|
Mustaqil ish bajardi: csf001 guruh talabasi Mirvoxidov Mirafzal
|
| bet | 3/6 | | Sana | 09.07.2024 | | Hajmi | 116,69 Kb. | | #267142 |
Bog'liq 2 MUSTAQIL KIBRParollarni yozish
Parollarni yozish juda oqilona, ayniqsa siz kamdan-kam hollarda o'zingiz kiritishingiz kerak bo'lgan parollar uchun. Katta noqulaylik shundaki, ro'yxatni o'g'irlash mumkin yoki kimdir kelib ro'yxatni ko'rishi mumkin. Shuning uchun ushbu ro'yxatni iloji boricha himoya qilish juda muhimdir. Palmtop yoki tashkilotchi, agar siz uni har doim yoningizda bo'lsa va u parol bilan himoyalangan bo'lsa, yaxshi joy.
Barcha parollarni kartaga yozish va ularni hamyoningizda saqlash ham hal qilinadi. Shunga qaramay, hamyonni o'g'irlash ehtimoli ko'proq, ammo o'g'rilarning aksariyati sizning pochta serveringiz paroliga qaraganda kredit kartasi yoki cheklarni ko'proq qiziqtiradi.
Parollarni boshqarish bo'yicha beshta maslahat
1.Barcha parollaringizni muntazam ravishda o'zgartiring, masalan har ikki yoki uch oyda. Yangi parol haqiqatan ham eskirganidan farq qiladi va faqat boshqa raqam bilan tugamaydi, masalan.
2.Hech qachon boshqalarga parollarni qanday yaratishda foydalanganingizni aytmang. Eski parollarni ham oshkor qilmang. Boshqalari yordamida sizning hozirgi parolingiz nima ekanligini osongina aniqlashingiz mumkin.
3.Hech qachon bir xil parolni turli tizimlar uchun ishlatmang, ayniqsa agar bunday tizimlardan biri Veb-sayt bo'lsa. Ushbu parollar sizning dial-up hisobingiz parollariga qaraganda ancha himoyasiz.
4.Agar barcha parollaringizni eslab qolsangiz, muntazam ravishda tekshirib turing. Bu siz hech narsani unutmasligingizni ta'minlashning eng yaxshi usuli.
5. Hech qachon parollarni kompyuteringiz yonida saqlashga harakat qilmang. Parolni kiritgandan so'ng, provayderingizdan olgan parollar bilan harflarni yo'q qiling.
Asosiy qism:
2.1 Parollarni boshqarish tizimlari
Axborot xavfsizligini ta'minlash – bu foydalanuvchining axborotlarini himoyalashga quyilgan me'yor va talablarni bajarishidir. Axborot xavfsizligi esa bu axborot foydalanuvchilariga va ko'plab axborot tizimlariga zarar keltiruvchi tabiiy yoki sun'iy xarakterga ega tasodifiy va uyushtirilgan ta'sirlardan axborotlarni va axborot kommunikatsiya tizim ob'ektlarining himoyalanganligidir. Login tushunchasi. Login – shaxsning, o'zini axborot kommunikatsiya tizimiga tanishtirish jarayonida qo'llaniladigan belgilar ketma-ketligi bo'lib, axborot kommunikatsiya tizimidan foydalanish huquqiga ega bo'lish uchun foydalaniluvchining maxfiy bo'lmagan qayd yozuvi hisoblanadi.
Parol tushunchasi. Parol – uning egasi haqiqiyligini aniqlash jarayonida tekshiruv axboroti sifatida ishlatiladigan belgilar ketma-ketligi. U komp`yuter bilan muloqot boshlashdan oldin, unga klaviatura yoki identifikatsiya kartasi yordamida kiritiladigan harfli, raqamli yoki harfli-raqamli kod shaklidagi mahfiy so'zdan iborat.
Avtorizatsiya tushunchasi. Avtorizatsiya – foydalanuvchining resursdan foydalanish huquqlari va ruxsatlarini tekshirish jarayoni. Bunda foydalanuvchiga hisoblash tizimida ba'zi ishlarni bajarish uchun muayyan huquqlar beriladi. Avtorizatsiya shaxs harakati doirasini va u foydalanadigan resurslarni belgilaydi.
Ro'yxatdan o'tish tartibi. Ro'yxatdan o'tish – foydalanuvchilarni ro'yxatga olish va ularga dasturlar va ma'lumotlarni ishlatishga huquq berish jarayoni. Ayrim veb-saytlar foydalanuvchilarga qo'shimcha xizmatlarni olish va pullik xizmatlarga obuna bo'lish uchun ro'yxatdan o'tishni, ya'ni o'zi haqida ayrim ma'lumotlarni kiritishni (anketa to'ldirishni) hamda login va parol olishni taklif qiladilar. Foydalanuvchi ro'yxatdan o'tgandan so'ng tizimda unga qayd yozuvi (account) yaratiladi va unda foydalanuvchiga tegishli axborotlar saqlanadi.
Login va parolga ega bo'lish shartlari. Biror shaxs o'zining login va paroliga ega bo'lishi uchun u birinchidan axborot kommunikatsiya tizimida ruyxatdan o'tgan bo'lishi kerak va shundan so'ng u o'z logini va parolini o'zi hosil qilishi yoki tizim tomonidan berilgan login parolga ega bo'lishi mumkin. Login va parollar ma'lum uzunlikdagi belgilar ketma-ketligidan tashkil topadi. Login va parollarning uzunligi va qiyinligi uning qanchalik xavfsizligini ya'ni buzib bo'lmasligini ta'minlaydi.
Login va parolni buzish. Login va parolni buzish – bu buzg'unchining biror bir maqsad yo'lida axborot kommunikatsiya tizimi ob'ektlaridan foydalanish uchun qonuniy tarzda foydalanuvchilarga tegishli login va parollarini buzishdir. Bunda maxsus dastur yordamida login va parollar generatsiya qilib topiladi. Login va parollarning uzunligi bu jarayonning uzoq vaqt davom etishiga yoki generatsiya qilaolmasiligiga ishora bo'ladi.
Login va parolni o'g'irlash. Login va parolni o'g'irlash – bu foydalanuvchilarning mahfiy ma'lumotlari bo'lgan login va parollarga ega bo'lish maqsadida amalga oshiriladigan internet firibgarligining bir turidir. Bu mashhur brendlar, masalan, ijtimoiy tarmoqlar, banklar va boshqa servislar nomidan elektron xatlarni ommaviy jo'natish yo'li orqali amalga oshiriladi. Xatda odatda tashqi ko'rinishi asl saytdan farq qilmaydigan saytga to'g'ri ishorat mavjud bo'ladi. Bunday saytga tashrif buyurgan foydalanuvchi firibgarga akkauntlar va bank hisob raqamlariga kira olishga ega bo'lishga imkon beruvchi muhim ma'lumotlarni bildirishi mumkin. Fishing – ijtimoiy injeneriyaning bir turi bo'lib, foydalanuvchilarning tarmoq xavfsizligi asoslarini bilmasligiga asoslangan. Jumladan, ko'pchilik oddiy faktni bilishmaydi: servislar qayd yozuvingiz ma'lumotlari, parol` va shu kabi ma'lumotlarni yuborishni so'rab hech qachon xat yubormaydi.
Parolli himoya va ularning zamonaviy turlari. Parollar asosida autentifikatsiyalash
Autentifikatsiyaning keng tarqalgan sxemalaridan biri oddiy autentifikatsiyalash bo’lib, u an’anaviy ko’p martali parollarni ishlatishi-ga asoslangan. Tarmoqdagi foydalanuvchini oddiy autentifikatsiyalash muolajasini quyidagicha tasavvur etish mumkin. Tarmoqdan foydalanishga uringan foydalanuvchi kompyuter klaviaturasida o’zining identifikatori va parolini teradi. Bu ma’lumotlar autentifikatsiya serveriga ishlanish uchun tushadi. Autentifikatsiya serverida saqlanayotgan foydalanuvchi identifikatori bo’yicha ma’lumotlar bazasidan mos yozuv topiladi, undan parolni topib foydalanuvchi kiritgan parol bilan taqqoslanadi. Agar ular mos kelsa, autentifikatsiya muvaffaqiyatli o’tgan hisoblanadi va foydalanuvchi legal (qonuniy) maqomini va avtorizatsiya tizimi orqali uning maqomi uchun aniqlangan xuquqlarni va tarmoq resurslaridan foydalanishga ruxsatni oladi.
Eng keng tarqalgan usul — foydalanuvchilar parolini tizimli fayllarda, ochiq holda saqlash usulidir. Bunda fayllarga o’qish va yozishdan himoyalash atributlari o’rnatiladi (masalan, operatsion tizimdan foydalanishni nazoratlash ruyxatidagi mos imtiyozlarni tavsiflash yordamida). Tizim foydalanuvchi kiritgan parolni parollar faylida saqlanayotgan yozuv bilan solishtiradi. Bu usulda shifrlash yoki bir tomonlama funktsiyalar kabi kriptografik mexanizmlar ishlatilmaydi. Ushbu usulning kamchiligi - niyati buzuq odamning tizimda ma’mur imtiyozlaridan, shu bilan birga tizim fayllaridan, jumladan parol fayllaridan foydalanish imkoniyatidir.
Oddiy autentifikatsiyani tashkil etish sxemalari nafaqat parollarni uzatish, balki ularni saqlash va tekshirish turlari bilan ajralib turadi. Eng keng tarqalgan usul — foydalanuvchilar parolini tizimli fayllarda, ochiq holda saqlash usulidir. Bunda fayllarga o’qish va yozishdan himoyalash atributlari o’rnatiladi (masalan, operatsion tizimdan foydalanishni nazoratlash ruyxatidagi mos imtiyozlarni tavsiflash yordamida). Tizim foydalanuvchi kiritgan parolni parollar faylida saqlanayotgan yozuv bilan solishtiradi. Bu usulda shifrlash yoki bir tomonlama funktsiyalar kabi kriptografik mexanizmlar ishlatilmaydi. Ushbu usulning kamchiligi - niyati buzuq odamning tizimda ma’mur imtiyozlaridan, shu bilan birga tizim fayllaridan, jumladan parol fayllaridan foydalanish imkoniyatidir.
Xavfsizlik nuqtai nazaridan parollarni bir tomonlama funktsiyalardan foydalanib uzatish va saqlash qulay hisoblanadi. Bu holda foydalanuvchi parolning ochiq shakli urniga uning bir tomonlama funktsiya h(.) dan foydalanib olingan tasvirini yuborishi shart. Bu o’zgartirish g’anim tomonidan parolni uning tasviri orqali oshkor qila olmaganligini kafolatlaydi, chunki g’anim yechilmaydigan sonli masalaga duch keladi.
Ko’p martali parollarga asoslangan oddiy autentifikatsiyalash tizi-mining bardoshligi past, chunki ularda autentifikatsiyalovchi axborot ma’noli so’zlarning nisbatan katta bo’lmagan to’plamidan jamlanadi. Ko’p martali parollarning ta’sir muddati tashkilotning xavfsizligi siyosatida belgilanishi va bunday parollarni muntazam ravishda almashtirib turish lozim. Parollarni shunday tanlash lozimki, ular lug’atda bo’lmasin va ularni topish qiyin bo’lsin.
Bir martali parollarga asoslangan autentifikatsiyalashda foydalanishga har bir so’rov uchun turli parollar ishlatiladi. Bir martali dinamik parol faqat tizimdan bir marta foydalanishga yaroqli. Agar, hatto kimdir uni ushlab qolsa ham parol foyda bermaydi. Odatda bir martali parollarga asoslangan autentfikatsiyalash tizimi masofadagi foydalanuvchilarni tekshirishda qo’llaniladi.
Bir martali parollarni generatsiyalash apparat yoki dasturiy usul oqali amalga oshirilishi mumkin. Bir martali parollar asosidagi foydalanishning apparat vositalari tashqaridan to’lov plastik kartochkalariga o’xshash mikroprotsessor o’rnatilgan miniatyur qurilmalar ko’rinishda amalga oshiradi. Odatda kalitlar deb ataluvchi bunday kartalar klaviaturaga va katta bo’lmagan displey darchasiga ega.
Foydalanuvchilarni autentifikatsiyalash uchun bir martali parollarni qo’llashning quyidagi usullari ma’lum:
1. Yagona vaqt tizimiga asoslangan vaqt belgilari mexanizmidan foydalanish.
2. Legal foydalanuvchi va tekshiruvchi uchun umumiy bo’lgan tasodifiy parollar ruyxatidan va ularning ishonchli sinxronlash mexanizmidan foydalanish.
3. Foydalanuvchi va tekshiruvchi uchun umumiy bo’lgan bir xil dastlabki qiymatli psevdotasodifiy sonlar generatoridan foydalanish.
Birinchi usulni amalga oshirish misoli sifatida SecurID autentikatsiyalash texnologiyasini ko’rsatish mumkin. Bu texnologiya Security Dynamics kompaniyasi tomonidan ishlab chiqilgan bo’lib, qator kompaniyalarning, xususan Cisco Systems kompaniyasining serverlarida amalga oshirilgan.
Vaqt sinxronizatsiyasidan foydalanib autentifikatsiyalash sxemasi tasodifiy sonlarni vaqtning ma’lum oralig’idan so’ng generatsiyalash algoritmiga asoslangan. Autentifikatsiya sxemasi quyidagi ikkita parametrdan foydalanadi:
• har bir foydalanuvchiga atalgan va autentifikatsiya serverida hamda foydalanuvchining apparat kalitida saqlanuvchi noyob 64-bitli sondan iborat maxfiy kalit;
• joriy vaqt qiymati.
Autentifikatsiyaning bu sxemasi bilan yana bir muammo bog’liq. Apparat kalit generatsiyalagan tasodifiy son katta bo’lmagan vaqt oralig’i mobaynida haqiqiy parol hisoblanadi. SHu sababli, umuman, qisqa muddatli vaziyat sodir bo’lishi mumkinki, xaker PIN-kodni ushlab qolishi va uni tarmoqdan foydalanishga ishlatishi mumkin. Bu vaqt sinxronizatsiyasiga asoslangan autentifikatsiya sxemasining eng zaif joyi hisoblanadi.
Bir martali paroldan foydalanuvchi autentifikatsiyalashni amalga oshiruvchi yana bir variant - «so’rov-javob» sxemasi bo’yicha autentifikatsiyalash. Foydalanuvchi tarmoqdan foydalanishga uringanida server unga tasodifiy son ko’rinishidagi so’rovni uzatadi. Foydalanuvchining apparat kaliti bu tasodifiy sonni, masalan DES algoritmi va foydalanuvchining apparat kaliti xotirasida va serverning ma’lumotlar bazasida saqlanuvchi maxfiy kaliti yordamida rasshifrovka qiladi. Tasodifiy son - so’rov shifrlangan ko’rinishda serverga qaytariladi. Server ham o’z navbatida o’sha DES algoritmi va serverning ma’lumotlar bazasidan olingan foydalanuvchining maxfiy kaliti yordamida o’zi generatsiyalagan tasodifiy sonni shifrlaydi. So’ngra server shifrlash natijasini apparat kalitidan kelgan son bilan taqqoslaydi. Bu sonlar mos kelganida foydalanuvchi tarmoqdan foydalanishga ruxsat oladi. Ta’kidlash lozimki, «so’rov-javob» autentifikatsiyalash sxemasi ishlatishda vaqt sinxronizatsiyasidan foydalanuvchi autentifikatsiya sxemasiga qaraganda murakkabroq.
Foydalanuvchini autentifikatsiyalash uchun bir martali paroldan foydalanishning ikkinchi usuli foydalanuvchi va tekshiruvchi uchun umumiy bo’lgan tasodifiy parollar ruyxatidan va ularning ishonchli sinxronlash mexanizmidan foydalanishga asoslangan. Bir martali parollarning bo’linuvchi ro’yxati maxfiy parollar ketma-ketligi yoki to’plami bo’lib, har bir parol faqat bir marta ishlatiladi. Ushbu ro’yxat autentifikatsion almashinuv taraflar o’rtasida oldindan taqsimlanishi shart. Ushbu usulning bir variantiga binoan so’rov-javob jadvali ishlatiladi. Bu jadvalda autentifikatsilash uchun taraflar tomonidan ishlatiluvchi so’rovlar va javoblar mavjud bo’lib, har bir juft faqat bir marta ishlatilishi shart.
Foydalanuvchini autentifikatsiyalash uchun bir martali paroldan foydalanishning uchinchi usuli foydalanuvchi va tekshiruvchi uchun umumiy bo’lgan bir xil dastlabki qiymatli psevdotasodifiy sonlar generatoridan foydalanishga asoslangan. Bu usulni amalga oshirishning quyidagi variantlari mavjud:
• o’zgartiriluvchi bir martali parollar ketma-ketligi. Navbatdagi autentifikatsiyalash sessiyasida foydalanuvchi aynan shu sessiya uchun oldingi sessiya parolidan olingan maxfiy kalitda shifrlangan parolni yaratadi va uzatadi;
• bir tomonlama funktsiyaga asoslangan parollar ketma-ketligi. Ushbu usulning mohiyatini bir tomonlama funktsiyaning ketma-ket ishlatilishi (Lampartning mashhur sxemasi) tashkil etadi. Xavfsizlik nuqtai nazaridan bu usul ketma-ket o’zgartiriluvchi parollar usuliga nisbatan afzal hisoblanadi.
Elektron biznes va uning xavfsizligi muammolari.
Elektron biznes xaridor va sotuvchi orasidagi aloqani tashkil etish, buyurtmani ifodalash, muxokama qilish, o’zgartirish, tovarlarni va xizmatlarni sotish usullarini hamda to’lovni amalga oshirish jarayonlarini o’zgartirish uchun yangi texnologiyalardan foydalanadi. Hozirda elektron tijorat va biznesning aksariyat muammolari axborot xavfsizligi bilan bog’liq, ya’ni xavfsizlik muammolari elektron tijorat va biznes rivojidagi jiddiy to’siq xisoblanadi.
Har qanday tijorat kompaniyasining boshqa kompaniyalar bilan yoki ushbu kompaniyaning bo’limlari orasida aloqa o’rnatilishi zarur. Hozirda global Internet tarmog’i o’zining uzellari o’rtasida ishonchli va arzon axborot almashinuvini ta’minlaydi. Ochiq global Internet tarmog’i kanallaridan faol foydalanuvchi elektron biznesning ishlashi jarayonida ko’pgina xavf-xatarlar paydo bo’ladi.
Internetdan foydalanish kanallari kompaniyaning axborot resurslaridan chetdan foydalanishga imkon berishi mumkin. Kommunikatsion, xususan HTTP — protokol asosidagi dasturlardan extiyotsizlik bilan foydalanish axborot tizimining ishga layoqatligini buzuvchi va/yoki axborot tizimima’lumotlarini buzuvchi maxsus dastur — "Troyan otlarining" kirishiga olib kelishi mumkin. Bu xil dasturlarning ichida viruslar eng tarqalgan. O’ziga xos malakali mutaxassislar korporativ axborot tarmoqlariga bilinmasdan kirish uchun ko’pincha umummaqsad tarmoqlardan foydalanadilar.
Elektron qutisining tez-tez ishlatilishi niyati buzuq odamlarga elektron biznes bilan shug’ullanuvchi tashkilot foydalananuvchilari nomlarini obro’sizlantirishga yordam berishi mumkin. Foydalanuvchilar ma’lumotlarini (ismlar, parollar, PIN — kodlar va h.) saqlovchi tizimining zaif joylarini qidirishdan tarmoqda keng ishlatiluvchi maxsus dasturlardan foydalanish mumkin.
Internet konfidentsial axborotni dunyoning istalgan nuqtasiga yuborishi mumkin, ammo agar u yetarlicha ximoyalanmagan bo’lsa, ushlab qolinishi, nusxalashtirilishi, o’zgartirilishi hamda har qanday chetdagi foydalanuvchilar -niyati buzuq odamlar, raqiblar va oddiy qiziquvchilar tomonidan o’qilishi mumkin. Masalan, yetarlicha himoyalanmagan to’lov topshirig’i yoki kredit kartochka nomerini jo’natayotganda esda tutish lozimki, jo’natish xususiy/shaxsiy tarmoq orqali amalga oshirilmayapti va chetdagi foydalanuvchilar xabaringizni manipulyatsiya qilish imkoniyatiga ega. Undan tashqari xabaringiz almashtirilib qo’yilishi mumkin: xabarlarni xuddi V foydalanuvchidan yuborilganidek A foydalanuvchidan yuborish usullari mavjud. Internet tarmog’i mahsus paket, tamomila qonuniy paketlar, sonining xaddan tashqari ko’pilgi uzatishdagi buzilishlar, tarmoq komponentlarining nosozligi tufayli ishga layoqat bo’lmasligi mumkin. Bunday xollar “xizmat qilishdan voz kechish” deb ataladi va elek-tron tijorat uchun eng jiddiy tahdid hisoblanadi.
Axborot xavfsizligi elektron biznes tizimining eng muxim elementlaridan biri xisoblanadi va usullar va vositalarning butun bir to’plami yordamida ta’minlanishi shart. Elektron tijorat sohasidagi savdo ko’lami Internet xavfsizligi masalalaridan tashvishlangan xaridorlar, sotuvchilar va moliya insitutlarining boshidan kechiruvchi qo’rquvlari bilan chegaralanadi. Bu qo’rquvlar, hususan, quyidagilarga asoslanadi:
- konfidentsiallikka kafolatning yo’qligi-kimdir ma’lumotlaringizni uzatilayotganida ushlab qolishi va qiymatli axborotni (masalan, kredit kartochkangizning nomerini, tovar yetqazib berish sanasi va adres) topishga urinishi mumkin;
- amalda ishtirok etuvchilarni tekshirish darajasining yetarli emasligi - tranzaktsiya qatnashchilari tekshirilmaganida tomonlarning biri “maskarad” uyushtirishi mumkinki, uning oqibati ikkinchi tomonga ancha qimmatga tushadi. Masalan, xaridor saytga kirib undagi kompaniyaning haqiqiyligiga shubha qiladi, shunday hol ham ro’y berishi mumkinki, xaridor kredit kartochkasining nomerini yetarlicha vakolatga ega bo’lmagan shaxsga beradi;
- sotuvchida buyurtma bergan xaridor kredit kartochkasining qonuniy egasi ekanliginining tekshirish imkoni yo’q;
|
| |
