Системы аутентификации. Службы каталогов (Active Directory, NDS). Kerberos и RADIUS. Назначение службы каталогов

3.14. Системы аутентификации.. Службы каталогов (Active Directory, NDS). Kerberos и RADIUS.

Большинство пользователей путают аутентификацию с идентификацией. Наверное, это происходит из-за сходства названий этих процедур. Однако суть их совершенно различна. Если говорить официальным языком, то идентификация - это точное установление личности пользователя на основании различных признаков. А аутентификация - процедура проверки прав пользователя на доступ к информации или выполнение определенных действий. То есть фактически эти процессы отвечают на разные вопросы. Проведение идентификации позволяет системе убедиться, что за компьютером сидит действительно Пупкин Иван Иванович. Ну а аутентификация не может определить личность пользователя, зато может точно указать, какими правами он обладает. Правда, в современных системах все чаще и чаще встречается совмещение обеих процедур. То есть сначала определяется личность пользователя, а потом устанавливается, какими правами он обладает. И это совмещенное действие тоже стали называть аутентификацией.

Ну а теперь, когда мы узнали, что такое аутентификация, давайте попробуем разобраться, какая она бывает. Существует три основных признака, по которым эти процессы делятся на разные классы. Первый из них - это способ аутентификации. На сегодняшний день существует три самых распространенных варианта. Первый - это парольная аутентификация. Здесь все очень просто. Человек, перед тем как начать работать с системой, вводит свой персональный пароль, на основании которого и определяются его права на выполнение тех или иных операций. Наиболее простой и привычный всем пример парольной аутентификации - вход в операционные системы семейства Windows.

Но, несмотря на простоту, у использования паролей есть целый ряд недостатков. И самый главный из них - относительно низкая надежность. Нет, конечно, если использовать правильные ключевые слова и соблюдать все меры предосторожности, то можно ни о чем не беспокоиться. Вот только в подавляющем большинстве случаев выполнение этих условий невозможно. И действительно, ну как можно объяснить пользователю, что в качестве пароля нужно использовать сочетание символов наподобие "uA#821mSi-3kz", а не свое имя, фамилию или кличку любимой кошки? Правда, некоторые люди сразу проникаются пониманием и заботой о безопасности информации, а поэтому соглашаются на использование надежных ключевых слов. Вот только они тут же, чтобы не забыть сложный пароль, записывают его на бумажку, которую "прячут" под клавиатуру! Вот уж действительно - и смех, и грех.

Второй способ аутентификации - имущественная. То есть система определяет права пользователя на основании специального защищенного носителя информации (токена), которым обладает последний. На сегодняшний день существует огромное количество всевозможных токенов. Это и самые удобные, получившие наибольшее распространение USB-ключи, и всевозможные карты (магнитные, смарт-карты, карты Виганда и т. п.), и электронные "таблетки" (специальные миниатюрные микросхемы, заключенные в корпус, похожий на таблетку), и многие другие устройства. В принципе, для имущественной аутентификации совсем не обязательно использование токенов. Некоторые системы позволяют работать с обычными дискетами или компакт-дисками, на которых хранится ключевая информация.

Имущественную аутентификацию от парольной отличает гораздо большая надежность. И действительно, на токен можно записать ключевое слово любой сложности. Пользователю уже не нужно будет запоминать его и каждый раз вводить, вполне достаточно просто подсоединить устройство к компьютеру. Однако есть в этом удобстве и один изъян. Речь идет о том, что злоумышленнику достаточно своровать, забрать