Облачные вычисления (с англ. cloud computing) — это современная тенденция предоставления пользователю вычислительной мощности, хранилищ для БД, приложений и других ИТ‑ресурсов по требованию через Интернет с оплатой по факту использования. 

Эта технология имеет ряд преимуществ, таких как простота, гибкость, экономичность, высокая производительность и тд. Но с другой стороны подобный аутсорсинг ресурсов с удалённого сервера ставит под вопрос безопасность данного решения. В этом отношении наибольшее внимание уделяется проблемам контроля доступа и аутентификации в среде облачных вычислений.

Основные понятия Идентификатор — уникальная метка, присвоенная субъекту для того, чтобы отличить его от других. При регистрации субъекта его идентификатор записывается в базу данных как эталонный.

Идентификация — процедура распознавания субъекта путём сравнения предъявленного субъектом идентификатора с эталонным.

Аутентификация — процесс подтверждения подлинности субъекта. Производится с помощью подтверждения владения субъекта аутентификатором.

Аутентификатор (токен) — секрет, созданный и выданный субъекту в процессе его регистрации после идентификации.

Электронное удостоверение (электронная подпись) — объект, который связывает между собой идентификатор, аутентификатор и субъект.

Авторизация — предоставление субъекту прав на доступ к запрашиваемому ресурсу.

Участники удалённой аутентификации Субъект — лицо, проходящее процедуру аутентификации. Например, это может быть пользователь.

Центр регистрации — выдаёт аутентификатор конкретному субъекту и фиксирует их связь.

Доверяющая сторона — владелец ресурса, к которому запрашивает доступ субъект. Он проверяет по протоколу аутентификации факт владения субъекта соответствующим аутентификатором.

Проверяющая сторона (центр валидации) — выполняет проверку связи «субъект — аутентификатор» на валидность. Например, проверка: является ли электронное удостоверение действительным на момент проверки.

Центр регистрации, Доверяющая сторона и Проверяющая сторона могут быть объединены в единую структуру.

Процессы удалённой аутентификации Регистрация — установление личности и регистрация аутентификатора, издание связанного с ним электронного удостоверения. Процедура осуществляется в ЦР. Протокол аутентификации — процедура проверки факта владения субъекта аутентификатором. Например, аналогом будет являться предоставление паспорта для идентификации личности. Аутентификатор может состоять из нескольких факторов и каждый фактор будет проверяться по своему протоколу — многофакторная аутентификация. Процедура осуществляется Доверяющей стороной. Валидация — процедура проверки подлинности и периода действия электронного удостоверения. Например, аналогом будет являться проверка действительности паспорта. Процедура осуществляется в ЦВ.

В общем случае процедуру аутентификации можно представить следующим образом. Субъект хранит аутентификатор на своей стороне. На сервере доверяющей стороны хранятся учётные записи. Субъект инициирует процедуру аутентификации и передаёт один или несколько факторов аутентификации доверяющей стороне. На основании механизма аутентификации и проверки на валидность принимается решение о подлинности субъекта. В случае положительного решения, субъект наделяется правами доступа, присвоенными для него доверяющей стороной, т.е происходит его авторизация.

Основные механизмы аутентификации

Аутентификация по паролю При регистрации пользователь в качестве своих учётных данных создаёт уникальную пару: логин/пароль, которая впоследствии будет использоваться для его идентификации и аутентификации в системе. Это самый слабый механизм идентификации и аутентификации.

Типология паролей Простой и удобный для запоминания пароль. Сложный пароль. Подразумевается, что он состоит из цифр, специальных символов, прописных и строчных букв. Временный пароль. Подразумевается, что пароль имеет некоторый срок действия, по истечении которого он становится не действительным. Одноразовый пароль (OTP). При каждом запросе доступа со стороны пользователя механизм OTP автоматически генерирует новый уникальный пароль, который может быть использован только один раз. Одноразовый пароль может быть отправлен пользователю посредством SMS или с помощью электронной почты. Зашифрованный пароль. Пароль шифруется на согласованном ключе и в зашифрованном виде пересылается серверу.

Использование паролей Единый пароль. Технология единого входа (Single sign-on, SSO) позволяет использовать один и тот же пароль для доступа к различным сторонним сервисам. Пользователь проходит аутентификацию через домен единовременно и получает доступ к ряду приложений и серверов, принадлежащих этому домену, используя один идентификатор. Множественные пароли. В зависимости от требований к конфиденциальности пароля пользователь может использовать разные пароли для доступа к разным сервисам. Пользователь проходит аутентификацию для каждого сервиса отдельно.

Аутентификация с помощью «Капча» или сканирования изображения

«Капча» «Капча» (от CAPTCHA — англ. Completely Automated Public Turing test to tell Computers and Humans Apart) - компьютерный тест, используемый для того, чтобы определить, кем является пользователь системы: человеком или компьютером.

Сканирование изображения Предполагается, к примеру, следующая ситуация. Пользователь запрашивает доступ к некоторому сервису с компьютера, но хочет подключиться к нему со своего смартфона. Тогда система отправляет на его компьютер сообщение, которое должно быть отсканировано этим смартфоном для прохождения аутентификации в этой системе.

Аутентификация по MAC — или IP — адресам

Аутентификация по MAC — адресу Данный метод позволяет аутентифицировать конкретное электронное устройство.

Аутентификация по IP — адресу Данный метод позволяет аутентифицировать сеть пользователя.

Биометрическая аутентификация Пользователь может быть аутентифицирован либо по его физическим характеристикам, таким лицо, отпечаток пальца, радужная оболочка глаза, либо по его поведенческим характеристикам, таким как жесты или подпись.

Шифрование данных Обмен информацией при аутентификации реализуется путём шифрования передаваемых данных с помощью специальных криптографических протоколов — протоколов аутентификации.

Двухфакторная и многофакторная аутентификация Двухфакторная и многофакторная типы аутентификации обеспечивают наиболее надёжный способ аутентификации с помощью использования комбинации двух и более факторов аутентификации, представленных выше.

Многоуровневая аутентификация Многоуровневая аутентификация повышает уровень безопасности аутентификации пользователя за счёт развёртывания данного процесса на трёх последовательных уровнях запрашиваемого сервиса:

1. ORGANIZATION LEVEL 

2. TEAM LEVEL

3. USER LEVEL

Ограничение по времени Если пользователь не может пройти проверку на подлинность в течение некоторого определённого периода времени, то его действие регистрируется как угроза. Пользователю будет отказано в доступе к запрашиваемому ресурсу.

Модели достижения аутентификации В настоящее время в облачных вычислениях огромную роль играет уровень доверия между пользователем ресурса и его поставщиком. Доверие является средством аутентификации. В зависимости от принятой в системе политики безопасности и уровня доверия пользователя к системе, аутентификация может быть либо принята, либо отклонена. Существует две модели доверия: Trust и Trusted third party.

Trust Trust — доверительные отношения между пользователем и поставщиком.

Trusted third party Trusted third party (TTP) — доверенная третья сторона — потребитель и поставщик доверяют некоторой третьей стороне обеспечение безопасности взаимодействие между ними. Эта сущность управляет аутентификацией, контролирует доступ к ресурсам и тд.

Основные механизмы аутентификации: преимущества и недостатки Модели и Механизмы АутентификацииПреимуществаНедостатки Механизмы аутентификацииПарольПростой пароль Модели и Механизмы АутентификацииЭкономически выгоден. Модели и Механизмы АутентификацииПрост в запоминании, использовании и хранении. Легко может быть угадан.Сложный пароль Практически не возможно угадать. Легко забывается. Неустойчив к взламывающим механизмам.Временный пароль Если нарушитель обнаружит пароль, то он сможет его использовать только ограниченный период времени. Пароль может быть взломан злоумышленником после каждого обновления.OTP Пароль не нуждается в запоминании. Пароль используется однократно. Пароль генерируется случайным образом. Пароль мало удобен в использовании. Злоумышленник может получить пароль первым.Зашифрованный пароль Модели и Механизмы АутентификацииПароль трудно перехватить и взломать. Модели и Механизмы АутентификацииЗлоумышленник может подсмотреть пароль при его вводе.Единый пароль Простая аутентификация. Легко запомнить пароль для различных сервисов. Взлом одного аккаунта подразумевает взлом всех аккаунтов пользователя единовременно.Множественный пароль Взлом одной учётной записи не влияет на другие. Пароль трудно запомнить.«Капча»

/Сканирование изображения«Капча» Контрмера против DoS — атак. Незащищённый метод.Сканирование изображения Простой и гибкий механизм аутентификации. Изображение может быть отсканировано с экрана вашего компьютера злоумышленником по соседству.MAC/IPMAC — адрес Простая фильтрация адресов. Аутентификация разрешена для ограниченного числа машин. Злоумышленник может непосредственно получить доступ к самой машине. Трудоёмкий процесс для большой сети.IP — адрес Прост в использовании. Подключение к ресурсу из другой сети становится проблемой.БиометрияРаспознавание по лицу Не требует запоминания. Пароль требует учёта различных вариаций вызванных следующими факторами: макияж, эмоции, старение. Легко подделывается. Необходимо иметь камеру.Радужная оболочка глаза Наименее обязывающее решение. Злоумышленник может сфотографировать узор глазной сетчатки и использовать его. Необходимо иметь специальное устройство для сканирования радужной оболочки глаза.Отпечатки пальцев Наименее обязывающее решение. Быстрая обработка данных. Пальцы могут быть травмированы. Необходимо специальное устройство для сканирования отпечатков пальцев.Жесты Простой в использовании. Необходимо иметь камеру.Подпись Легко запомнить. Необходимо иметь сенсорный экран. Почерк меняется с течением времени.Шифрование данных Высокоуровневая аутентификация. Время вычисления. Невозможно управлять и проверять клиентский запрос одновременно.Многофакторная аутентификация Сильная аутентификация. Сложный.Многоуровневая аутентификация Аутентификация производится на нескольких уровнях. Проблемы с аутентификацией на высоком уровне (организационный) влияют на аутентификацию всех пользователей.Ограничение по времени Защита пользовательских учётных записей. При условии аутентичности, у пользователя могут возникнуть трудности с подключением, что может привести к отказу в предоставлении прав к ресурсу.Модели достижения аутентификацииTrust Управление аутентификацией, с учётом интересов и поведения пользователя. Поведение пользователя может меняться с течением времени.TTP Управление аутентификацией третьей нейтральной стороной. Сложность выбора третьей стороны в качестве доверенного лица.

Классификация моделей аутентификации в контексте облачных вычислений Выше были рассмотрены общие методы аутентификации, их недостатки и преимущества. Из этих данных следует вывод, что некоторые механизмы аутентификации могут быть использованы независимо от типа облака, в то время как другие применяются только в определённых типах облаков. Это связано с тем, что каждый тип облака имеет свои особенности, которые необходимо учитывать при выборе соответствующего механизма. Предлагаемая классификация представлена ниже.

Общие механизмы аутентификации Общие механизмы аутентификации включают использование пароля, капчи, сканирования изображений, шифрования и ограничения по времени.

Аутентификация по паролю