Vazirligi denov tadbirkorlik va pedagogika instituti mamajanov r. Y., Rajabov t. J., Saidaxmedov e. I kiberxavfsizlik asoslari

Birinchidan, parol tizimlari tizim buzg‘unchilarining jiddiy e’tibori ostida.
Buzg‘unchi parol himoyasini buzib, tizim nuqtai nazaridan, ruxsatga ega
foydalanuvchiga aylanishi mumkin. Masalan, axborot xavfsizligi sohasidagi
80%dan ortiq insidentlar parol himoyasini buzish bilan bog‘liq. Aksariyat
kompyuter xujumlari aynan ma’mur parolini qo‘lga kiritishni ko‘zda tutadi.
Ta’kidlash lozimki, ko‘pgina autentifikatsiya tizimlarining zaifligi ularning
noto‘g‘ri amalga oshirilishi bilan bog‘liq. Masalan, ba’zi tizimlarda parol ochiq
holda uzatiladi va saqlanadi (PAP protokoli, parol bo‘yicha autentifikatsiyalash
protokoli yordamida). Parol axborotini shifrlash protokollari va vositalari esa
yyetarlicha kriptobardoshlikka ega emas.
4

---

Ikkinchidan, parollarni ko‘pincha oddiygina aniqlash mumkin. Gap
shundaki, parol tizim yordamida (tasodifiy sonlar datchiklari yordamida)
generatsiyalash mumkin demak, uni esda saqlash qiyin. Bu holda, foydlanuvchilar
bunday psevdotasodifiy parollarni ko‘pincha qog‘oz parchasiga, kompyuterning
tashqi qurilmasiga, “Ish stolidagi” fayllarga, uyali telefonlarning “xotirasiga” va h.
yozishadi. Bu esa buzg‘unchilar uchun yoqimli holat.
Boshqa tomondan, oson esda saqlanuvchi parol, odatda, oddiy va
foydalanuvchining shaxsiy hayoti va yaqinlari bilan assosatsiyalangan bo‘ladi.
Demak, parol osongina topilishi mumkin.
Parol himoyasining bardoshligini qanday oshirish mumkin? Bir necha
usullar mavjud:
− doimiy (static) parollar o‘rniga bir martali parollardan foydalanish;
− parol va qayd yozuvlari himoyasi siyosatini kuchaytirish.
Ta’siri yo‘qolgan parollardan foydalanish xavfini istisno qilish maqsadida
dinamik tarzda o‘zgaruvchi (dinamic) parollardan foydalaniladi. Dinamik parollar
vaqtning qandaydir oralig‘idan so‘ng yangi parolning generatsiyalanishini va
ishlatilishini ta’minlaydi. Masalan, parollarni generatsiyalash funksiyasida
parametrlarning biri sifatida kun ko‘zda tutilgan bo‘lsa, ravshanki, har kuni parol
yangilanadi. Amalda, dinamik tarzda o‘zgaruvchi parollar sifatida subyekt ishining
bitta seansida qo‘llaniluvchi bir martali (one-time, single-use) parollar keng
tarqalgan.
Dinamik
tarzda
o‘zgaruvchi
parollarga
asoslangan
autentifikatsiya
tizimlarida mijoz va server parollarni generatsiyalashning bir xil algoritmidan
foydalanishadi. Bir martali parol ta’sirining vaqt oralig‘ini nazoratlash uchun tizim
vaqti serverda va mijozda “sinxronlanishi” lozim. Parolni nazoratlashda tizim vaqti
ishlatilmay, hodisaning boshlanishi prinsipi ishlatilsa, bunday tizimlar “asinxron
tizimlar” deb ataladi.
Parolli himoyalash xavfsizligi siyosatini kuchaytirish parolni tanlashda
uning oshkor bo‘lishini qiyinlashtiruvchi talablarga hamda parolni saqlash va
tarmoq orqali uzatish talablariga rioya qilish ko‘zda tutiladi, masalan:

---

− parol tarkibida ko‘p uchraydigan ismlar, so‘zlar, qisqartirishlar, kunlar,
telefon nomerlari bo‘lmasligi, autentifikator bilan bir xil bo‘lmasligi va h. lozim;
− parol tarkibida bosh harflar, raqamlar, tinish belgilari va maxsus sinovollar
(-@#;%^&*) bo‘lishi lozim;
− paroldagi simvollar soni 8 dan kam bo‘lmasligi va parolni 90 kundan
so‘ng almashtirish lozim;
− hisob yozuvidan foydalanishga cheklashlar (kun, sutka vaqti, ulanish
manzili, ulanish soni bo‘yicha.) o‘rnatililishi lozim;
− parolni muvaffaqiyatsiz kiritish va urinish sonini cheklash - 3 dan 5 gacha;
− parol axborotini saqlash va tarmoq bo‘yicha uzatishning kriptohimoya
rejimlari o‘rnatilishi lozim.
Parol himoyasini kuchaytirishning o‘ziga hos variantlari – parol iboralaridan
(pass phrase) va kognitiv (cognitive - anglab bo‘ladigan) parollardan foydalanish.
Uzun, ammo xotirlash uchun oson parol iborasi parolning oshkor qilinishini
qiyinlashtiradi. Kognitiv parol odatda, tasodifiy tanlangan, ammo maxfiy ravishda
oldindan aniqlangan savollarga javoblar qismto‘plamidan iborat.
Avtomatlashtirilgan tizimlarda parollar bardoshligini baholashda matematik
ko‘rsatkichlar ishlatilishi mumkin. Klod Shennon tomonidan taklif etilgan axborot
entropiyasi keng tarqalgan ko‘rsatkich sifatida ishlatiladi: