Embed Size (px)
Citation preview
1
Лекция №6
Идентификация
Аутентификация
Авторизация
2
План лекции
● Основные понятия IAA ● Проектирование по 15408.2● Реализация ИАА
Цель лекции — получить представление о проектировании и методах реализации ИАА
3
Определения
● Идентификация● Аутентификация● Авторизация● Секрет (данные аутентификации, credentials)
4
Основная Последовательность
1.Подключение к системе
2.Ввод логина
3.Идентификация
4.Ввод пароля
5.Аутентификация
6.Запрос ресурса
7.Авторизация
5
Факторы
● Однофакторная аутентификация● Многофакторная аутентификация
– Фактор владения
– Фактор знания
– Фактор атрибутивный
– Дополнительные факторы
6
Пароли
● Одноразовые пароли● Многоразовые пароли● Энтропия пароля● Другие метрики качества пароля (секрета)
7
Функциональные требования
● FAU - аудит/протоколирование;
● FIA - идентификация/аутентификация;
● FRU - использование ресурсов
● FCO - неотказуемость
● FPR - приватность
● FDP - защита данных пользователя;
● FPT - защита функций безопасности
● FCS - криптографическая поддержка;
● FMT - управление безопасностью
● FTA - управление сеансами работы пользователей
● FTP - доверенный маршрут/канал
8
FIA — Идентификация/ Аутентификация
● Семейства:– Определение атрибутов пользователя
(FIA_ATD)
– Спецификация секретов (FIA_SOS)
– Идентификация пользователя (FIA_UID)
– Аутентификация пользователя (FIA_UAU)
– Связывание пользователь-субъект (FIA_USB)
– Отказы аутентификации(FIA_AFL)
9
FIA — Идентификация/ Аутентификация
10
Определение атрибутов пользователя
● Список атрибутов безопасности у пользователей
● Часто итерируется
11
Спецификация секретов
● Метрика для проверки качества секретов пользователя (FIA_SOS.1)
● Механизм для создания секретов внутри ОО (FIA_SOS.2)
12
Идентификация пользователя
● Список действий до идентификации● Или требование идентификации до любых
действий
13
Аутентификация пользователя
● Действия до аутентификации● Проверка уникальности секрета● Механизмы одноразовых секретов● Механизмы аутентификации (и их
сочетание)● Повторная аутентификация● Обратная связь с пользователем в момент
аутентификации
14
Связывание пользователь-субъект
● Сопоставление атрибутов безопасности пользователя и его субъекта в системе
15
Отказы аутентификации
● Обработка отказов аутентификации● Действия при отказе● Количество отказов перед блокировкой
16
Алгоритм Kerberos
● Действующие лица– AS (Auth Server)
– TGS (Ticket Gateway Server)
– SS (Service Server)
– Client
● Основной принцип– Двойное подтверждение каждого раунда
● Не затрагивает вопрос распределения секретов
17
Первый раунд
● Client ← ClientID, Secret
18
Первый раунд
● Client ← ClientID, Secret● Client (ClientID, TimeStamp, ReqService) →
AS
19
Первый раунд
● Client ← ClientID, Secret● Client Message A → AS
20
Первый раунд
● Client ← ClientID, Secret● Client Message A → AS● AS Compare(Message A, DB)
21
Первый раунд
● Client ← ClientID, Secret● Client Message A → AS● AS Compare(Message A, DB)● AS [SessKey(TGS)] Secret → Client● AS [SessKey(TGS), ClientID, TimeStamp+1, ...]
TGSkey → Client
22
Первый раунд
● Client ← ClientID, Secret● Client Message A → AS● AS Compare(Message A, DB)● AS Message B → Client ● AS TGT → Client
23
Первый раунд
● Client ← ClientID, Secret● Client Message A → AS● AS Compare(Message A, DB)● AS Message B → Client ● AS TGT → Client● Client Message B → SessKey(TGS)
24
Первый раунд
● Client ← ClientID, Secret● Client Message A → AS● AS Compare(Message A, DB)● AS Message B → Client ● AS TGT → Client● Client [SessKey(TGS)] (Secret) →
SessKey(TGS)
25
Второй раунд
● Client [ClientID, TimeStamp+1] SessKey(TGS)→ TGS
● Client TGT → TGS
26
Второй раунд
● Client Message C → TGS● Client TGT → TGS
27
Второй раунд
● Client Message C → TGS● Client TGT → TGS● TGS TGT → SessKey(TGS), ClientID,
TimeStamp+1, …
28
Второй раунд
● Client Message C → TGS● Client TGT → TGS● TGS TGT → SessKey(TGS), ClientID,
TimeStamp+1, …● TGS Message C → ClientID, TimeStamp+1
29
Второй раунд
● Client Message C → TGS● Client TGT → TGS● TGS TGT → SessKey(TGS), ClientID,
TimeStamp+1, …● TGS Message C → ClientID, TimeStamp+1● TGS Compare(ClientID, TimeStamp+1)
30
Второй раунд
● Client Message C → TGS● Client TGT → TGS● TGS TGT → SessKey(TGS), ClientID, ...● TGS Message C → ClientID, TimeStamp+1● TGS Compare(ClientID, TimeStamp+1)● TGS [SessKey(SS), ClientID,
TimeStamp+2...]SSkey → Client ● TGS [SessKey(SS)]Sesskey(TGS)→ Client
31
Второй раунд
● Client Message C → TGS● Client TGT → TGS● TGS TGT → SessKey(TGS), ClientID, ...● TGS Message C → ClientID, TimeStamp +1● TGS Compare(ClientID, TimeStamp+1)● TGS CST → Client ● TGS Message D → Client
32
Второй раунд
● Client Message C → TGS● Client TGT → TGS● TGS TGT → SessKey(TGS), ClientID, …● TGS Message C → ClientID, TimeStamp+1● TGS Compare(ClientID, TimeStamp+1)● TGS CST → Client ● TGS Message D → Client● Client Message D → SessKey(SS)
33
Второй раунд
● Client Message C → TGS● Client TGT → TGS● TGS TGT → SessKey(TGS), ClientID, …● TGS Message C → ClientID, TimeStamp+1● TGS Compare(ClientID, TimeStamp+1)● TGS CST → Client ● TGS Message D → Client● Client [SessKey(SS)]Sesskey(TGS) →
SessKey(SS)
34
Третий раунд
● Client [ClientID, TimeStamp+2] SessKey(SS) → SS
● Client CST → SS
35
Третий раунд
● Client Message E → SS● Client CST → SS
36
Третий раунд
● Client Message E → SS● Client CST → SS● SS CST → SessKey(SS), ClientID,
TimeStamp+2● SS Message E → ClientID, TimeStamp+2
37
Третий раунд
● Client Message E → SS● Client CST → SS● SS CST → SessKey(SS), ClientID,
TimeStamp+2● SS [ClientID, TimeStamp] SessKey(SS) →
ClientID, TimeStamp+2
38
Третий раунд
● Client Message E → SS● Client CST → SS● SS CST → SessKey(SS), ClientID,
TimeStamp+2● SS Message E → ClientID, TimeStamp+2● SS Compare(ClientID, TimeStamp+2)
39
Третий раунд
● Client Message E → SS● Client CST → SS● SS CST → SessKey(SS), ClientID, …● SS Message E → ClientID, TimeStamp+2● SS Compare(ClientID, TimeStamp+2) ● SS [TimeStamp+3] SessKey(SS) → Client
40
Третий раунд
● Client Message E → SS● Client CST → SS● SS CST → SessKey(SS), ClientID, …● SS Message E → ClientID, TimeStamp+2● SS Compare(ClientID, TimeStamp+2) ● SS Message F → Client
41
Третий раунд
● Client Message E → SS● Client CST → SS● SS CST → SessKey(SS), ClientID, …● SS Message E → ClientID, TimeStamp+2● SS Compare(ClientID, TimeStamp+2) ● SS Message F → Client● Client Message F → TimeStamp+3
42
Третий раунд
● Client Message E → SS● Client CST → SS● SS CST → SessKey(SS), ClientID, …● SS Message E → ClientID, TimeStamp+2● SS Compare(ClientID, TimeStamp+2) ● SS Message F → Client● Client [TimeStamp+3] SessKey(SS) →
TimeStamp+3
43
Третий раунд
● Client Message E → SS● Client CST → SS● SS CST → SessKey(SS), ClientID, …● SS Message E → ClientID, TimeStamp+2● SS Compare(ClientID, TimeStamp+2) ● SS Message F → Client● Client Message F → TimeStamp+3● Client Work → SS
44
Алгоритм Radius
● Действующие лица:– Клиентское устройство
– NAS
– 3A
– DB
● Протокол 3A
45
Алгоритм Radius
● Client secret → NAS
● NAS auth → 3А
● 3A → DB
● 3A → NAS
● NAS access → 3A
● 3A → DB
● 3A → NAS
● NAS counts resourse usage
● 3A end usage → NAS
● NAS report → 3A
46
Протокол OpenID(XML-based)
● Идентификация клиента на сервисе через доверенную сторону
● Доверенная сторона определяется по логину● Перенаправление на сайт доверенной
стороны для аутентификации● Подтверждение доверия клиента сервису● Перенаправление обратно с передачей
идентификационных данных сервису● Сервис проверяет, что данные от
доверенной стороны
47
Протокол Oauth (XML-based)
● Протокол авторизации доступа третьей стороны к ресурсу клиента на сервере
● Попутно может и использоваться как протокол для первых двух стадий
● Схема работы:– По запросу третьей стороны сервер выделяет ей
токен
– Токен отдается пользователю и должен быть им подтвержден на сервере
– После подтверждения третья сторона запрашивает новый токен и получает доступ с его помощью
48
Single Sign-On (SSO)
● Совокупность методов для организации прозрачного доступа к ресурсам без дополнительного ввода пароля
● Требование: ресурсы должны доверять единому провайдеру
● Возможно через Kerberos или cookie
