Identifikatsiya va autentifikatsiya

2013-yil oktabr oyida Adobe kompaniyasi jiddiy hujumga uchradi. Tajovuzkorlar uning tizimidan foydalanuvchilar ma'lumotlar bazasini o'g'irlab ketishdi. Bazada 153 milliondan ortiq hisob yozuvi bor edi va har bir yozuvda foydalanuvchining identifikatori, elektron pochta manzili, himoyalangan parol hamda parolga beriladigan maslahat saqlanardi. Voqeaning ko'lami o'z-o'zidan katta edi, biroq mutaxassislarning e'tiborini boshqa narsa tortdi: parollar qanday saqlanganligi.

Oldingi bobda ko'rganimizdek, parollarni to'g'ri saqlashning yagona yo'li ularni tuz qo'shib xeshlashdir, chunki xesh bir tomonlama funksiya bo'lib, undan parolni tiklab bo'lmaydi. Adobe esa boshqa yo'l tutgan edi: u parollarni xeshlash o'rniga shifrlagan, ustiga-ustak buni 3DES algoritmining elektron kodlar kitobi (ECB) rejimida bajargan. Bu rejimning zaifligi VIII-bobda ko'rilgan edi: bir xil kirish har doim bir xil natija beradi. Amalda bu shuni anglatardiki, bir xil parol tanlagan minglab foydalanuvchi bazada aynan bir xil shifrmatn bilan yozilgan bo'lardi.

Ikkinchi xato birinchisidan ham og'irroq bo'ldi. Parolga beriladigan maslahatlar umuman himoyalanmagan, ya'ni ochiq matnda saqlangan edi. Ko'plab foydalanuvchilar esa maslahat maydoniga parolning o'zini yoki unga juda yaqin ishorani yozib qo'ygan edi. Natijada tahlilchi bir xil shifrmatnga ega minglab yozuvni yonma-yon qo'yib, ulardagi ochiq maslahatlarni o'qish orqali parolni taxmin qila olardi. Xavfsizlik tadqiqotchisi bu usul bilan bazadagi eng ko'p uchraydigan yuzta parolni bir necha soat ichida aniqlaganini aytadi.

Voqea jamoatchilikda keng muhokama qilindi va mashhur veb-komiks muallifi uni «jahon tarixidagi eng katta krossvord» deb atadi: har bir yozuv alohida ma'noga ega bo'lmasa-da, ularni birgalikda qo'yganda javob o'zidan o'zi ochilardi. Adobe keyinchalik asosiy tizimida parollar tuz qo'shib SHA-256 bilan xeshlanganini, sizib chiqqan baza esa ishdan chiqarilishi rejalashtirilgan zaxira tizim ekanini bildirdi. Biroq foydalanuvchilar uchun bu tafsilot ahamiyatsiz edi.

Ushbu voqea ushbu bob uchun uchta xulosa beradi. Birinchidan, autentifikatsiya tizimining kuchi foydalanuvchi ko'radigan kirish oynasida emas, balki parol qanday saqlanishida yotadi. Ikkinchidan, xavfsizlikda tizimning eng zaif qismi butun himoyani belgilaydi: Adobe holatida bu asosiy tizim emas, unutilgan zaxira tizim bo'ldi. Uchinchidan, foydalanuvchining o'zi ham himoyaning bir qismidir: ko'pchilik bir xil oddiy parolni tanlagani va maslahat maydoniga parolni yozgani hujumni osonlashtirdi. Ushbu bobda aynan shu uch masala, ya'ni parolni to'g'ri saqlash, autentifikatsiyani ko'p qatlamli qurish va foydalanuvchi omilini hisobga olish ketma-ket ko'rib chiqiladi.

«Raqamli Yechim» MChJ ssenariysi davom etadi. Kompaniya o'sib borgani sari uning ichki tizimlari soni ham ko'paydi: hujjat almashish tizimi, loyihalarni boshqarish vositasi, korporativ pochta, ma'lumotlar bazasi va mijozlar uchun veb-xizmat. Har bir tizimda xodimlar alohida hisob va alohida parolga ega. Natijada bir necha muammo yuzaga keldi.

Birinchi muammo parollar bilan bog'liq. Xodimlar ko'p sonli parolni eslab qololmagani uchun ularni soddalashtira boshladi yoki bir xil parolni hamma joyda ishlatdi, ba'zilari esa parolni qog'ozga yozib, monitor yoniga yopishtirib qo'ydi. Ikkinchi muammo, parol yakka o'zi yetarli himoya bermasligi: agar parol biror yo'l bilan oshkor bo'lsa, tizimga kirish uchun boshqa hech qanday to'siq qolmaydi. Uchinchi muammo boshqaruvga tegishli: yangi xodim kelganda unga beshta tizimda alohida hisob ochish, ishdan bo'shaganda esa beshtasini alohida yopish kerak bo'ladi va bu jarayonda xato qilish ehtimoli yuqori.

Axborot xavfsizligi mutaxassisi Otabek bu masalalarni bosqichma-bosqich hal qilishga qaror qiladi. Birinchi bosqichda u parol siyosatini zamonaviy talablarga moslashtiradi. Ikkinchi bosqichda ko'p omilli autentifikatsiyani joriy etadi. Uchinchi bosqichda esa yagona kirish tizimiga o'tishni rejalashtiradi, toki xodim bir marta tizimga kirib, barcha xizmatlardan foydalana olsin (9.1-rasm). Dasturchi Bekzod bu yechimlarni amalga oshirish bilan shug'ullanadi.

Ushbu bobda identifikatsiya va autentifikatsiya masalalari amaliy jihatdan ko'rib chiqildi. Oldingi bobda bu tushunchalarning ta'rifi berilgan edi, bu yerda esa ularni qanday amalga oshirish o'rganildi. Kirishni boshqarish to'rt bosqichdan iborat: identifikatsiya, autentifikatsiya, avtorizatsiya va hisobga olish. Har bir bosqich oldingisiga tayanadi, shu sababli birortasini o'tkazib yuborish butun tizimni zaiflashtiradi.

Parol eng keng tarqalgan autentifikatsiya vositasi bo'lib qolmoqda, biroq uning xavfsizligi ikki narsaga bog'liq: parolning o'zi qanday tanlanganiga va u tizimda qanday saqlanganiga. Kirish voqeasidagi Adobe hodisasi ikkinchi jihatning ahamiyatini aniq ko'rsatdi: parollar xeshlanish o'rniga qaytariladigan usulda shifrlangani va parol maslahatlari ochiq saqlangani millionlab foydalanuvchini xavf ostida qoldirdi. To'g'ri yondashuv, parolni tuz qo'shilgan va ataylab sekin ishlaydigan xesh-funksiya bilan saqlashdir. Parol siyosatida esa zamonaviy qarash o'zgardi: NIST SP 800-63B ning to'rtinchi tahriri tarkibiy talablar va majburiy davriy almashtirishdan voz kechib, uzunlik, stop-list bo'yicha tekshiruv va urinishlarni cheklashga urg'u beradi.

Biometrika qulaylik beradi va uni yo'qotib bo'lmaydi, biroq uning o'zgarmasligi jiddiy cheklov hisoblanadi: oshkor bo'lgan biometrik ma'lumotni parol kabi almashtirib bo'lmaydi. Autentifikatsiya qurilmalari kalitni o'z ichida saqlash orqali himoyani kuchaytiradi. Eng ishonchli yechim esa turli guruhdagi omillarni birlashtirish, ya'ni ko'p omilli autentifikatsiyadir.

Kirishni boshqarish modellari huquqlarni qanday belgilashni aniqlaydi. Amalda rolga asoslangan model eng keng qo'llaniladi, chunki u kamida imtiyoz tamoyilini joriy etishni soddalashtiradi. Unix fayl ruxsatlari esa bu tamoyilning operatsion tizim darajasidagi eng qadimiy va eng ko'p uchraydigan ifodasidir.

Veb-muhitda autentifikatsiya sessiya va cookie orqali saqlanadi, bu esa yangi xavf tug'diradi: sessiya identifikatori amalda vaqtinchalik kalit bo'lgani uchun uni o'g'irlagan tajovuzkor parolni bilmasdan ham tizimga kira oladi. Yagona kirish tizimlari boshqaruvni soddalashtiradi va ko'p omilli autentifikatsiyani joriy etishni osonlashtiradi, biroq markaziy hisobni himoyalash talabini keskin oshiradi. Korporativ muhitda esa katalog xizmatlari, Kerberos protokoli va identifikatsiyani boshqarish tizimlari birgalikda bitta maqsadga xizmat qiladi: to'g'ri shaxsga, to'g'ri huquqni, to'g'ri muddatga berish va bu jarayonni qayd etib borish.