Основы аутентификации субъектов доступа

Приведена информация по основам аутентификации субъектов доступа. Рассмотрено современное состояние методологического обеспечения исследования доверия к результатам аутентификации субъектов доступа. Дан обзор международных стандартов. Введено понятие доверия к результатам аутентификации. Показаны типовые угрозы, связанные с аутентификацией пользователя информационной системы.
Исследованы методы анализа рисков, выявлены приемлемые методы оценки рисков и управления рисками аутентификации субъектов доступа, а также предложена методика оценки доверия к результатам аутентификации и формирования уровней доверия.

Для самостоятельного изучения студентами магистратуры, обучающимися по специальностям, связанным с защитой информации.

Список литературы

1. ГОСТ Р ИСО/МЭК 31010–2011 Менеджмент риска. Методы оценки риска. URL: https://docs.cntd.ru/document/1200090083 (дата обращения 20.04.2021).
2. ГОСТ Р 58833–2020 Идентификация и аутентификация. Общие положения. URL: https://docs.cntd.ru/document/1200172576 (дата обращения 20.04.2021).
3. ГОСТ Р ИСО 31000–2010 Менеджмент риска. Принципы и руководство. URL: https://docs.cntd.ru/document/1200089640 (дата обращения 20.04.2021).
4. ГОСТ Р ИСО/МЭК 13335–1–2006 Методы и средства обеспечения безопасности. URL: https://docs.cntd.ru/document/1200048398 (дата обращения 20.04.2021).
5. ГОСТ Р ИСО/МЭК 17799–2005. Информационная технология. Практические правила управления информационной безопасностью. URL: https://allgosts.ru/01/040/gost_r_iso!m_k_17799-2005 (дата обращения 20.04.2021)
6. Федеральный закон «Об электронной подписи» от 06.04.2011 № 63-ФЗ. URL: http://docs.cntd.ru/document/902271495 (дата обращения 20.04.2021).
7. FIPS PUB 201-1 Personal Identity Verification (PIV) of Federal Employees and Contractors. URL: http://csrc.nist.gov/publications/fips/fips201-1/FIPS-201-1-chng1.pdf (дата обращения 20.04.2021)
8. FIPS PUB 201-2 Personal Identity Verification (PIV) of Federal Employees and Contractors. URL: http://csrc.nist.gov/publications/drafts/fips201-2/Draft_NIST-FIPS-201-2.pdf (дата обращения 20.04.2021).
9. NIST SP 800-63. Electronic Authentication Guideline. URL: http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-63-2.pdf (дата обращения 20.04.2021)
10. Сабанов А.Г. Обзор иностранной нормативной базы по идентификации и аутентификации // Инсайд. Защита информации. 2013. № 4 (52). С. 82–88
11. Сабанов А.Г. Общий анализ международных стандартов по идентификации и аутентификации субъектов при доступе к информации. Ч. 1 // Инсайд. Защита информации. 2016. № 2. С. 2–5.
12. Сабанов А.Г. Общий анализ международных стандартов по идентификации и аутентификации субъектов при доступе к информации. Ч. 2 // Инсайд. Защита информации. 2016. № 3. С. 70–73.
13. Сабанов А.Г. Способ определения строгости аутентификации // Электросвязь. 2016. № 8. С. 56–61.
14. FIDO. The State of Strong Authentication 2019. Adoption Rises under Threat of New Risks and Regulation. Javeling. URL: https://fidoalliance.org/specifications/download/ (дата обращения 20.04.2021).
15. Сабанов А.Г. Актуальные проблемы идентификации и аутентификации при удаленном электронном взаимодействии // Методы и технические средства обеспечения безопасности информации. 2015. № 24. С. 148–149.
16. Сабанов А.Г. Формирование уровней доверия к идентификации и аутентификации субъектов при удаленном электронном взаимодействии // Электросвязь. 2015. № 10. С. 46–51.
17. Сабанов А.Г. Вопросы идентификации и аутентификации в информационных системах общего использования // Информиационно-измерительные и управляющие системы. 2013. Т. 11, № 7. С. 81–84.
18. Сабанов А.Г. Об аутентификации при организации доступа к «облачным» сервисам в информационных системах общего пользования // Вопросы защиты информации. 2012. № 4. С. 50–58.
19. Смит Р.Э. Аутентификация: от паролей до открытых ключей. М.: Вильямс, 2002, 432 с.
20. Запечников С.В., Милославская Н.Г., Толстой А.И., Ушаков Д.В. Информационная безопасность открытых систем. В 2 т. Т. 1. М.: Горячая линия — Телеком, 2006. 536 с.
21. Сабанов А.Г. Многоуровневый анализ угроз безопасности процессов аутентификации // Вопросы защиты информации. 2014. № 1. С. 13–22
22. Directive 1999/93/EC of the Parliament and the Council on a Community Framework for Electronic Signatures // Official Journal of European Communities. URL: https://eur-lex.europa.eu/eli/dir/1999/93/oj (дата обращения 19.07.2021)
23. Сабанов А.Г. Уровни доверия к аутентификаторам // Вопросы защиты информации. 2019. № 2. С. 10–17.
24. Сабанов А.Г. Аутентификация как часть единого пространства доверия / А.Г. Сабанов // Электросвязь. 2012. № 8. С. 40–44.
25. Сабанов А.Г. Формирование уровней доверия к идентификации и аутентификации субъектов при удаленном электронном взаимодействии // Электросвязь. 2015. № 10. С. 46–51
26. Сабанов А.Г. Такая разная идентификация // BIS Journal. 2017. № 2. С. 46–47.
27. Сабанов А.Г. Обзор технологий идентификации и аутентификации // Документальная электросвязь. 2006. № 17. С. 23–27.
28. Сабанов А.Г. Уровни доверия к результатам идентификации и аутентификации субъекта доступа в период цифровой трансформации // Вопросы кибербезопасности. 2019. № 5. С. 19–25
29. Сабанов А.Г. Критерии доверия к результатам идентификации субъектов доступа // Электросвязь. 2019. № 3. С. 38–44.
30. Сабанов А.Г. Вопросы доверия к результатам аутентификации субъекта доступа // Методы и технические средства обеспечения безопасности информации. 2019. № 28. С. 57–59.
31. Сабанов А.Г. Методика идентификации рисков процессов аутентификации // Доклады Томского государственного университета систем управления и радиоэлектроники. 2013. № 4. С. 136–141.
32. Сабанов А.Г. Анализ рисков аутентификации при удаленном электронном взаимодействии // Методы и технические средства обеспечения безопасности информации. 2014. № 23. С. 53
33. Сабанов А.Г., Шубинский И.Б. Метод анализа технологических рисков первичной идентификации субъектов доступа // Инсайд. Защита информации. 2020. № 3. С. 57–61.
34. Минаев В.А., Королев И.Д., Сабанов А.Г. Оценка рисков идентификации и аутентификации субъектов электронного взаимодействия // Вестник УрФО. Безопасность в информационной сфере. 2018. № 3. С. 43–49.
35. Сабанов А.Г. Анализ применимости методов оценки рисков к процессам аутентификации при удаленном электронном взаимодействии // Электросвязь. 2014. № 2. С. 180–184.