوژیکی.

۱-۱-کلیدهای اطلاعاتی   

این کلیدها شامل کلمات – جملات و جواب سوالاتی است که به سیستم داده می شود تا اصالت کاربر به هنگام ورود به سیستم احراز شود. کلمه عبور و پرسشنامه مثالهایی از این نوع کلیدها است.

۱-۱-۱- کلمه عبور

برای هر کاربر یک شناسه و یک کلمه عبور یکتا وجود دارد که اصالت آن کاربر را احراز می کند. اگر سیستم به کاربر اجازه دهد تا کلمه عبور خود را انتخاب کند بهتر است حتمآ از نوع سخت باشد و ویژگیهای زیر را داشته باشد:

– حداقل ۸ حرف داشته باشد.

– از ارقام وعلائم استفاده شود.

– به سادگی حفظ شود ولی به سختی قابل حدس زدن باشد.

نکاتی که در حفظ و نگهداری کلمه عبور باید لحاظ شوند عبارتند از:

– نوشته نشود.

– به کسی گفته نشود.

– مرتب عوض شود.

می توان از روش کلمات عبور یکبار مصرف نیز بهره جست که معمولآ در کلیدهای فیزیکی کاربرد دارد. در این صورت در هر بار استفاده از کلمه ی عبور، کلمه عبور جدیدی ساخته می شود. مشکل اصلی این روش توزیع جدول حاوی کلمات عبور کنونی در سیستم است.

۱-۱-۲- پرسشنامه

معمولآ کاربر یک بار جواب سوالات را به سیستم می دهد و در موقع احراز اصالت همان سوالات توسط سیستم از کاربر پرسیده می شود. با توجه به اینکه جواب سوالات قابل تحقیق است، این روش امنیت بالایی ندارد. در سیستمهای امن تر سوالات نیز توسط  کاربر معین می شوند.

۱-۲- کلیدهای فیزیکی

وسایلی اند که به صورت فیزیکی اصالت صاحب خود را اثبات می کنند. معمولآ به صورت کارتهای مغناطیسی، کارتهای هوشمند و یا ماشین حسابهای خاص هستند.

۱-۲-۱- کارتهای مغناطیسی

یک کارت مغناطیسی است با نوار مغناطیسی و اندازه ی استاندارد که معمولآ  قابلیت ذخیره ۱۰۲۴ بیت در سه قطاع را دارد. در این وسایل علاوه بر نیاز به اطلاعات موجود در کارت معمولآ کاربر باید pin را نیز وارد کند.  pin عدد رمزی است که کاربر آن را دارد ودر صورت نیاز می تواند  در هر زمانی آن را تغییر دهد.

۱-۲-۲- کارتهای هوشمند

در داخل این نوع کارت به دلیل وجود پردازنده قابلیت محاسبه  وجود دارد. بدین ترتیب  اطلاعات محرمانه می تواند از کارت خارج نشود. در این گونه کارتها به راحتی میتوان از کلمات عبور یک بار مصرف استفاده کرد. با توجه به فناوری روز، یک کارت هوشمند مشابه رایانه ی کوچک است که امکانات قابل ملاحظه ای می تواند داشته باشد.

۱-۲-۳-  ماشین حسابها

مانند ماشین حسابهای معمولی هستند، اما برای اثبات اصالت کاربر به سیستم استفاده می شوند. در این ماشین حسابها سیستم چالشی را به کاربر می دهد وکاربر آن را همراه pin وارد ماشین حساب می کند و ماشین حساب به آن پاسخ می دهد که این پاسخ باید به سیستم وارد شود.

اگر پاسخ برای سیستم قابل قبول نباشد ممکن است یکی از موارد زیر اتفاق افتاده باشد:

– رمز اشتباه است.

– ماشین حساب مذکور به آن کاربر متعلق نبوده است.

– چالش اشتباه وارد ماشین حساب شده است.

۱-۳- کلیدهای بیولوژیکی

در این حالت کلیدها مبتنی بر خصوصیات بیولوژیکی کاربرند. و نسبت به کلیدهای اطلاعاتی و فیزیکی مزایای زیر را دارند:

– یکتا هستند.

– رونوشت برداری و دوباره سازی آنها سخت است.

– همیشه در اختیار کاربرند.

مثالهایی از کلیدهای بیولوژیکی عبارتند از الگوی صوتی، اثر انگشت، الگوی شبکیه (یا عنبیه)، شکل هندسی دست و تحلیل امضا.

ـ الگوی صوتی:  با توجه به ویژگی های اختصاصی صوت افراد مانند گام و فرکانس سازه می توان از الگوی صوتی کاربر به منظور شناسایی استفاده کرد.

ـ اثر انگشت:  الگوی اثر انگشت هر کاربر یکتاست و می تواند اصالت وی را احراز کند.

ـ الگوی شبکیه:  شبکیه چشم کاربران حتی از اثر انگشت هم یکتاتر است، لذا عامل مناسبی برای احراز اصالت کاربر است.

ـ شکل هندسی دست:  شکل هندسی دست نیز می تواند به عنوان الگوی یکتا مورد استفاده قرار گیرد.

ـ تحلیل امضا: تحلیل امضای فیریکی افراد نیز معین کننده ی صاحب امضا است.

۲- کنترل دسترسی

معمولآ هر کاربر برای دسترسی به یک شی در سیستم نیاز به اجازه دسترسی دارد که به عنوان مثال می تواند به صورتهای زیر باشد:

Read : خواندن فایل و یا مشاهده ی اطلاعات مربوط به فایل خصیصه؛

Write : نوشتن در فایل که معمولآ شامل ایجاد، تغییرو جعل فایل می شود؛

Execute : اجرای یک برنامه؛

Delete : حذف یک فایل؛

List : مشاهده ی اطلاعات مربوط به فایلها (معمولآ در یک فهرست).

پنج روش برای ایجاد کنترل دسترسی عبارتند از:

ـ جدول حفاظت

ـ کلمه ی عبور فایل

ـ مبتنی بر تواناییها

ـ لیست کنترل دسترسی

ـ بیتهای حفاظتی

۲-۱- روش جدول حفاظت

یکی از راههای اعمال کنترل دسترسی داشتن جدولی شامل کلیه کاربران و کلیه اشیا است. (مانند جدول ۲-۱). اصطلاحآ این جدول را جدول حفاظت گویند. این جدول برای هر شی، اجازه ی دسترسی هر کاربر را مشخص می کند. توجه شود که اجازه ای مانند read  یا write  معمولآ اجازه ی List  را به طور خودکار نتیجه می دهد.

مشکل اساسی این روش اندازه ی بزرگ جدول با خانه های خالی زیاد است. زیرا معمولآ کاربران تنها اجازه ی دسترسی به فایلهایی را دارند که خودشان تولید کردند. برای افزایش امنیت می توان در کنار کنترل دسترسی، جریان اطلاعات را نیز کنترل کرد. مثلآ کاربری که اجازه ی دسترسی به یک فایل را دارد لزومآ نتواند از آن فایل رونوشت تهیه کند.

     جدول ۲-۱ مثالی از جدول در بر گیرنده ی کاربران و اشیا (جدول حفاظت)

۲-۲ روش کلمه عبور فایل

در این روش از کلمه عبور برای دسترسی به یک فایل استفاده می شود. کلمه عبور باید با کلمه عبور اصلی که به هنگام ورود به سیستم استفاده می شود تفاوت داشته باشد. برای خواندن و یا نوشتن باید کلمه های عبور متفاوتی انتخاب شود و تنها هر کاربری که کلمه عبور را می داند اجازه دسترسی داشته باشد. این روش مشکلات  زیادی دارد زیرا تعداد زیادی کلمه عبور باید حفظ شود (که معمولآ ممکن نیست). از طرف دیگر کاربران به راحتی می توانند با دادن کلمه عبور خود به دیگران اصول کنترل دسترسی را نقض کنند. درواقع امکان بررسی کسانی که اجازه دسترسی به یک فایل را دارند میسر نیست. برای جلوگیری از دسترسی کاربر مجاز باید کلمه عبور را تغییر داد که این عمل خیلی مشکل است. از طرفی در برنامه های قابل اجرا اگر یک برنامه برنامه دیگری را صدا بزند نیاز به کلمه عبور برنامه دوم نیز می باشد.

۲-۳- روش مبتنی بر تواناییها

در این روش اجازه ی دسترسی هر کاربر به اشیا به طور مستقل است. این روش مانند جدول حفاظت است با این تفاوت که هر سطر به طور مستقل ذخیره می شود (جدول ۲-۲). این روش نیز مشکلاتی دارد. فایلهای سیستم که در دسترس همه کاربران هستند در لیست کلیه کاربران درج شده و در نتیجه فضای زیادی را اشغال می کنند از طرفی به راحتی نمی توان تشخیص داد چه کاربرانی به  یک  شی خاص اجازه دسترسی دارند در این روش می توان از بلیط برای اجازه دسترسی استفاده کرد که در این صورت یک  کاربر می تواند رونوشتی از بلیط  خود را به کاربر دیگر بدهد تا  موقتآ  به  او اجازه دسترسی به  فایل  خاصی داده  شود. در این  حالت هر کاربر برای  دسترسی به  هر شی  یک  بلیط مخصوص دارد. مشکل این روش حذف اجازه ی دسترسی توسط کاربر یا سیستم است.

   جدول ۲-۲  نمونه ای از جداول روش مبتنی بر تواناییها

۲-۴- روش لیست کنترل دسترسی

در این روش اجازه ی دسترسی کاربران مربوط به یک شی به طور مستقل است. این روش مانند جدول حفاظت است با این تفاوت که هر ستون به طور مستقل ذخیره می شود. در این لیستها علاوه بر نوع دسترسی می توان ساعات دسترسی و نیز نحوه دسترسی مانند دسترسی از طریق تلفن را درج کرد. همچنین می توان موارد عدم دسترسی را به آن اضافه کرد. مثلآ ممکن است گروه خاصی اجازه نوشتن در فایلی را داشته باشد، اما یکی از کاربران آن گروه فقط اجازه خواندن داشته باشد در این صورت آن کاربر را می توان از نوشتن نهی کرد.

۲-۵- روش بیتهای حفاظتی

این روش مانند روش قبل است با این تفاوت که به جای لیست شدن کلیه کاربران مجاز به دسترسی به یک شی، تنها اجازه دسترسی به سه کلاس از کاربران تعیین می شود. سه کلاس عبارتند از: مالک شی، گروهی که مالک شی در آن است و کلاس کلیه کاربران.

برای هر کلاس می توان اجازه دسترسی read، write، execute، delete و list را معین کرد. بنابراین برای هر شی تنها به پانزده بیت اطلاعات برای کنترل دسترسی نیاز است. یکی از مشکلات این روش کار با گروه است یعنی با فرض اینکه کاربر در چند گروه فعال باشد، آنگاه اجازه دسترسی کاربردر گروههای مختلف مشکل ساز می شود.

۳- سخن آخر

پنج روش ذکرشده از نوع محتاطانه هستند. در یک سیستم امن ممکن است به کاربر اجازه «انتقال» کنترل دسترسی به یک فایل خاص داده نشود، هرچند خود کاربر اجازه دسترسی به آن فایل را ندارد. همانطور که توضیح دادیم، یکی از مشکلاتی که در کنترل جریان اطلاعات وجود دارد جلوگیری از کانال مخفی است که امکان ارسال اطلاعات به فرد غیرمجاز را فراهم می آورد. مثلآ در چهار روش ذکر شده، اگر کاربر برنامه غیر مطمئنی را اجرا کند، آن برنامه ممکن است مثلآ تغییراتی در اجازه دسترسی فایلهای مجاز آن کاربر انجام دهد.

۴- مراجع

 استالینگز،ویلیام. مبانی امنیت شبکه. علوم رایانه[۱]

 تننباوم. سیستمهای توزیعی[۲]

 برای اطلاع از فن آوری های نوین ارتباطی شبکه های وایرلس و ماکرویو و مراکز تلفنی تحت شبکه از کانال تلگرامی ما به آدرسهای Wireless_tech@ و Voip_Tech@  دیدن فرمایید.