8-Mavzu: ruxsatlarni nazoratlash. Identifikatsiya. Autentifikatsiya. Avtoriyazatsiya. Reja

Mavjud oʻziga xos xususiyatlar yoki biometrik parametrlar asosida autentifikatsiyalash usuli bardoshli sanalib, yuqoridagi usullarda mavjud kamchiliklar bartaraf etilgan. Kamchilik sifatida esa foydalanilgan qurilma narxi yoki jarayon vaqtini uzoqligini keltirish mumkin.
Ananaviy autentifikatsiyalash usullari (parol asosida va nimagadir egalik qilish asosida) foydalanishda qulay boʻlishiga qaramasdan qator kamchiliklarga ega:

• 
  foydalanuvchi paroli odatda sodda va foydalanuvchi xotirasida saqlanishi oson boʻlish uchun qisqa frazalardan foydalanadi, bu esa ushbu tizimning zaifligini anglatadi;
  
• 
  parollarni esdan chiqarib qoʻyish muammosi;
  
• 
  autentifikatsiyalash tokenlarini (smart kartalar va h.k) yoʻqotib qoʻyish muammosi va h.k
  

Ushbu muammolarni bartaraf etish uchun uchinchi yoʻnalish, biometrik parametrlarga asoslangan autentifikatsiyalash usullaridan foydalaniladi.
Biometrik parametrlarga asoslangan autentifikatsiyalash usullari oʻzining ishonchlilik, oʻg’irlab boʻlmaslik, koʻchirib boʻlmaslik, foydalanishda qulaylik va xususiyatlari bilan ajralib turadi (1.3.2-rasm).

1.3.3-rasm Аutentifikatsiyalash usullari

Ruxsatlarni nazoratlash

Avtorizatsiya jarayoni bu – foydalanuvchiga tizim tomonidan berilgan foydalanish darajasi.
Kompyuter tizimlari xavfsizligini aniqlash kriteriyalari (Trusted Computer System Evaluation Criteria yoki Orange book) 1983 yilda chop etilgan boʻlib, hozirgi kungi, 2005 yilda qabul qilingan ISO/IEC 15408 ning analogidir. Ushbu kriteriya zarur yoki maxfiy axborotlarni saqlash, qidirish, kompyuter tizimlarini tanlash va klassifikatsiyalash uchun foydalaniladi.
Asosiy maqsadi va vositasi. Xavfsizlik siyosati kompyuter tizimi uchun batafsil boʻlishi, yuqori darajada aniqlanganligi va tegishli boʻlishi shart. Ikki asosiy xavfsizlik siyosati mavjud: mandatga asoslangan xavfsizlik siyosati va diskretsion xavfsizlik siyosati. Mandatga asoslangan xavfsizlik siyosatida maxfiy ma‘lumotlardan foydalanishda individual yondoshishga asoslanadi. Har bir foydalanuvchiga berilgan ruxsatlar tashkilotdani xavfsizlik siyosatidan kelib chiqadi. Diskretsion xavfsizlik siyosatida esa ruxsatni cheklashda va boshqarishda qoidalar toʻplamidan foydalaniladi. Bu qoidalar faqat biror kerakli boʻlgan ma‘lumotni olishga qaratilgan boʻladi. Boshqa soʻz bilan aytganda har bir ma‘lumot uchun foydalanuvchining ruxsatlari turlicha boʻlishi mumkin.
Xavfsizlik siyosatidan boʻlak, individual javobgarlik mavjud boʻlib, ular asosan uchta talabdan iborat:
– autentifikatsiya; – avtorizatsiya; – audit.
Toʻq sariq kitob xavfsiz tizim, ishonchli tizim, xavfsizlik siyosati, kafolatlanganlik darajasi, hisobdorlik, ishnochli hisoblash bazalari, muloqot monitoringi, xavfsizlik yadrosi, xavfsizlik peremetri kabi terminlardan iborat.
Ushbu kriteriya 4 ta: D, C, B va A boʻlimlardan iborat boʻlib, xavfsizlik darajasi A da eng yuqori. C, B va A boʻlimlar qism boʻlimlardan iborat.
D – Eng kichik xavfsizlik talabiga ega boʻlim.
C – Diskretsion himoya. C1 – maxfiylikni diskretsion ta‘minoti boʻlib, foydalanuvchi, ma‘lumotlarni boʻlimga ajratish va diskretsion ruxsatlarni boshqarishdan iborat boʻladi. C2 – ruxsatlarni boshqarish. Diskretsion ruxsatlarni boshqarishning yuqori aniq boʻlishi, individual foydalanuvchi qayd yozuvi, tizimga ruxsatlarni boshqarish jurnali, resurslarni izotsiyalash.
B – Mandatga asoslangan himoya. B1 – metaxavfsizlikdan foydalanilgan holda himoya. B2 – Tizimlashgan himoya. B3 – Xavfsizlik domeni.
A – sinalgan himoya. A1 – sinalgan dizayn va yuqori A1 qismlaridan iborat.