Авторизация в системе безопасности windows это

Протоколы, составляющие основу процедуры

Аутентификация — это незаменимая процедура для каждого пользователя, компьютера и служебной учетной записи Windows, но ее механизм не изучается системными администраторами досконально. Каждый знает, что для регистрации в компьютере необходимо указать верный пароль, но многим ли известно, что происходит потом? Аутентификация Windows и связанные с ней протоколы активизируются каждый раз, когда пользователь, компьютер или служба регистрируются локально или на контроллере домена (DC). В данной статье речь пойдет сначала об основных принципах аутентификации Windows, а затем о связанных с ней протоколах. В заключение приводятся краткие рекомендации по повышению надежности процедуры аутентификации в сети Windows.

Аутентификация: общие принципы

Аутентификация представляет собой один из компонентов любой компьютерной системы управления доступом. Как показано на экране 1, системы управления доступом обеспечивают идентификацию, аутентификацию, авторизацию и отчетность.

Рисунок 1. Механизмы управления доступом и аутентификация Windows

Идентификация (identification). В процессе идентификации используется набор данных, который уникально идентифицирует объект безопасности (например, пользователя, группу, компьютер, учетную запись службы) в общей службе каталогов. Служба каталогов, такая как Active Directory (AD), позволяет уникально идентифицировать объекты, подобно тому как DNS удостоверяет, что два человека не могут иметь одинаковые адреса электронной почты. Во внутренних механизмах Windows используются SID, глобально уникальные идентификаторы (globally unique identifier, GUID) и другие уникальные тэги. В большинстве случаев для идентификации достаточно ввести уникальное имя учетной записи, такое как Rgrimes. В большом лесу AD приходится применять полные имена пользователей (user principal name, UPN), например rgrimes@banneretcs.com. При использовании смарт-карт субъект безопасности может представить свой цифровой сертификат или ключ.

Аутентификация или проверка подлинности (authentication). После того как субъект безопасности вводит с клавиатуры или иным способом предоставляет необходимую для идентификации информацию (например, имя пользователя, маркер безопасности), он должен ввести с клавиатуры или представить частную информацию для аутентификации (например, пароль и PIN-код). В Windows субъект безопасности вводит эту информацию на экране регистрации с помощью программ Microsoft Graphical Identification and Authentication DLL (msgina.dll) и Winlogon.exe. Протокол аутентификации и механизм системы кодируют представленную информацию на настольном компьютере и передают запрос аутентификации. Служба аутентификации Windows может быть базой данных SAM или AD. База данных SAM обслуживает локальные процедуры регистрации и регистрацию на контроллерах домена Windows NT 4.0. AD аутентифицирует запросы в Windows 2000 или доменах более поздних версий этой операционной системы. Протокол аутентификации (например, LAN Manager, NT LAN Manager, NTLM, NTLMv2, Kerberos) используется для транспортировки запросов аутентификации и последующих транзакций между экраном регистрации и службой аутентификации. Чуть ниже каждый протокол аутентификации будет рассмотрен отдельно.

Авторизация (authorization). Если служба аутентификации удостоверяет комбинацию идентификатора и «секретных» данных аутентификации, то подлинность субъекта безопасности считается успешно подтвержденной. Затем система собирает информацию о членстве субъекта безопасности (т. е. пользователя) в группах. Нередко пользователь принадлежит к нескольким точно определенным группам — локальным (local), доменным (domain local), глобальным (global) и универсальным (universal) — в результате обычных процедур назначения членства. Система сверяет локальные группы с локальной базой данных SAM и проверяет локальные и глобальные группы на контроллерах DC в домашнем домене пользователя, а также универсальные группы на DC, который содержит глобальный каталог Global Catalog. Прямо или косвенно система собирает все сведения о членстве в группах, чтобы получить информацию о разрешениях безопасности.

Сразу после аутентификации система собирает идентификаторы SID учетной записи и сведения о членстве в группах в объекте, называемом маркером доступа (access token). Возможно, пользователю придется выйти и вновь зарегистрироваться в системе, чтобы новые разрешения безопасности вступили в силу. Если пользователю нужно получить доступ к объекту (например, файлу, папке, принтеру, разделу реестра), защищенному разрешениями NTFS, то процесс (например, Windows Explorer), выступающий от имени пользователя, предоставляет свой маркер доступа. Каждый объект NTFS располагает списком элементов управления доступом (access control entry, ACE), которые, в сущности, представляют собой знакомые разрешения NTFS (например, Allow Read, Allow Write). Набор элементов ACE, назначенных пользователям и группам, составляет список управления доступом (ACL) данного объекта. Примечательно, что ACL объекта представлен разрешениями безопасности, которые можно просмотреть в Windows Explorer.

Маркер доступа, содержащий учетную запись и группы, с которыми связан пользователь, определяет эффективные разрешения пользователя. Процесс авторизации заключается в разрешении или отказе в доступе к определенному объекту на основе сравнения маркера доступа с ACL объекта. Авторизацию обеспечивает Security Reference Monitor системы Windows (экран 1). В примере, показанном на экране 1, пользователь имеет разрешения Read, Write и Modify. Однако группа Everyone, к которой принадлежит пользователь, не имеет разрешения Modify. Члены других групп располагают разрешениями Read и Modify, но разрешение Deny группы Everyone отменяет разрешение Modify. Объект также располагает списками ACL, которые отказывают в разрешении Full Control группе HR, но пользователь к этой группе не принадлежит. Таким образом, эффективные разрешения пользователя по отношению к объекту на экране 2 — Read и Write.

Отчетность (accounting). Если в Windows режим аудита активизирован, то система сохраняет событие аутентификации в журнале Security, и это последний компонент системы управления доступом — отчетность. Большинство сложных событий начальной регистрации и последующей авторизации происходят за несколько секунд и скрыты от пользователя. Все сложные операции возлагаются на протокол аутентификации.

Задачи протокола

Протокол аутентификации должен выполнять по крайней мере две задачи. Во-первых, он должен безопасно передавать транзакции от запросчика в базу данных аутентификации и на любой другой компьютер, на котором размещен соответствующий ресурс. Во-вторых, он должен безопасно и надежно хранить пароль или маркер. Последнее представляет особый интерес для взломщиков паролей. Протокол аутентификации должен защитить введенную пользователем информацию при пересылке в базу данных аутентификации (т. е. SAM или AD). Для этого протокол подписывает, скрывает или шифрует транзакцию. Кроме того, ей присваивается временная метка, чтобы взломщик не мог воспользоваться учетными данными в будущем. Чтобы не позволить немедленно извлечь пароль пользователя из базы данных, протокол должен обеспечить скрытное хранение паролей в базе данных аутентификации.

В течение более чем десяти лет протоколы аутентификации в основном обеспечивали защиту путем сохранения паролей в скрытой форме (обычно хешированной) в базе данных аутентификации и полного запрета на передачу паролей между запросчиком и базой данных аутентификации простым текстом (даже в скрытой форме). Процесс запрос—ответ выглядит следующим образом:

1. Компьютер получает данные для идентификации и аутентификации от пользователя и запрашивает аутентификацию на соответствующем сервере.
2. Сервер аутентификации генерирует случайное произвольное значение (называемое запросом — challenge) и посылает его запросчику.
3. Запросчик получает запрос и производит над ним и скрытой формой пароля математические операции, а затем передает результат (называемый ответом — response) серверу аутентификации.
4. Сервер аутентификации также выполняет математические манипуляции с запросом методом, идентичным используемому на рабочей станции, и сравнивает результат с полученным ответом. Если результаты совпадают, то запросчик считается успешно аутентифицированным.

В протоколах аутентификации используется процесс запрос—ответ, поэтому пароль никогда не передается через сеть.

Локальная и доменная регистрация

При регистрации пользователя одна из первых задач Windows — определить, относится ли процедура только к локальной машине или к учетной записи домена. Пользователи, регистрирующиеся от имени локальной учетной записи, имеют доступ только к ресурсам своего компьютера и только если информация об учетной записи пользователя содержится в локальной базе данных SAM. Если пользователям нужно обратиться к ресурсам на удаленном компьютере без аутентификации в домене, то их учетные записи должны быть продублированы в локальной базе данных SAM каждого доступного компьютера. Учетные записи в каждом компьютере-участнике должны быть синхронизированы (одинаковые имена регистрации, пароли и сроки действия учетных данных на всех машинах). В противном случае положение значительно усложняется. Трудно обслуживать одноранговые (P2P) сети средних размеров, в которых применяются только локальные процедуры регистрации.

На DC не распространяется требование синхронизации нескольких учетных записей пользователей на разных компьютерах. При доменной аутентификации компьютеры, зарегистрированные в домене, отыскивают контроллеры DC, чтобы предъявить учетные данные доменной учетной записи пользователя при запросах аутентификации. Таким образом, если удаленный пользователь пытается получить доступ к локальному ресурсу какой-нибудь машины, то этот компьютер просит DC проверить идентичность запрашивающего пользователя. Учетные записи пользователя домена располагаются только на DC и создаются лишь один раз. Любой компьютер-участник, которому нужно удостоверить учетную запись в домене, может обратиться к контроллерам DC в любое время. Проблемы синхронизации имен регистрации, паролей и сроков их действия не возникает, так как учетные данные и управление учетной записью осуществляются только в одном месте — на DC. Независимо от типа регистрации (локальной или доменной), Windows должна аутентифицировать запрос пользователя.

Протоколы аутентификации Windows

Как отмечалось выше, в Windows применяется четыре основных протокола аутентификации: LAN Manager, NTLM, NTLMv2 и Kerberos. LAN Manager появился во времена DOS и продолжал использоваться с первыми версиями Windows. NTLM был выпущен вместе с NT. Новшеством пакета обновлений NT Server 4.0 Service Pack 4 (SP4) стал NTLMv2, а Windows 2000 привнесла Kerberos. По умолчанию все компьютеры с Windows 2000 и более новыми операционными системами совместимы со всеми четырьмя протоколами аутентификации. Передавая в эти системы соответствующие команды, другие рабочие станции и серверы могут выбирать протокол для обработки запроса аутентификации. Системы Windows 9x и более поздние с полным набором программных исправлений совместимы с LM, NTLM и NTLMv2. На платформе Microsoft Kerberos может использоваться только клиентами Windows 2000 (или более новыми) при обращениях в домены Windows 2000 (и выше). Компьютер с Windows 2000 или более новой версией операционной системы должен иметь Kerberos и по крайней мере еще один из протоколов аутентификации.

Исследования в области безопасности показали, что более старые протоколы (LM и NTLM) уязвимы в случае прослушивания и атак с разгадыванием пароля.

Поэтому, если возможно, рекомендуется использовать только Kerberos и NTLMv2. Чтобы убедиться в правильности этого совета, следует оценить возможности каждого протокола.

LAN Manager

Компания IBM разработала протокол LAN Manager, применив его в ранних версиях Windows и сетях Windows. Как все протоколы аутентификации Microsoft, LAN Manager генерирует хеш паролей (LM hash), который хранится и используется отправителем и получателем в процессе аутентификации. LAN Manager формирует LM-хеши, изменяя все буквы пароля на верхний регистр, разбивая пароль на две 7-символьные половины, а затем шифруя. В дальнейшем LM-хеш используется в нескольких последовательных операциях, аналогичных процессу запрос—ответ, описанному выше.

Если раньше LAN Manager был вполне приемлем, то сейчас он считается очень ненадежным. С помощью специальных инструментов пароли, зашифрованные методом хеширования LAN Manager, можно всего за несколько секунд преобразовать в простой текст. LM-хешам свойственны принципиальные недостатки, а также имеется ряд уязвимых мест:

• пароли могут состоять из ограниченной последовательности 128 символов ASCII;
• длина пароля не превышает 14 символов;
• если пароль содержит менее 14 символов, то отсутствующие символы заменяются легко угадываемой хешированной формой, что позволяет точно определить длину пароля;
• перед кэшированием LAN Manager преобразует все буквенные символы пароля в верхний регистр.

Почему LAN Manager до сих пор не вышел из употребления? В целях обратной совместимости он активен по умолчанию во всех компьютерах Windows, в том числе Windows Server 2003. В новейших базах данных аутентификации Windows слабый LM-хеш хранится наряду с более надежными просто на случай, если придется выполнить транзакцию LAN Manager. Если на предприятии не используются другие приложения, требующие аутентификации LAN Manager, то можно (и нужно) LAN Manager отключить.

NTLM

С появлением NT компания Microsoft спроектировала и развернула более надежный протокол аутентификации NTLM. В NTLM используется более эффективный алгоритм аутентификации, который создает более надежный хеш паролей (NTLM hash). Пароль NTLM может содержать до 128 символов. В отличие от хеширования LAN Manager, ограниченного использованием только символов ASCII, NTLM совместим с полным набором символов Unicode, что повышает сложность паролей. NTLM-хеш отсекается на 128-м символе, преобразуется в 16-разрядное значение Unicode, обрабатывается распределительной функцией MD4 и сохраняется в 32-символьной шестнадцатеричной строке. За счет использования NTLM-хеша в операциях запрос—ответ последовательность аутентификации NTLM гораздо сложнее процедуры LAN Manager.

NTLMv2

В итоге выяснилось, что и NTLM уязвим, и специалисты Microsoft подготовили NTLMv2, который до сих пор считается достаточно надежным, хотя сейчас предпочтительный протокол — Kerberos. NTLMv2 по-прежнему широко используется для локальной регистрации и в некоторых других случаях. NTLMv2 похож на NTLM, но в хеше пароля NTLMv2 используется аутентификация сообщений HMAC-MD5, а последовательности запрос—ответ присваивается метка времени, чтобы предотвратить атаки, в ходе которых взломщик записывает учетные данные и впоследствии их использует.

В целом NTLMv2 более устойчив к атакам с применением «грубой силы», нежели NTLM, так как в протоколе применяется 128-разрядный ключ шифрования. Известно только о двух программах взлома паролей (одна из них — LC5 компании Symantec), с помощью которых удавалось открыть хеши паролей NTLMv2.

Kerberos

Компания Microsoft приняла Kerberos в качестве выбираемого по умолчанию протокола доменной аутентификации для доменов Windows 2000, а затем и AD. Kerberos — открытый стандарт, пригодный для взаимодействия с инородными доменами (называемыми областями — realm — в UNIX и Linux). Каждый DC в доменах AD играет роль сервера распределения (Kerberos Distribution Server, KDC) и может участвовать в процедуре аутентификации. Безопасность повышается благодаря следующим характеристикам Kerberos:

• взаимная аутентификация между клиентом и сервером;
• надежная защита пароля, так как Windows пересылает пароль только при начальном обращении, а не в каждом событии аутентификации и все сеансы связи шифруются;
• последовательность запрос-ответ с меткой времени не позволяет взломщику использовать перехваченный пароль по прошествии определенного времени;
• серверный процесс может обращаться к удаленному ресурсу от имени пользователя;
• интероперабельность.

Краткое описание работы Kerberos:

1. После успешной обычной аутентификации компьютер пользователя запрашивает билет безопасности из сервера Kerberos (DC) для будущих запросов аутентификации.
2. Сервер Kerberos выдает запросчику билет для участия в будущих событиях аутентификации и авторизации без повторного предъявления первоначальных учетных данных аутентификации.
3. Когда запросчику нужно обратиться к ресурсу сервера-участника, он получает другой билет доступа от сервера Kerberos и предъявляет его серверу ресурса для проверки.
4. Первоначальные учетные данные аутентификации не передаются по сетевым каналам ни в одном из последующих сеансов аутентификации (до тех пор, пока не истечет срок действия билета, выданного на этапе 2).

Следует обратить внимание, что, хотя принцип работы Kerberos напоминает инфраструктуру с частным открытым ключом (public key infrastructure, PKI), вся информация защищается с использованием симметричных ключей (в отличие от асимметричных ключей, применяемых в большинстве служб аутентификации).

Смарт-карты

Надежность паролей и других методов аутентификации на основе одного параметра быстро снижается. Электронная коммерция проникает в повседневную жизнь и возрастает как число способов кражи личных данных (спам, мошенничество с URL), так и вероятность злоупотреблений паролями. Многие специалисты считают, что аутентификация с двумя параметрами — в форме смарт-карт, USB-устройств или других криптографических устройств — в будущем станет обычным явлением для транзакций в Internet. Разработчики Microsoft встраивают в свои решения функции для работы с цифровыми сертификатами и смарт-картами. Для использования смарт-карт необходимо установить службу Certificate Services и распространить сертификаты смарт-карт. Конечно, нужны также физические смарт-карты, устройства считывания и программное обеспечение поставщика. Затем при необходимости пользователи могут вставлять свои смарт-карты в локальные устройства чтения для доступа к компьютеру Windows. При грамотном использовании смарт-карты могут существенно повысить надежность аутентификации.

Защита протокола аутентификации

В некоторых статьях ошибочно утверждается, что взломать механизм аутентификации Microsoft по-прежнему просто. В действительности из 20 существующих инструментов взлома пароля только два работают с NTLMv2 и лишь один — с Kerberos. Но, предприняв несколько простых шагов, можно отвести и эту угрозу. Для предотвращения попыток разгадывания и сброса пароля нужно принять следующие меры (большинство параметров можно настроить локально или с помощью Group Policy).

• Отключить хранение LM-хешей, как описано в статье Microsoft «How to prevent Windows from storing a LAN manager hash of your password in Active Directory and local SAM databases» (http://support.microsoft.com/ default.aspx?scid=kb;en-us;299656). Это делается для того, чтобы помешать взломщикам открыть исходный пароль.
• Отключить все протоколы аутентификации, кроме NTLMv2 и Kerberos (после исчерпывающего тестирования). Процедура описана в статье Microsoft TechNet «Network security: LAN Manager authentication level» (http://www.microsoft.com/resources/ documentation/windowsserv/2003/ standard/proddocs/en-us/576.asp).
• Запретить начальную загрузку со сменных носителей, чтобы предотвратить запуск инструментов взлома пароля в обход операционной системы. Запрет начальной загрузки со всех дисков, кроме выбираемого по умолчанию, предотвращает доступ автономных программ взлома пароля к базе данных аутентификации, где хранятся хеши паролей.
• Пользователи должны назначать сложные пароли длиной не менее 8 символов.
• Пользователи должны менять свои пароли по крайней мере раз в квартал.
• Активизировать блокировку учетной записи хотя бы на одну минуту с автоматическим сбросом. Это предотвращает разгадывание паролей в сети.

Обязанности пользователей

Благодаря NTLMv2, Kerberos и смарт-картам Windows располагает надежными механизмами аутентификации, устойчивыми к подслушиванию и атакам с применением метода перебора. Но оптимальные процедуры и надежные протоколы аутентификации не помогут, если пользователи назначают слабые пароли. Необходимо научить пользователей правильно выбирать пароли и добиться, чтобы пароли были сложными и надежными.

Роджер Граймз — Редактор Windows IT Pro и консультант по проблемам безопасности. Имеет сертификаты CPA, CISSP, CEH, CHFI, TICSA, MCT, MCSE: Security и Security+. roger@banneretcs.com

Если служба
аутентификации удостоверяет комбинацию
идентификатора и «секретных» данных
аутентификации, то подлинность субъекта
безопасности считается успешно
подтвержденной.

Затем система
собирает информацию о членстве субъекта
безопасности (т. е. пользователя) в
группах. Нередко пользователь принадлежит
к нескольким точно определенным группам
— локальным (Local),
доменным (Domain
Local),
глобальным (Global)
и универсальным (Universal)
— в результате обычных процедур
назначения членства.

Прямо или
косвенно система собирает все сведения
о членстве в группах, чтобы получить
информацию о разрешениях безопасности.

Сразу после
аутентификации система собирает
идентификаторы SID учетной записи и
сведения о членстве в группах в объекте,
называемом маркером
доступа
(Access
Token).

Если пользователю
нужно получить доступ к объекту (например,
файлу, папке, принтеру, разделу реестра),
защищенному разрешениями NTFS, то процесс
(например, Windows Explorer), выступающий от
имени пользователя, предоставляет свой
маркер доступа.

Каждый объект NTFS
располагает списком элементов управления
доступом Access
Control
Entry
(ACE), которые, в сущности, представляют
собой знакомые разрешения NTFS (например,
Allow Read – разрешить чтение, Allow Write –
разрешить запись). Набор элементов ACE,
назначенных пользователям и группам,
составляет список управления доступом
Access
Control
List
(ACL) данного объекта.

Маркер доступа,
содержащий учетную запись и группы, с
которыми связан пользователь, определяет
эффективные разрешения пользователя.
Процесс
авторизации заключается в разрешении
или отказе в доступе к определенному
объекту на основе сравнения маркера
доступа с ACL объекта.
Авторизацию обеспечивает Security Reference
Monitor (справочный монитор безопасности)
системы Windows .

4.Отчетность

Отчетность
(Accounting). Если в Windows режим аудита
активизирован, то система сохраняет
событие аутентификации в журнале
Security, и это последний компонент системы
управления доступом – отчетность.
Большинство сложных событий начальной
регистрации и последующей авторизации
происходят за несколько секунд и скрыты
от пользователя. Все сложные операции
возлагаются на протокол аутентификации.

Локальная и доменная регистрация

При регистрации
пользователя одна из первых задач
Windows – определить, относится ли процедура
только к локальной машине или к учетной
записи домена. Пользователи, регистрирующиеся
от имени локальной учетной записи, имеют
доступ только к ресурсам своего компьютера
и только если информация об учетной
записи пользователя содержится в
локальной базе данных SAM. Если пользователям
нужно обратиться к ресурсам на удаленном
компьютере без
аутентификации в домене,
то их учетные записи должны быть
продублированы в локальной базе данных
SAM каждого доступного компьютера. Учетные
записи в каждом компьютере-участнике
должны быть синхронизированы (одинаковые
имена регистрации, пароли и сроки
действия учетных данных на всех машинах).
В противном случае положение значительно
усложняется. Трудно обслуживать
одноранговые (P2P) сети средних размеров,
в которых применяются только локальные
процедуры регистрации.

На контроллер
домена не распространяется требование
синхронизации нескольких учетных
записей пользователей на разных
компьютерах. При доменной аутентификации
компьютеры, зарегистрированные в домене,
отыскивают контроллеры домена, чтобы
предъявить учетные данные доменной
учетной записи пользователя при запросах
аутентификации. Таким образом, если
удаленный пользователь пытается получить
доступ к локальному ресурсу какой-нибудь
машины, то этот компьютер просит
контроллер домена проверить аутентичность
запрашивающего пользователя. Учетные
записи пользователя домена располагаются
только на контроллере домена и создаются
лишь один раз. Любой компьютер-участник,
которому нужно удостоверить учетную
запись в домене, может обратиться к
контроллерам домена в любое время.
Проблемы синхронизации имен регистрации,
паролей и сроков их действия не возникает,
так как учетные данные и управление
учетной записью осуществляются только
в одном месте – на контроллере домена.
Независимо от типа регистрации (локальной
или доменной), Windows должна аутентифицировать
запрос пользователя.

Соседние файлы в папке лк

• #

  02.02.2021530.94 Кб40Л9.ppt

• #
• #
• #
• #
• #
• #
• #
• #
• #
• #

Аутентификация и авторизация

В операционной системе Windows 7 реализовано новое поколение технологий безопасности для рабочего стола и одна из них аутентификация и авторизация. Часть технологий направлена на укрепление общей инфраструктуры Windows, а остальные на оказание помощи в управлении системой и пользовательскими данными.

Прежде чем устанавливать в Windows 7 эффективные меры безопасности, например, для совместного пользования файлами и папками, важно понимать используемые во время настройки безопасности типы учетных записей пользователей, и как сетевой протокол аутентифицирует и авторизует вход пользователей в систему.

Что такое аутентификация и авторизация?

Аутентификация — это процесс, используемый для подтверждения личности пользователя, при обращении его к компьютерной системе или дополнительным системным ресурсам. В частных и государственных компьютерных сетях (включая Интернет) наиболее часто для аутентификации предполагается проверка учетных данных пользователя; то есть, имя пользователя и пароль. Однако для типов критических транзакций, например обработка платежей, проверки подлинности имени пользователя и пароля не достаточно, так как пароли могут быть украдены или взломаны. По этой причине, основная часть интернет-бизнеса, а также многие другие сделки теперь используют цифровые сертификаты, которые выдаются и проверяются центром сертификации.

Аутентификация логически предшествует авторизации. Авторизация позволяет системе определить, может ли заверенный пользователь получить доступ и возможность обновить защищенные системные ресурсы. Авторизация позволяет установить директивный доступ к папкам и файлам, часы доступа, размер разрешенного места для хранения, и так далее.

Есть два варианта авторизации:

• Изменения системных ресурсов первоначально разрешены системным администратором.
• При попытке пользователя получить доступ или обновить системный ресурс разрешение на действие оценивается системой или приложением.

Последний вариант позволяет пользователю получить доступ без аутентификации и авторизации. Он используется в случае, когда требуется предоставить доступ для анонимных не проходящих аутентификацию пользователей. Такой доступ, как правило, весьма ограничен.

Процесс авторизации и аутентификации.

Для получения доступа к файлам в сети пользователи для проверки их личности должны проходить аутентификацию. Это делается во время процесса входа в сеть. Операционная система Windows 7 для входа в сеть имеет следующие методы аутентификации:

• Протокол Kerberos версии 5: Основной метод аутентификации клиентов и серверов под управлением операционных систем Microsoft Windows. Он используется для проверки подлинности учетных записей пользователей и учетных записей компьютеров.
• Windows NT LAN Manager (NTLM): используется для обратной совместимости с операционными системами более старыми, чем Windows 2000 и некоторых приложений. Он менее гибок, эффективен и безопасен, чем протокол Kerberos версии 5.
• Сопоставление сертификатов: обычно используется для проверки подлинности при входе в сочетании со смарт-картой. Сертификат, записанный на смарт-карте, связан с учетной записью пользователя. Для чтения смарт-карт и аутентификации пользователя используется считыватель смарт-карт.

Новые функции аутентификации в Windows 7.

Целый ряд улучшений, связанных с процессами входа и проверки подлинности пользователя был добавлен еще в Windows Vista ®. Эти усовершенствования увеличили базовый набор функции проверки подлинности, чтобы помогло обеспечить лучшую безопасность и управляемость. В Windows 7 Microsoft продолжает начатые в Windows Vista усовершенствования, предоставляя следующие новые функции аутентификации:

• Смарт-карты
• Биометрия
• Интеграция личности в Интернете.

Смарт-карты.

Использование смарт-карт самый распространенный метод аутентификации. Для поощрения применения организациями и пользователями смарт-карт, Windows 7 предлагает новые возможности, облегчающие их использование и развертывание. Эти новые возможности позволяют использовать смарт-карты для выполнения разнообразных задач, включая:

• Смарт-карты Plug and Play
• Личные удостоверения проверки (PIV), стандарт национального института стандартов и технологий США (NIST)
• Поддержка для входа смарт-карты Kerberos.
• Шифрование дисков  BitLocker
• Документы и электронная почта
• Использование с бизнес-приложениями.

Биометрия.

Биометрия — все более популярная технология, обеспечивающая удобный доступ к системам, услугам и ресурсам. Биометрия для однозначного определения человека использует измерение его неизменных физических характеристик. Одна из наиболее часто используемых биометрических характеристик — отпечатки пальцев.

До сих пор в Windows не было стандартной поддержки биометрических устройств. Чтобы решить эту проблему, Windows 7 вводит Windows Biometric Framework (WBF). WBF предоставляет новый набор компонентов, поддерживающий снятие отпечатка пальца с помощью биометрические устройства. Эти компоненты увеличивают безопасность пользователей.

Windows Biometric Framework упрощает пользователям и администраторам настройку и управление биометрическими устройствами на локальном компьютере или в домене.

Интеграция личности в Интернете.

Управление аккаунтом — стратегия обеспечения безопасности. Для разрешения или запрета проверки подлинности определенных компьютеров или всех компьютеров, которыми вы управляете онлайн, используется Групповая политика.

В Windows 7 пользователи в небольшой сети могут выбрать обмен данными между определенными компьютерам на отдельной пользовательской основе. Эта функция в Windows 7 дополняет функцию домашней группы с помощью сетевых удостоверений для идентификации лиц в сети.

Для того, чтобы разрешить эту идентификацию пользователи должны связать свою учетную запись пользователя Windows ID онлайн. Включение в Windows протокола Public Key Cryptography Based User-to-User (PKU2U) разрешает проходить идентификацию при помощи свидетельств.

Интеграцией онлайн идентификации можно управлять политикой группы. Политика, настроенная как: “Сетевая безопасность: Позволить этому компьютеру при запросе идентификации PKU2U использовать ID онлайн”, управляет возможностью ID онлайн подтвердить подлинность этого компьютера при помощи протокола PKU2U. Этот параметр политики не влияет на способность учетных записей доменов или локальных учетных записей пользователей входить на этот компьютер.

Система безопасности Windows — это сложная и многогранная структура, разработанная для защиты пользователя и его данных от различных угроз. База данных безопасности Windows состоит из множества технологий и методов, которые обеспечивают надежную защиту от вредоносных программ, хакерских атак, утечек информации и других угроз.

Одной из основных технологий безопасности Windows является контроль доступа, который позволяет ограничить права пользователей на выполнение определенных операций и доступ к определенным ресурсам. Контроль доступа основан на разделении пользователей на различные уровни доступа и назначении им соответствующих разрешений.

Еще одной важной технологией безопасности является авторизация и аутентификация пользователей. Аутентификация позволяет проверить подлинность пользователя, а авторизация определяет, какие действия пользователь может совершать в системе. Для этого Windows использует механизмы паролей, сертификатов, биометрических данных и других факторов.

Однако, помимо контроля доступа и аутентификации, защита в базе данных безопасности Windows включает и другие методы, такие как криптография, межсетевые экраны, система обнаружения вторжений и множество других инструментов и технологий. Комплексное сочетание этих мер позволяет создать надежную систему безопасности Windows, которая способна эффективно обнаруживать и предотвращать угрозы.

В статье мы рассмотрим подробнее каждую из технологий и методов защиты, которые входят в базу данных безопасности Windows, и изучим их особенности и преимущества. Познакомимся с принципами работы этих технологий, а также узнаем о возможных проблемах и уязвимостях, с которыми может столкнуться пользователь при их использовании.

Официальные методы безопасности Windows

Windows предлагает набор официальных методов безопасности, которые помогают обеспечить защиту операционной системы и данных пользователей. Эти методы разработаны компанией Microsoft и включают в себя:

Аутентификацию и управление доступом – Windows оснащена механизмами аутентификации, позволяющими проверить подлинность пользователей перед предоставлением доступа к системе. В качестве методов аутентификации могут использоваться пароли, биометрические данные или смарт-карты. С помощью управления доступом можно определить права пользователей на выполнение определенных действий.

Обновления безопасности – Microsoft регулярно выпускает обновления безопасности для операционной системы Windows, чтобы исправлять возникающие уязвимости и улучшать защиту. Установка этих обновлений является важным шагом в поддержании безопасности системы.

Брандмауэр – В Windows встроен межсетевой экран, который контролирует входящие и исходящие сетевые подключения. Брандмауэр способен обнаружить и блокировать нежелательный сетевой трафик, что помогает улучшить безопасность системы.

Windows Defender – Windows поставляется с встроенным антивирусным программным обеспечением Windows Defender. Он защищает систему от вредоносных программ, включая вирусы, шпионское ПО и другие угрозы. Windows Defender регулярно обновляется, чтобы обеспечить более надежную защиту.

BitLocker – Этот инструмент позволяет шифровать данные на жестком диске или на съемных носителях, таких как USB-флеш-накопители. Шифрование данных делает их недоступными для посторонних лиц, даже если физический доступ к носителям получен.

Учетные записи и политики безопасности – Windows позволяет создавать различные учетные записи с разными уровнями доступа. Это позволяет ограничить права пользователя и предотвратить несанкционированный доступ. Кроме того, Windows предлагает различные политики безопасности, которые можно задать для ограничения доступа и повышения безопасности системы.

Аудит безопасности – Windows позволяет настраивать аудит безопасности, что позволяет системным администраторам отслеживать действия пользователей и обнаруживать подозрительную активность. Это помогает рано выявить нарушения безопасности и принять меры по их устранению.

Windows Hello – Это технология, позволяющая пользователю использовать биометрические данные, например сканер отпечатков пальцев или камеру для распознавания лица, в качестве метода аутентификации. Это повышает уровень безопасности, исключая необходимость использования паролей.

AppLocker – Данная функция позволяет администраторам контролировать запуск приложений на компьютерах в сети, что помогает предотвратить запуск нежелательных или потенциально опасных программ.

Общие эти методы безопасности помогают качественно обеспечить безопасность системы Windows и защитить пользовательские данные.

Защита данных и разграничение доступа

Windows предоставляет несколько механизмов для обеспечения безопасности данных. Один из таких механизмов – криптография. Криптографические алгоритмы позволяют защитить данные от несанкционированного доступа путем шифрования. Важно отметить, что выбор правильного алгоритма шифрования имеет огромное значение для обеспечения безопасности данных.

Кроме того, разработчики могут использовать механизмы защиты данных, предоставляемые самой операционной системой. Например, Windows предоставляет возможность использовать механизм шифрования файловой системы NTFS, который позволяет зашифровать отдельные файлы или папки. Это позволяет обеспечить безопасное хранение данных на диске даже в случае физического доступа к нему.

Разграничение доступа – это механизм, позволяющий определить, какие пользователи и группы пользователей имеют доступ к определенным ресурсам в операционной системе Windows. Разграничение доступа помогает предотвратить несанкционированный доступ к данным и ограничить возможности пользователей.

Стандартные механизмы разграничения доступа включают в себя установку прав и привилегий.

Права позволяют задать, какие операции пользователь может выполнять с ресурсом, например, чтение, запись или выполнение.

Привилегии определяют набор дополнительных возможностей, которые пользователь может получить.

Windows также предоставляет возможность использовать групповые политики для разграничения доступа. Групповая политика позволяет управлять настройками безопасности и конфигурацией операционной системы для групп пользователей.

Сочетание механизмов защиты данных и разграничения доступа является важной составляющей безопасности Windows. Эти механизмы позволяют создавать надежную систему, которая защищает данные и контролирует доступ пользователей к ним.

Аутентификация и авторизация пользователей

Аутентификация пользователей представляет собой процесс проверки представленных учетных данных, чтобы убедиться в их подлинности. В Windows существует несколько методов аутентификации, включая использование паролей, сертификатов и биометрических данных. Пароли остаются наиболее распространенным методом аутентификации, хотя современные системы также могут поддерживать более сложные способы, такие как двухфакторная аутентификация.

Авторизация пользователей состоит в определении разрешения или ограничений, связанных с доступом к определенным ресурсам или функциям. Это позволяет определить, какие действия пользователь может выполнять в системе. Система безопасности Windows использует разные методы авторизации, включая разграничение доступа на уровне групп и ролей пользователей.

Вместе, аутентификация и авторизация обеспечивают надежный уровень защиты, позволяя только подлинным и уполномоченным пользователям получить доступ к информации и функциональности системы. Эти меры помогают предотвратить несанкционированный доступ к данным и важным ресурсам, а также сохранить конфиденциальность и целостность информации.