9.1. Kirishni boshqarishning to'rt bosqichi
To'rt bosqichning mohiyati
Oldingi bobda identifikatsiya va autentifikatsiya tushunchalari qisqacha ajratilgan edi. Endi ularni kirishni boshqarishning yaxlit jarayoni doirasida ko'rib chiqamiz. Bu jarayon to'rt bosqichdan iborat bo'lib, xalqaro adabiyotda ularning inglizcha nomlari bir xil harf bilan boshlangani uchun to'rt A modeli deb ham yuritiladi (9.2-rasm).
Identifikatsiya (identification). Bu bosqichda subyekt o'zini tanishtiradi, ya'ni «men falonchiman» degan da'voni bildiradi. Amalda bu login kiritish, ID-kartani ko'rsatish yoki xodim raqamini aytish bo'lishi mumkin. Muhim jihat shundaki, identifikator maxfiy emas: uni boshqalar bilishi mumkin va bu xavfsizlikni buzmaydi. Masalan, elektron pochta manzili ham identifikator bo'lib xizmat qiladi va u odatda hammaga ma'lum.
Autentifikatsiya (authentication). Bu bosqichda tizim bildirilgan da'voni tekshiradi, ya'ni subyekt haqiqatan o'zi aytgan shaxs ekaniga ishonch hosil qiladi. Buning uchun subyekt faqat o'ziga tegishli bo'lgan narsani ko'rsatishi kerak: parolni bilishi, tokenga egalik qilishi yoki biometrik belgisini taqdim etishi lozim. Identifikatsiyadan farqli o'laroq, autentifikatsiya vositasi maxfiy bo'lishi shart.
Avtorizatsiya (authorization). Shaxs tasdiqlangandan keyin tizim uning qaysi resursga va qanday huquq bilan kirishini belgilaydi. Muhim jihat shundaki, muvaffaqiyatli autentifikatsiya avtomatik ravishda kirish huquqini bermaydi: xodim kim ekani tasdiqlangan bo'lishi mumkin, biroq unga muayyan hujjatga kirish huquqi berilmagan bo'lsa, avtorizatsiya bosqichida rad javobi beriladi. VII-bobda ko'rilgan kamida imtiyoz tamoyili aynan shu bosqichda amalga oshiriladi.
Hisobga olish (accounting). Oxirgi bosqichda resursdan foydalanish qayd etib boriladi: kim, qachon, qaysi resursga kirgani va qanday amal bajargani jurnalga yoziladi. Bu bosqich hujumning oldini olmaydi, biroq uni aniqlash va tergov qilish imkonini beradi. VII-bobda ko'rilganidek, jurnal yuritishning o'zi yetarli emas: jurnallar muntazam tahlil qilinishi kerak.
Ushbu to'rt bosqich ketma-ket bajariladi va har biri oldingisiga tayanadi. Autentifikatsiyasiz avtorizatsiya ma'nosiz, chunki tizim kimga huquq berayotganini bilmaydi. Hisobga olish esa autentifikatsiyasiz foydasiz, chunki jurnalda qayd etilgan harakat kimga tegishli ekani noaniq qoladi. Shu sababli bu bosqichlarni bir-biridan ajratib qo'llash mumkin emas.
Bosqichlarning farqini kundalik misolda ko'rish oson. Ofisga yetkazib beruvchi kelganda, u o'z xizmat guvohnomasini ko'rsatadi (identifikatsiya). Qorovul guvohnomani tekshiradi va rasmni yuz bilan solishtiradi (autentifikatsiya). So'ngra u yetkazib beruvchiga faqat qabulxonagacha kirishga ruxsat beradi, server xonasiga esa yo'l qo'ymaydi (avtorizatsiya). Nihoyat, tashrif kitobiga kelgan vaqt va shaxs yoziladi (hisobga olish).
Autentifikatsiya omillari
Autentifikatsiya bosqichida foydalaniladigan barcha vositalarni uch guruhga, ya'ni omilga ajratish mumkin. Ushbu tasnif butun bob uchun asosiy bo'lgani sababli uni aniq o'zlashtirish muhim (9.1-jadval).
Omil | Mohiyati | Misollar | Asosiy zaifligi |
|---|---|---|---|
Bilim omili («bilaman») | Faqat foydalanuvchi biladigan ma'lumot | Parol, PIN-kod, grafik naqsh | Unutiladi, taxmin qilinadi, o'g'irlanadi yoki og'zaki oshkor etiladi |
Egalik omili («menda bor») | Faqat foydalanuvchida bo'lgan buyum | Smart-karta, USB-token, OTP-token, smartfon | Yo'qoladi, o'g'irlanadi, ba'zi turlari nusxalanadi |
Biologik omil («o'zim») | Foydalanuvchining o'ziga xos jismoniy yoki xulq-atvor belgisi | Barmoq izi, yuz, ko'z pardasi, ovoz | O'zgartirib bo'lmaydi; sizib chiqsa, almashtirilmaydi |
9.1-jadval. Autentifikatsiya omillarining tasnifi (Ganiyev, CS161 va SecurityTolboom asosida).
Har bir omilning o'z kuchli va zaif tomoni bor va hech biri mukammal emas. Aynan shu sababli zamonaviy tizimlarda ular birgalikda qo'llaniladi. Bu masala 9.4-§da batafsil ko'rib chiqiladi. Ba'zi manbalarda qo'shimcha omillar ham keltiriladi, masalan foydalanuvchining joylashuvi yoki kirish vaqti, biroq ular odatda mustaqil omil emas, balki qo'shimcha shart sifatida ishlatiladi.
Amaliy misol
Otabek «Raqamli Yechim»ning hujjat tizimini tekshirib, bir kamchilikni aniqlaydi: tizim faqat ikki bosqichni bajarardi, ya'ni foydalanuvchini tanib olardi va parolni tekshirardi, biroq undan keyin har qanday xodim istalgan hujjatga kira olardi. Ya'ni avtorizatsiya bosqichi umuman yo'q edi. Bundan tashqari, kim qaysi hujjatni ochgani hech qayerda qayd etilmasdi, ya'ni hisobga olish ham bajarilmasdi. Otabek ikki o'zgarish kiritadi: hujjatlarga kirish huquqlari bo'limlar bo'yicha taqsimlanadi va har bir ochilish jurnalga yoziladi. Endi to'rt bosqichning barchasi ishlaydi.
Kasbiy vaziyat
Bekzod savol beradi: «Xodim tizimga parol bilan kirgan bo'lsa, u ishonchli shaxs-ku. Nega har bir hujjat uchun yana huquq tekshirish kerak?» Otabek javob beradi: autentifikatsiya faqat bitta savolga javob beradi, ya'ni «bu kim?» degan savolga. Ikkinchi savol, ya'ni «bu shaxsga nima ruxsat etilgan?» degan savol butunlay boshqa masala. Buxgalter kompaniyaning haqiqiy xodimi, biroq unga dastur manba kodiga kirish kerak emas. Bundan tashqari, xodimning hisobi buzilsa yoki paroli o'g'irlansa, avtorizatsiya cheklovlari zararni faqat bir bo'lim doirasida ushlab qoladi. Shu sababli ikki bosqichni aralashtirib yuborish keng tarqalgan va xavfli xato hisoblanadi.
Amaliy topshiriq
Kundalik hayotdan uchta vaziyatni tanlang (masalan, bankomatdan pul yechish, universitetga kirish, onlayn do'kondan xarid qilish). Har bir vaziyat uchun to'rt bosqichni aniqlang: identifikatsiya qanday amalga oshadi, autentifikatsiya qanday vosita bilan bajariladi, avtorizatsiyada qanday cheklov qo'yiladi va hisobga olish qanday yuritiladi. Natijani to'rt ustunli jadval ko'rinishida rasmiylashtiring. Agar biror bosqich mavjud bo'lmasa, buni alohida qayd eting va bu qanday xavf tug'dirishini bir jumlada yozing.
Nazorat savollari
- 1Kirishni boshqarishning to'rt bosqichini sanang va har birining vazifasini bir jumlada tushuntiring.
- 2Identifikator nima uchun maxfiy bo'lishi shart emas, autentifikatsiya vositasi esa maxfiy bo'lishi kerak?
- 3Muvaffaqiyatli autentifikatsiya nima uchun avtomatik ravishda kirish huquqini bermaydi?
- 4Hisobga olish bosqichi qanday vazifani bajaradi va u qaysi bosqichga tayanadi?
- 5Autentifikatsiyaning uch omilini sanang va har biriga ikkitadan misol keltiring.