Разработка аутентификаторов методом согласованной пары
В этом разделе мы рассмотрим несколько предложений по разработке аутентификаторов методом согласованной пары и идей по их применению.
Работайте с правильными поставщиками средств аутентификации. Найдите поставщиков, которые используют аутентификацию с помощью ключевой фразы, не совпадающей с паролем пользователя, именем учетной записи или другой связанной с пользователем информацией, которую злоумышленник может скомпрометировать. Некоторые финансовые организации не разрешают менять учетную запись без прохождения такой аутентификации, но, к сожалению, гораздо чаще этот метод применяется лишь тогда, когда пользователь пытается восстановить забытый пароль, а контрольные фразы при этом не меняются.
Разработайте новые системы аутентификации. Ваше средство аутентификации может интегрироваться с элементами управления и запрашивать согласованную пару у аутентифицированного пользователя всякий раз, когда он пытается выполнить привилегированные действия, такие как команды от имени администратора, или root-пользователя, или системы. Согласно этому протоколу, даже если злоумышленник сумел разведать одну или несколько запрашиваемых пар, запрос на выполнение привилегированных действий будет отклонен.
В идеальном продукте применяются две формы согласованных пар: ежедневные и пользовательские. Ежедневная проверка выполняется в нецифровом формате и только для авторизованного персонала. Например, для доступа в помещения могут использоваться пары слов или изображений. Все остальные сотрудники, включая работающих удаленно, создают большой набор пар слов, которые вряд ли будут забыты или неверно истолкованы. Организация выбирает пары случайным образом или меняет их, чтобы быстро выявить неавторизованных пользователей, прошедших аутентификацию в сети. (Обратите внимание на то, что злоумышленник может добавить собственные пары в скомпрометированные или поддельные учетные данные, и для защиты от этого должны быть обеспечены безопасные передача, хранение и аудит новых пар в активной системе проверки.) Рассмотрите возможность использования одностороннего интерфейса добавления новых пар в защищенном контролируемом информационном объекте (secure controlled information facility, SCIF) или сегментированной области, где нужна была бы ручная аутентификация и авторизация. Существуют и другие механизмы, которые могут позволить организациям вылавливать неопознанных пользователей с помощью запроса доступа к микрофону, камере, местоположению, запущенным процессам, оперативной памяти или кэшу, снимка экрана рабочего стола и другой информации о системе подключения, что позволяет лучше определить источник и личность угрозы.
