2017 yil iyul kirish eks xavfsizlik nazoratlari 4

Qo'llash bo'yicha qo'llanma

Parolni autentifikatsiya qilish texnologiyalari PIN yoki parol kabi kirishni talab qilayotgan qurilma yoki shaxs bilishi kerak bo'lgan narsaning test asosidagi haqiqiyligini aniqlaydi. Parolni autentifikatsiya qilish sxemalari autentifikatsiyaning eng oddiy va keng tarqalgan shakllari hisoblanadi. Parol zaifliklarini zaif, yaqinda yoki keng tarqalgan parollarni taqiqlovchi faol parol tekshiruvi yordamida yumshatish mumkin. Yana bir zaif nuqta - bu uchinchi tomonni tinglashning qulayligi. Klaviaturada yozilgan parollar, ayniqsa, dushmanlar kichik simsiz kameralar yoki tugmalar bosishlarini yozib olishlari mumkin bo'lgan joylarda osongina kuzatiladi yoki yozib olinadi. Tarmoq xizmatining autentifikatsiyasi ko'pincha parollarni oddiy matnda (shifrlanmagan) uzatadi, bu esa har qanday tarmoqni yozib olish vositasiga parollarni ko'rish imkonini beradi.

Qo'shimcha boshqaruv/alternativ boshqaruv

Ma'lumotnomalar/Xavf haqida ma'lumot

NIST SP-800-82 6.1.7.1

6. Jismoniy token yoki smart-karta yordamida autentifikatsiya

Boshqaruv

Jismoniy yoki token identifikatori parolni autentifikatsiya qilishga o'xshaydi; ammo, bu texnologiyalar uning haqiqiyligini parol yoki ruxsat soʻragan shaxsga tegishli qurilma yoki kalit tomonidan yaratilgan parol yoki maxfiy kodni, masalan, xavfsizlik kodi yoki smart-kartalarni sinab koʻrish orqali aniqlaydi . Ba'zi kalitlar faqat bitta faktorli autentifikatsiyani qo'llab-quvvatlaydi, shuning uchun faqat kalitga ega bo'lish shaxsni tasdiqlashi mumkin. Boshqalar ko'p faktorli autentifikatsiyani qo'llab-quvvatlaydi, bu kalitni ushlab turishdan tashqari PIN-kod yoki parolni bilishni talab qiladi. Autentifikatsiya manzillari tomonidan aniqlangan asosiy zaiflik maxfiy kodni nusxalash yoki boshqalar bilan baham ko'rish oson. Kompyuter yoki operator stantsiyasi yonidagi devorda qoldirilgan "xavfsiz" tizimga parolning juda keng tarqalgan stsenariylarini yo'q qiladi. xavfsizlik belgisi Uskunalar va sarf materiallariga eksklyuziv kirish huquqisiz qayta ishlab chiqarilishi mumkin emas. Ikkinchi foyda shundaki, jismoniy tokendagi sir juda katta, jismoniy xavfsiz va tasodifiy yaratilgan bo'lishi mumkin. U metall yoki kremniyga joylashtirilganligi sababli, qo'lda kiritilgan parollar xavfi yo'q. Agar xavfsizlik tokeni yo'qolsa yoki o'g'irlansa, ruxsat etilgan foydalanuvchi e'tiborga olinmasdan yo'qolgan yoki o'g'irlangan an'anaviy parollardan farqli o'laroq, kirish huquqini yo'qotadi.
Jismoniy/ token tekshiruvining umumiy shakllariga quyidagilar kiradi:

• 
  An'anaviy jismoniy qulflar va kalitlar.
  
• 
  Himoya kartalari ( masalan , magnit, aqlli chip, optik kodlash).
  
• 
  Kartalar, kalit foblar yoki biriktirilgan teglar ko'rinishidagi radiochastota qurilmalari.
  
• 
  Kompyuterlarning USB, ketma-ket yoki parallel portlariga ulanadigan xavfsiz shifrlash kalitlari bilan qurilma qulflari.
  
• 
  Bir martalik autentifikatsiya kodlari generatorlari ( masalan, Keychains ) .
  

Yagona faktorli autentifikatsiyaning eng zaif tomoni shundaki , tokenni jismoniy ushlab turish kirishni anglatadi. Jismoniy/ token autentifikatsiyasi autentifikatsiyaning ikkinchi shakli, masalan, token bilan ishlatiladigan yodlangan PIN-kod bilan birlashganda xavfsizroq bo‘ladi.