Перевод в 2020 г. во время карантинных мероприятий основных финансовых потоков в цифровое пространство способствовал значительному росту финансового ущерба [1−6]. Одним из действенных методов хищения личных данных или денежных средств является компьютерная атака типа «человек посередине», направленная на подмену доверенного пользователя. Успех данной атаки обусловлен тем, что злоумышленники способны определить и воспользоваться уязвимостями алгоритмами аутентификации [7−13]. Для устранения указанной угрозы и повышении защищенности корпоративной сети связи (КСС) разработан алгоритм, предназначенный для адаптивного управления удаленной аутентификацией субъектов и объектов при удаленном доступе пользователей к информационным ресурсам ограниченного доступа, а также установления оперативного и служебного обмена данными и позволяет обеспечить выполнение требований к процедурам аутентификации в различных условиях функционирования КСС [14−20].
Целью алгоритма является:
1. Выбор метода аутентификации – 
под различные ситуации 
,
.
2. Выбор периодичности проведения аутентификации от 0…k для сложившейся ситуации ,.
3. Обоснование выбора параметров аутентификации (V – объем аутентифицирующей информации, 
– вероятность правильной аутентификации, 
ошибки 1 и 2 рода) под различные ситуации 
.
4. Управление порядком взаимодействия с осуществлением третьей доверенной стороны (ТДС) и без нее под ситуации .
В настоящее время для КСС используются протоколы NTLM, RADIUS, IPSec и др., которые реализуют процедуры аутентификации, но при этом не позволяют реализовать адаптацию с учетом различных ситуаций и условий функционирования сети. На рис. 1 представлена удаленная аутентификация с использованием каналов ЕСЭ РФ и хранением аутентификационной информации (эталонов) непосредственно на сервере с информационным ресурсом. В данной ситуации воздействовать на процедуры аутентификации за пределами контролируемой зоны может внешний нарушитель типа Н1, Н5.
На рис. 2 представлена удаленная аутентификация с использованием каналов ЕСЭ РФ с привлечением ТДС. Особенностью использования ТДС наряду с тем, что аутентификация субъектов и объектов осуществляется на ней, также имеет место при проведении подлинности самой третьей доверенной стороны.
Таким образом, учитывая ситуации , возникает задача по выбору применения методов (способов) аутентификации (табл. 1) [21].
Таблица 1
Существующие методы и процедуры аутентификации и их характеристики
|
Название метода |
Вид процедуры |
Значение |
Вероятность правильной аутентификации |
Ошибка 1 рода |
Ошибка 2 рода |
|
Биомет-рические методы |
Отпечаток пальца |
234 421 байт (228 бит (нейросеть)) |
0,998 |
0,01 |
0,3 |
|
Голос |
от 2 до 20 Кбайт |
0,982 |
0,35 |
0,1 |
|
|
Радужная оболочка |
11 921 байт |
0,99925 |
0,1 |
0,05 |
|
|
Сетчатка глаза |
от 40 до 160 байт |
0,997995 |
0,001 |
0,4 |
|
|
Геометрия лица 2D |
419 430 байт |
0,987 |
0,1 |
0,25 |
|
|
Геометрия лица 3D |
838 860 байт |
0,9994615 |
0,0047 |
0,103 |
|
|
Геометрия руки |
от 9 до 1000 байт |
0,999 |
0,1 |
0,1 |
|
|
Ручная подпись |
40 бит (5 букв) |
0,999865 |
0,015 |
0,012 |
|
|
Пароль |
Символы |
от 4 байт |
|
н/о |
|
|
Цифры |
от 4 байт |
|
н/о |
|
|
|
Символы + Цифры |
от 4 байт |
|
н/о |
|
|
|
С+Ц+Спец знаки |
от 4 байт |
|
н/о |
|
|
|
Хэш |
Цифровой код |
128 - 2048 бит |
|
н/о |
н/о |
|
Токен |
Цифровой код |
32 бит + 256 бит |
Зависит от реализации устройства |
н/о |
н/о |
|
Смарт карта |
Цифровой код |
4 байта + 256 бит |
Зависит от реализации устройства |
н/о |
н/о |
|
Электрон-ная подпись |
Цифровой код |
512 - 1024 бит |
|
н/о |
н/о |
|
Сертифи-кат |
Сертификат X.509 |
920 байт – 1,5 Кбайт (ЭП 512 - 1024 бит) |
Зависит от вероятности ошибки в канале связи |
н/о |
н/о |
Рассматривая удаленную аутентификацию и процедуры, которые могут использоваться в зависимости от условий, необходимо учесть не только выполнение требований по правильной аутентификации 
, но и своевременность выполнения сеанса связи 
, а также учесть возможности сети по пропускной способности информационного направления и реализовать оптимальную периодичность проведения аутентификации. При допущении на выполнение процедур аутентификации может быть выделено не более 3−5% от информационного обмена 
[22−26]. Данное допущение обусловлено периодической аутентификацией на уровне объект – объект, которым является протокол IPSec, где на аутентификацию от общего размера IP-пакета выделяется от 3–5% 
от общего объема оперативных и служебных данных в зависимости от режима работы протокола (транспортный или туннельный). На рис. 3 представлен обобщенный алгоритм адаптивного управления удаленной аутентификацией.
В блоке 1 вводятся исходные данные по существующей ситуации, условиям и характеристикам сети.
В блоке 2 производится формирование требований к процедурам удаленной аутентификации по своевременности и вероятности правильной аутентификации 
, 
.
В блоке 3 производится комплексирование процедур аутентификации (табл. 1) для протоколов удаленной аутентификации.
В блоке 4 производится сравнение конечного количества возможных вариантов. В случае, если перебор всех вариантов не окончен, то происходит дальнейшее комплексирование и переход к блоку 3. Если перебор всех вариантов окончен, то осуществляется их оценка по своевременности выполнения в протоколах удаленного взаимодействия.
В блоке 5 производится расчет времени выполнения процедур аутентификации и оптимальной периодичности.
В блоке 6 производится сравнение выполненного протокола со всеми процедурами аутентификации по критерию своевременности 
. Если выполненный протокол удовлетворяет критерию, то осуществляется переход к блоку 8. Если нет, то осуществляется переход к блоку 7. Кроме того, необходимо увеличить пропускную способность и перейти к блоку 1.
Зная объем аутентификационной информации, которую можно вводить в трафик, можно определить оптимальный период выполнения аутентификации. Исходя из заданного объема аутентификационной информации, можно определить количество процедур, что позволяет повысить вероятность правильной аутентификации. Зная характеристики оперативного трафика с заданной вероятностью правильной аутентификации, возможно определить пропускную способность канала.
В блоке 9 производится расчет вероятности правильности аутентификации процедур для различных ситуаций .
В блоке 10 производится сравнение полученных данных по вероятности правильной аутентификации с требуемой .
На рис. 4 представлен возможный максимальный порог для различных условий. Если требование не выполняется, происходит переход к блоку 11 (уточнение требований к аутентификации), в случае выполнения требования –переход к блоку 12.
В блоке 12 происходит использование процедур аутентификации на заданном информационном направлении с оптимальной периодичностью. На рис. 4 представлен условный порог по вероятности правильной аутентификации для различных условий и фиксированных параметров трафика.
Представленный алгоритм управления аутентификацией в корпоративных сетях связи позволит оптимально выбрать необходимые процедуры аутентификации для различных ситуаций и условий с требуемой вероятностью правильной аутентификации, своевременностью и возможностью оптимальной периодичности, что снижает угрозу подмены субъектов и объектов аутентификации при их взаимодействии [27−29].
