Определение критериев оценки для подбора оптимального метода аутентификации

В информационных системах хранится, обрабатывается, циркулирует различная информация, потеря или искажение которой может нанести существенный вред. [1, c. 54] Обеспечить открытость информационной системы, не потеряв защищенности, можно лишь строго идентифицируя удаленную сторону. Информационная инфраструктура компании перестала быть сугубо внутренней: усиливаются требования к гибкости и удаленной работе, происходит предоставление доступа в информационные системы для клиентов и поставщиков.

В данной статье будут рассматриваться следующие способы: аутентификации многоразовый пароль, одноразовый пароль, PIN-код, графический пароль, биометрическая аутентификация. При выборе метода аутентификации, следует представлять принципиальные различия технологий и их реализаций в плане адекватности решаемой задачи. На основании критериев можно провести сравнительную оценку различных технологии аутентификации.

В итоге было сформировано 12 критериев, в соответствии с которыми происходит оценка методов аутентификации (Таблица 1):

1. Метод ввода
2. Требование необходимости наличия считывателей (дополнительных устройств)
3. Стойкость
4. Затраты на поддержку/внедрение
5. Сложность эксплуатации для пользователя
6. Применимость удалённой аутентификации
7. Вариативность настроек.
8. Вариативность стойкости от настроек
9. Наличие нормативной документации, регламентирующей данный метод.
10. Используемость на рынке
11. Долговечность аутентифицирующей информации
12. Возможность ошибок

Таблица 1

Сравнительный анализ методов аутентификации по критериям

Таблица 2

Соответствие качественной оценки критериев иколичественной оценки для расчетов

Механизмом исследования является разработка формальной или теоретико-множественной модели подбора наиболее оптимального метода аутентификации.

Необходимо рассмотреть следующие множества:

1. Множество вопросов Q = , где ,…, — требуемые вопросы пользователю;
2. Множество ответов = , где — множество ответов на -вопрос множества Q;
3. Множество критериев C = {}, где совокупность критериев.
4. Матрица соответствия вопросов и критериев , где
5. Множество методов аутентификации — S = {}.
6. Матрица соответствия , где где

Для выработки наиболее оптимального метода аутентификации под заданные требования необходимо получить ответы на заданные вопросы.

Таблица 3

Вопросы для подбора метода аутентификации

Для определения элементов из множества C и S (их совокупность будет являться результирующим множеством), необходима информация по результатам ответов на вопросы, то есть каждый ответ на вопрос является условием для выбора элемента из множества C и S.

Таблица 4

Результаты анализа методов аутентификации по вопросам

Модель подбора метода аутентификации строится по следующему плану:

1. Строится подмножество выбранных для сравнения критериев . Данное множество строится с таблицей 4 соответствия вопросов и критериев где i — вопрос, j — критерии. Если ответ k на вопрос i утвердительный , то мы учитываем данный критерий.
2. Определяется наилучший метод аутентификации как среднеарифметическое значений таблицы сравнений методов аутентификации по выбранным критериям , Лучший метод аутентификации определяется как для каждого метода аутентификации, где критерии определяются из подмножества , — мощность множества , m — текущий метод аутентификации из множества S.

Таблица 5

Возможные ответы на вопросы

Вопросы аутентификации становится краеугольным камнем обеспечения информационной безопасности. Контроль доступа, шифрование, межсетевые экраны, VPN — все основано на аутентификации пользователя, устройства или приложения, с которым устанавливается соединение, и если она ущербна, то упомянутые средства защиты бессмысленны. Статистика показывает, что наиболее распространенными являются атаки, реализуемые с помощью загрузки враждебного содержания. [2,c 152] Но методы простой аутентификации имеют ряд существенных недостатков, которые негативно влияют на обеспечение безопасности информации. Во избежание предоставления злоумышленнику потенциальной возможности для нарушения конфиденциальности, доступности и целостности в нашей системе, следует выполнять рекомендации по созданию и хранению пароля и использовать уже схемы строгой аутентификации.

1. Багров Е. В. Мониторинг и аудит информационной безопасности на предприятии. Вестник волгоградского государственного университета. Волгоград.: 2011, с.54.
2. Никишова А. В., Чурилина А. Е. Программный комплекс обнаружения атак на основе анализа данных реестра// Вестник ВолГУ. Серия 10. Инновационная деятельность. Выпуск 6. 2012 г. В.: Изд-во ВолГУ, 2012, стр. 152–155