24.02.2011
Строгая аутентификация
В этом посте речь пойдет о различных способах аутентификации пользователей в мире современных IT-технологий. Об их недостатках и достоинствах, особенностях и сложностях внедрения фактора Строгой аутентификации в существующую IT-инфраструктуру предприятия.Традиционная аутентификация (статичный пароль)
Уже ни для кого не секрет, что аутентификация пользователя, основанная на традиционном (статичном) пароле, является одной из главных проблем, препятствующих организации защищенной IT-инфраструктуры. Традиционный пароль может быть скомпрометирован множеством всем известных способов как технического, так и социального, бытового характера. В связи с этим можно уверенно говорить о том, что в настоящее время аутентификация пользователей с использованием статичного пароля в рамках зрелой IT-инфраструктуры просто недопустима.Альтернативные способы аутентификации
Существует несколько альтернатив парольной аутентификации. По типу ключевой информации их можно разделить на две группы:- Биометрическая аутентификация. Основывается на физиологических или поведенческих особенностях человека, уникальность которых гарантируется с высокой степенью вероятности. Например, это отпечатки пальцев, рисунок радужки глаза, тембр голоса, почерк. Биометрические аутентификаторы являются в большинстве случаев неотторгаемыми (их нельзя забыть или потерять).
- Аутентификация, основанная на небиометрических, отторгаемых ключах. В отличие от биометрической аутентификации, эти способы полагаются не на свойства организма, как на ключ, а на знание человеком определенной ключевой информации (или владение устройством, которое может ее предоставить)
Встраивание строгой аутентификации в существующую IT-инфраструктуру
Для обеспечения интеграции технологий строгой аутентификации каждый сервис инфраструктуры должен удовлетворять как минимум следующему перечню требований:- Клиентская часть сервиса должна обеспечивать пользователю возможность максимально удобно пройти процедуру строгой аутентификации, т.е. вывести на экран компьютера предложение приложить палец к считывателю, например.
- Протокол взаимодействия клиентского приложения и сервера должен иметь возможность передавать в качестве аутентификатора не только пароль, но абстрактные данные переменного объема.
- Серверная часть ресурса должна уметь манипулировать этими данными соответствующим образом (сравнивать предоставленный аутентификатор с эталонным)
- База эккаунтов сервиса должна хранить эталонный аутентификатор
- Сервис должен предоставлять средства менеджмента аутентификаторов.
