Редактирование: UNИX, весна 2008, 03 семинар (от 16 мая)
Материал из eSyr's wiki.
Внимание: Вы не представились системе. Ваш IP-адрес будет записан в историю изменений этой страницы.
Правка может быть отменена. Пожалуйста, просмотрите сравнение версий, чтобы убедиться, что это именно те изменения, которые вас интересуют, и нажмите «Записать страницу», чтобы изменения вступили в силу.
| Текущая версия | Ваш текст | ||
| Строка 1: | Строка 1: | ||
= Об аутентификации вообще, что бывает, куда движется и почему светлого будущего нет = | = Об аутентификации вообще, что бывает, куда движется и почему светлого будущего нет = | ||
| - | + | == Пароли == | |
| - | + | Пароли это такая штука, которая считается с одной стороны дешёвой, с другой --- достаточно гибкой, чтобы применяться достаточно давно. Лектор работал в компании .., которая расскажет, что пароли на самом деле дороже, чем кажется, и полная стоимость владения выше, чем кажется, потому что возникают скрытые расходы, связанные с: пользователи теряют пароли, полиьзователи выбирают пароли, которые легко взломать, снижается ебибта. Те, кто имел дело с энтерпрайзными технологиями, знает, что сколь пользователей не лелеить, они всё равно их записывают на бумажке или забывают. Статистика: при смене пароля раз в 3 месяца на 100 пользователеей забывают по 5 польз. в месяц. | |
| - | + | ||
| - | Пароли это такая штука, которая считается с одной стороны дешёвой, с другой --- достаточно гибкой, чтобы применяться достаточно давно. Лектор работал в компании | + | |
| - | + | ||
| - | + | ||
В энтерпрайз-приложениях имеется несколько приложений, где каждое приложение имеет свои механихмы идентификации, что приводит либо к тому, что либо пользователь ставит везде один и тот же пароль, либо получается полная катовасия. В связи с этим в среднестат. энтерпрайзе поселяется компания, которая предлагает решений по восст. пароля. | В энтерпрайз-приложениях имеется несколько приложений, где каждое приложение имеет свои механихмы идентификации, что приводит либо к тому, что либо пользователь ставит везде один и тот же пароль, либо получается полная катовасия. В связи с этим в среднестат. энтерпрайзе поселяется компания, которая предлагает решений по восст. пароля. | ||
| - | Вот у нас есть LDAP, RADIUS, SAP, PeopleSoft, MainFrame, ад этим всем имеется middleware, в частности RecoveryAgent, который позв. восст. пароль. Для этого он долден ввести другой пароль, котрый он помнит ещё меньше. Поэтому внедряется validation solution, который позволит проидентифицировать пользователя. Для этого часто используются различные вопросы. Понятно, что стойкость подобныйх паролей ниже, чем стойкость сгенерированных паролей. Если для сгенерированных паролей количество вариантов достигает 2^32---2^48. Понятно, что ответ на вопрос --- слово. | + | Вот у нас есть LDAP, RADIUS, SAP, PeopleSoft, MainFrame, ад этим всем имеется middleware, в частности RecoveryAgent, который позв. восст. пароль. Для этого он долден ввести другой пароль, котрый он помнит ещё меньше. Поэтому внедряется validation solution, который позволит проидентифицировать пользователя. Для этого часто используются различные вопросы. Понятно, что стойкость подобныйх паролей ниже, чем стойкость сгенерированных паролей. Если для сгенерированных паролей количество вариантов достигает 2^32---2^48. Понятно, что ответ на вопрос --- слово. Дял повышения стойкости можно задать несколько вопросов. Как это выглядит: пользователь приходит на работу, его заставляют зайти на RecoveryAgent, и заставляют ответить на 20 вопросов. Когда он забыл пароль, то из этих 20 паролей ему предложат ответиьт на 5. Понятно, что это усложняет жизнь взломщику. |
Если мы посмотрим на эту схему, то согласимся, что стоимость владения действительно высока. | Если мы посмотрим на эту схему, то согласимся, что стоимость владения действительно высока. | ||
| - | Если же посмотрим на какие-то домашние внедрения, то стоимость влад. паролем дешёвая. Если программисты | + | Если же посмотрим на какие-то домашние внедрения, то стоимость влад. паролем дешёвая. Если программисты бьыли не криворукие, то мы сможем добиться унификации. |
| - | Какие следующие проблемы возн. с паролем: первые попытки организации удалённой работы с системой. Это подкл. через сети общего пользования к терм. системам. Как это было устроено: ... . Откуда здесь начались проблемы? во времена мультимлпексоров одной из расп. проблем было то, что если мы сбрасываем соединение, то удалённый модем иногда его не сбрабывал. Соответственно, шелл оставался, и следующий, кто туда подключался, мог попасть в этот шелл/терминал | + | Какие следующие проблемы возн. с паролем: первые попытки организации удалённой работы с системой. Это подкл. через сети общего пользования к терм. системам. Как это было устроено: ... . Откуда здесь начались проблемы? во времена мультимлпексоров одной из расп. проблем было то, что если мы сбрасываем соединение, то удалённый модем иногда его не сбрабывал. Соответственно, шелл оставался, и следующий, кто туда подключался, мог попасть в этот шелл/терминал поератора. |
| - | + | ||
| - | + | ||
Какая ещё существует опасность: начали появляться первые варианты vpn. Они делались средствами dumb-терминала. Как это делалось: пользователь звонил, набирал логин-пароль, и дальше был колбэк на известный номер. И тогда часть проблем решалась. Мы пришли к тому, что пароли у нас ненадёжные. Когда они ненадёжные, то их можно подслушать, корме того, есть более ... сетевые соед, и пончтно, что хочется перехватить пароль. Понятно, что мжно сделать пароль бесп. для атакующего. Первое: исп. одноразовых паролей --- s/key. Ссиетма s/key была придумана с тем, чтобы тот пароль, который мы ввели для аутент., больше никогда не исп. Как это работало: польз. создавал некий secret, который разделялсчя между ним и сервером. При этом не хотелось бы, чтобы секрет передавался открыто. Что можно сделаь: передавать хэш. И когда мы хотим ... . Суть остаётся такой: многократное хэширование и однообр. исп. одного хэша. | Какая ещё существует опасность: начали появляться первые варианты vpn. Они делались средствами dumb-терминала. Как это делалось: пользователь звонил, набирал логин-пароль, и дальше был колбэк на известный номер. И тогда часть проблем решалась. Мы пришли к тому, что пароли у нас ненадёжные. Когда они ненадёжные, то их можно подслушать, корме того, есть более ... сетевые соед, и пончтно, что хочется перехватить пароль. Понятно, что мжно сделать пароль бесп. для атакующего. Первое: исп. одноразовых паролей --- s/key. Ссиетма s/key была придумана с тем, чтобы тот пароль, который мы ввели для аутент., больше никогда не исп. Как это работало: польз. создавал некий secret, который разделялсчя между ним и сервером. При этом не хотелось бы, чтобы секрет передавался открыто. Что можно сделаь: передавать хэш. И когда мы хотим ... . Суть остаётся такой: многократное хэширование и однообр. исп. одного хэша. | ||
| Строка 25: | Строка 19: | ||
Эта система прижилась, использовалась почти везде, она очень хорошо работает. Если мы возьмём любой линукс, то там в дистрибутиве наверняка найдётся pam-skey. | Эта система прижилась, использовалась почти везде, она очень хорошо работает. Если мы возьмём любой линукс, то там в дистрибутиве наверняка найдётся pam-skey. | ||
| - | + | Тем не менее, пользователь может быть слишком туп, чтобы осилить такую схему. На том, что секретарь не может понять, что делать, многие сделать миллион долларов. В частности, фирма ... выпускала SecurID --- аппаратная реализация функции хеширования, которой на вход подавались iv + time. Эта штука выглядила как брелок. | |
| - | + | ||
| - | Тем не менее, пользователь может быть слишком туп, чтобы осилить такую схему. На том, что секретарь не может понять, что делать, многие сделать миллион долларов. В частности, фирма | + | |
... понятие двухфакторной аутентификации: то, что мы знаем (в частности то, что мы запомнили) и то, что мы имеем. Предполагается, что функция хэширования неизвестна. | ... понятие двухфакторной аутентификации: то, что мы знаем (в частности то, что мы запомнили) и то, что мы имеем. Предполагается, что функция хэширования неизвестна. | ||
| Строка 49: | Строка 41: | ||
Опять же представим, что мы энтерпрайз ... Администратор, исп. групповые политики, распространяет сертификат, подписанный VeriSign, потом, используя сертифиат, что это eBay, и ни у кого даже ворнинга не будет. | Опять же представим, что мы энтерпрайз ... Администратор, исп. групповые политики, распространяет сертификат, подписанный VeriSign, потом, используя сертифиат, что это eBay, и ни у кого даже ворнинга не будет. | ||
| - | Есть фирмы, в частности Cisco и | + | Есть фирмы, в частности Cisco и Bluecord(?), выпускают data leakage prevention решения. ... |
к чему мы пришли: не смотря на то, что вся эта картина хорошая и правильная, и сломать её нельзя, то как только она перетекает в область, когда изначального доверия нет, ничего хорошего нет. Поэтому, ... . | к чему мы пришли: не смотря на то, что вся эта картина хорошая и правильная, и сломать её нельзя, то как только она перетекает в область, когда изначального доверия нет, ничего хорошего нет. Поэтому, ... . | ||
| Строка 64: | Строка 56: | ||
В энтерпрайзе PKI рабочий. | В энтерпрайзе PKI рабочий. | ||
| - | |||
| - | == Галерея == | ||
| - | <gallery> | ||
| - | Image:Ivlad 1.JPG | ||
| - | Image:Ivlad 2.JPG | ||
| - | Image:Ivlad 3.JPG | ||
| - | Image:Ivlad 4.JPG | ||
| - | Image:Ivlad 5.JPG | ||
| - | Image:Ivlad frbrgeorge 1.JPG | ||
| - | Image:Desk_at_ivlad_lection_08_05_16_1.JPG | ||
| - | Image:Ebibta.JPG | ||
| - | Image:Ximaera 1.JPG | ||
| - | Image:Gq 1.JPG | ||
| - | Image:Gq 2.JPG | ||
| - | Image:At_ivlad_lection_08_05_16_1.JPG | ||
| - | Image:At_ivlad_lection_08_05_16_2.JPG | ||
| - | Image:At_ivlad_lection_08_05_16_3.JPG | ||
| - | </gallery> | ||
{{UNИX, весна 2008}} | {{UNИX, весна 2008}} | ||
{{Lection-stub}} | {{Lection-stub}} | ||
