ГОСТ Р ИСО/МЭК 18028-1— 2008
Примеры мер безопасности:
- недопущение прямого доступа к системному и сетевому ресурсам, использующимся для удален
ного доступа. за исключением случаев предоставления дополнительной аутентификации (см. 13.6.3) и,
возможно, шифрования по всей сети;
- защита от несанкционированного доступа к информации, связанной с ПО электронной почты и дан
ными каталога, хранящимися в персональных и дорожных компьютерах, использующихся ее персоналом
за пределами офисов организации.
13.6.3 Усложнение аутентификации
Использование идентификатора пользоеателя/парпаролей — простой способаутентификации пользо
вателей. но их (идентификаторы и пары паролей) можно скомпрометировать или разгадать. Существуют
другие, более безопасные способы аутентификации пользователей, особенно удаленных пользователей.
Усложнение аутентификации необходимо при наличии высокой вероятности получения доступа неуполно
моченного лица к защищенным и важным системам. Это может быть, например, следствием возможности
инициирования доступа через общедоступные сети, или доступ к системе (например, через дорожный
компьютер) может находиться за пределами прямого контроля организации.
В случаях требования (например, по контракту) усложнения аутентификации по сетевым соединени
ям или его обоснования рисками организации следует рассмотреть возможность усиления процесса аутен
тификации личности посредством внедрения соответствующих мер безопасности.
Простые примеры мер безопасности используют:
- CLID. который можно считать исходящим телефонным номером, принимаемым приемной аппарату
рой. Хотя CLID имеет определенную значимость какутвержденный идентификатор вызывающей стороны,
он открыт для спуфинга и не должен использоваться в качестве подтвержденного ID без
дальнейшей аутентификации. CLID часто используют как быстрый идентификатор установления
резервныхсвязей (осо бенно в цифровых сетях с интегрированным обслуживанием) между сайтами;
- связи через модемы, которые отключаются, когда не используются, и инициируются только после
подтверждения идентичности вызывающего оператора.
Более сложными, но очень важными примерами, особенно в контексте удаленного доступа, явля
ются:
- использованиедругих средств идентификации для поддержки аутентификации пользователей, та
ких. какдистанционно проверенные маркеры и смарт-карты (например, через считывающие устройства,
подключенные к ПК), ручные устройства создания одноразового ключадоступа и основанные на примене
нии биометрии средства;
- обеспечение функционирования маркера или смарт-карты только совместно с аутентифицирован
ным абонентом пользователя (и предпочтительно — ПК и месторасположение/точка доступа этого пользо
вателя) и. например, любым соответствующим PIN-кодом или биометрическим профилем.
В общем, это называется строгой аутентификацией, состоящей из двух факторов. При использова
нии маркеров пользователю необходимо знать PIN. который вместе с маркером делает возможным осуще
ствление аутентификации с единственным значением. Что касается смарт-карт, они могут рассматриваться
как автоматизация использованиядоступа через маркер. Чтобы «открыться», пользователь должен доба
вить PIN-код к карте после ее вставления в считывающее устройство смарт-карт. Затем каждый раз. когда
аутентификация требуется для центральных или удаленных систем, смарт-карта может быть вызвана не
посредственно для «подписания» данных (подтверждая аутентификацию) посредством ключа, содержа
щегося в смарт-карте.
13.6.4 Идентификация удаленной системы
Как предполагалось в 13.6.3. значимая аутентификация должна усовершенствоваться путем провер
ки полномочий системы (и ее места расположенияУточки доступа), из которой осуществляется внешний
доступ.
Следует признать, что различные сетевые архитектуры могут предлагать отличающиеся другот дру
га потенциальные возможности идентификации. Таким образом, организация может получить улучшение
идентификации, выбрав соответствующую архитектурусети. Необходимо рассматривать все возможности
управления безопасностью выбранной архитектуры сети.
13.6.5 Безопасное одноразовое предъявление пароля
Там. где задействуют сетевые соединения, пользователи могут сталкиваться с многочисленными
проверками идентификации и аутентификации. В подобных обстоятельствах у пользователей может воз
никнуть соблазн использовать небезопасные методы, такие, как запись паролей или повторное ислользо-
43