Отчет о научно-исследовательской работе, проведенной по заказу Министерства экономического развития и торговли Российской Федерации Тема

Вид материала

Отчет

Содержание 8.3Краткое изложение рекомендаций для построения таких схем 8.4.1Риск слабого пароля 8.4.2Риск использования Интернета Это является общей проблемой, а не только систем с единым доступом. 8.4.3Риск слабой криптогра 8.4.4Требования безопасности Механизм безопасности

Подобный материал:

• Ежегодная Российско-Украинская Промышленная Выставка, 294.69kb.
• Министерство экономического развития и торговли российской федерации государственный, 5458.65kb.
• Министерство экономического развития и торговли российской федерации государственный, 5460.46kb.
• Министерство экономического развития и торговли российской федерации государственный, 5753.09kb.
• Министерство экономического развития и торговли российской федерации государственный, 5459.19kb.
• Отчет о научно-исследовательской работе, 392.92kb.
• Реферат отчет о научно-исследовательской работе состоит, 61.67kb.
• Утверждено Постановлением Президиума Правления тпп РФ от 12 октября 2010 г. №75-14, 43.93kb.
• Зубович Александр Сергеевич россия на мировом рынке вооружений и военной техники, 285.21kb.
• Отчёт о научно-исследовательской работе за 2011 год, 1208.93kb.

8.3Краткое изложение рекомендаций для построения таких схем

В представленной схеме поддерживаются четыре основные функциональные возможности:

• Аутентификация,
  
• Псевдоним,
  
• Федерация учетных записей,
  
• Единый выход.
  

Описанные выше принципы можно транслировать в следующие рекомендации к реализациям подобных схем:

Федерация учетных записей:

1. Агента информируют о создании и аннулировании Федерации.
   
2. Сервисы и удостоверяющие центры информируют друг друга о создании и аннулировании Федерации.
   
3. Удостоверяющий центр информирует соответствующий сервис об окончании учетной записи (данного агента) у удостоверяющего центра.
   
4. Сервисы и удостоверяющие центры обеспечивают агента соответствующим списком объединенных учетных записей в соответствующих сервисах и удостоверяющих центрах.
   

1. 
   Аутентификация:
   
   1. Сервисы и удостоверяющие центры поддерживают все необходимые методы навигации агента в сети.
      
   2. Удостоверяющий центр предоставляет агенту свои заверенные идентификационные параметры, прежде чем агент предоставит удостоверяющему центру свои доверенности.
      
   3. Сервис и удостоверяющий центр должны аутентифицировать друг друга. Сервис и удостоверяющий центр гарантируют конфиденциальность, целостность, и подлинность информации об агенте, которой они обмениваются.
      
   4. Сервис и удостоверяющий центр могут поддерживать различные механизмы аутентификации.
      
   5. Сервис может проводить дополнительную аутентификацию, помимо той, что делает удостоверяющий центр.
      
   6. Возможность удостоверяющим центром аутентифицировать данного агента посредством другого удостоверяющего центра и передать эту информацию сервису.
      
   7. Чтобы сохранять конфиденциальность информации об агенте, сервис и удостоверяющий центр обмениваются минимальным набором информации о каждом агенте. Например: аутентификационный статус, время (момент времени, в который агент был аутентифицирован), метод которым он был аутентифицирован, и его Псевдоним.
      
2. Псевдоним:
   

• Чтобы сохранить анонимность агента, сервис и удостоверяющий центр поддерживают уникальные псевдонимы агента на каждую Федерацию, являющиеся базовыми для всех сервисов и удостоверяющих центров, входящих в Федерацию.
  

3. Единый выход:
   

• Когда агент заканчивает свою сессию с удостоверяющим центром, все соответствующие сервисы будут уведомлены.
  

8.4Безопасность

При использовании современных протоколов обмена (SOAP, SAML, SSL/TLS) в системе единого доступа нет особых уязвимых мест. Ниже мы приведем наиболее узкие места, требования безопасности к рассматриваемой схеме и возможные виды атак:

8.4.1Риск слабого пароля

Если агент использует сильные и несвязанные пароли для учетных записей на разных сервисах, он имеет лучшую безопасность, чем в системе с единым доступом. В противном случае, уязвимость, по существу, одинакова независимо от того, используется единый доступ или нет.

Заметим, что в данной системе не предполагается какой-то определенной аутентификационной технологии (Приложение 3 и 4), удостоверяющие центры могут отдавать предпочтение любой сильной форме аутентификации.

8.4.2Риск использования Интернета

Это является общей проблемой, а не только систем с единым доступом.

8.4.3Риск слабой криптографии

Конфиденциальность и безопасность данных агента, может быть достигнута преимущественно с помощью SSL/TLS и использования сервисами более сильной криптографии.

8.4.4Требования безопасности

• Сервисы обязаны подтверждать подлинность (аутентифицировать) удостоверяющего центра, используя сертификаты удостоверяющего центра.
  
• Каждый сервис должен быть зарегистрирован в списке авторизованных удостоверяющих центров, и каждый удостоверяющий центр должен быть зарегистрирован в списке авторизованных сервисов.
  
• Идентификационные параметры удостоверяющего центра должны быть представлены агенту до того, как он представит удостоверяющему центру свои доверенности.
  
• Обычно требуется, чтобы сообщения или их части имели заверенную цифровую подпись. Это обеспечивает целостность данных, принадлежность данных их источнику, и является основой для строгого выполнения обязательств.
  
• Необходимо чтобы взаимодействие между сервисом и удостоверяющим центром было защищено от reply-атак.
  

В таблице 1 обобщены требования к безопасности передачи сообщений на основе двух подходов: Кодирование канала и Безопасность сообщений.

Таблица Г.1. Требования к безопасности передачи сообщений.

Механизм безопасности	Кодирование канала	Безопасность сообщений (Требования, Признаки)
Конфиденциальность	Требуется	Требуется
Целостность данных в сообщении	Требуется	Требуется
Целостность транзакций		Требуется
Аутентификация объекта	Удостоверяющий центр –требуется Сервис – не обязательно
Аутентификация источника данных		Требуется
Строгое выполнение обязательств		Требуется