В системе электронного бизнеса авторизация это

За время работы архитектором в проектах внедрения IdM я проанализировал десятки реализаций механизмов авторизации как во внутренних решениях компаний, так и в коммерческих продуктах, и могу утверждать, что практически везде при наличии относительно сложных требований они сделаны не правильно или, как минимум, не оптимально. Причиной, на мой взгляд, является низкое внимание и заказчика и разработчиков к данному аспекту на начальных этапах и недостаточная оценка влияния требований. Это косвенно подтверждает повсеместное неправильное использование термина: когда я вижу словосочетание «двухфакторная авторизация», у меня начинаются боли чуть ниже спины. Ради интереса мы проанализировали первые 100 статей на Хабре в выдаче по запросу «авторизация», результат получился неутешительный, боли было много:

В более чем 80% случаев термин употребляется неверно, вместо него следовало бы использовать слово «аутентификация». Далее я попытаюсь объяснить что это такое, и почему крайне важно уделить особое внимание этой теме.

Что же это такое?

Процитируем Википедию:

С точки зрения любой информационной системы это процесс принятия решения о предоставлении доступа субъекту на выполнение операции на основании каких-либо знаний о субъекте. К этому моменту субъект, как правило, уже должен быть идентифицирован (мы должны знать, кто он) и аутентифицирован (подтверждена его идентичность).

Реализация авторизации при разработке корпоративной информационной системы или продукта, ориентированного на корпоративный сектор — очень сложная и ответственная задача, которой часто уделяется недостаточное внимание на этапе проектирования и первичном этапе разработки, что в будущем ведет к «костыльной» реализации.

Проблематика

Давайте разберемся, какие требования к авторизации встречаются, и почему их крайне важно учитывать изначально при проектировании системы, а не откладывать на будущее. Источников требований к авторизации в корпоративной информационной системе, как правило, два — это бизнес и информационная безопасность. В общем случае бизнес хочет хранить секреты в тайне и предоставлять полномочия пользователям в соответствии с их функцией в бизнес-процессе, а безопасность хочет обеспечить минимальную достаточность полномочий каждому пользователю и аудировать доступ.

Возьмем для примера гипотетическую систему согласования договоров крупной компании, типовой кровавый энтерпрайз. Практически наверняка возникнут следующие требования к авторизации от бизнеса:

1. Пользователь, не имеющий отношения к конкретному договору, не должен его видеть в системе
2. Автор договора должен видеть его на всех этапах.
3. Создавать договор имеет право пользователь с грейдом не ниже 10.
4. Визирующий должен видеть договор, начиная с поступления к нему на этап и далее.
5. Руководители подразделений должны видеть договоры своих подразделений вверх по иерархии.
6. Автор договора и руководитель подразделения имеют право отозвать договор на любом этапе согласования.
7. Руководство и секретариат головного офиса должны видеть документы всех филиалов.
8. Пользователь, создавший договор, не должен иметь права его завизировать.

От безопасности мы могли бы получить следующие требования:

1. Знать, кто имеет доступ к конкретному договору.
2. Знать, кто имел доступ к конкретному договору в заданный момент времени.
3. Лишать пользователя доступа к ранее доступным документам при изменении его должностных обязанностей.

Думаю, разработчикам уже стало страшно :). Дополнительную боль доставляет высокая изменчивость этих требований. Кстати, по статистике одного большого франча 1С – дополнительные требования по авторизации — одна из самых частых задач по кастомизации типовых конфигураций.

Итак, обозначим, почему эти требования проблемные:

• Они не стабильны. Вероятность их изменения, даже в краткосрочной перспективе, стремится к 1.
• Они сквозные. Их реализация влияет на все слои, от дизайна БД до UI.
• Они лежат в плоскости предметной области. Это ведет к сильной связности механизма авторизации со слоем бизнес-логики. 
• Они влияют на производительность. 

Пути решения

Решить данную задачу нам помогают разработанные модели управления доступом:

MAC — мандатная модель управления доступом. Доступ субъекта к объекту определяется его уровнем доступа: уровень доступа субъекта должен быть не ниже уровня секретности объекта.

DAC — прямое управление доступом. Доступ субъекта к объекту определяется наличием субъекта в списке доступа (ACL) объекта.

RBAC — ролевая модель управления доступом. Доступ субъекта к объекту определяется наличием у субъекта роли, содержащей полномочия, соответствующие запрашиваемому доступу.

АВАС — атрибутивная модель управления доступом. Доступ субъекта к объекту определяется динамически на основании анализа политик учитывающих значения атрибутов субъекта, объекта и окружения. Сюда же относятся PBAC, RAdAC, CBAC, с некоторыми нюансами (шикарный обзор от CUSTIS).

Их крайне рекомендуется использовать в первозданном виде, не изобретая велосипед. Достаточно часто в сложных информационных системах используется комбинация моделей. Например, популярна комбинация ACL + RBAC, когда роль включается в список доступа. Однако, правильное применение готовых моделей — тоже не простая задача. Не всем удается правильно выбрать модель, отделить ее от бизнес-логики и достичь приемлемой производительности механизма авторизации.

Для реализации озвученных выше в разделе «Проблематика» требований, на первый взгляд, я бы выбрал комбинацию PBAC + ACL. Требования могли бы быть реализованы следующим образом:

Перечисленные требования ИБ без всяких проблем реализуются с использованием ACL, однако бизнес-требования 5 и 7 мы реализуем с помощью PBAC. Так что для реализации требований ИБ 1 и 2 придется добавить к ним журнал или аналогичный механизм, поскольку при всей своей красоте динамические правила плохо аудируются:

Итого

Авторизация — незаслуженно обойденная вниманием тема, как в публикациях, так и непосредственно в процессе разработки. Двухфакторную аутентификацию по СМС к сайту прикрутит и ребенок. Правильно реализовать авторизацию в корпоративной системе, не наделав костылей — сложнейшая задача, о которую ломают копья сеньоры и архитекторы, а множество популярных коммерческих продуктов (к примеру, Atlassian Jira) стоят на костылях благодаря сложности требований. 

Мы планируем серию статей, посвященных моделям авторизации и предмету в целом. Будем рады вопросам и предложениям по темам для рассмотрения.

Актуальна ли тема?

Проголосовали 326 пользователей.

Воздержались 34 пользователя.

Ошибка авторизации

Ошибка авторизации – неверное введение логина, пароля и других данных. При наборе кодовых слов, пользователь должен обращать внимание на правильный порядок символов, регистр, установленную раскладку клавиатуры. При ошибке авторизации система блокирует посетителя доступ к системе и может производить такие действия:

• фиксацию факта несанкционированного доступа;
• подачу звукового или светового сигнала, выдачу сообщения на экран;
• ограничение доступа на определенное время;
• предложение повторного набор кода;
• восстановление пароля;
• блокирование банковской кредитной карты, пропуска.

Код авторизации

Код авторизации представляет собой набор символов, которые хранятся в памяти системы и позволяют идентифицировать права пользователя. В качестве кода обычно выступают комбинации 3-12 букв, цифр, знаков, набранных в определенной последовательности. Код авторизации генерируется в процессе регистрации пользователя и впоследствии может изменяться по желанию владельца учетной записи или по требованию службы безопасности. Часто устанавливается определенное ограничение на количество изменений комбинаций в период времени. Для безопасного пользования сервисом, пользователь должен хранить набор символов в тайне.

Авторизация в личном кабинете

Авторизация в личном кабинете позволяет пользователю получить доступ к изменению настроек своей учетной записи, интерфейса взаимодействия с системой, паролей, типовых операций, на управление счетом, внесение изменений в систему. До выполнения авторизации, посетитель сайта или банковского учреждения может использовать ограниченный набор функций: просматривать общедоступную информацию, проводить транзакции, не требующие подтверждения прав доступа. Часто при авторизации в личном кабинете используют дополнительные средства безопасности – ввод капчи, подтверждение по SMS или e-mail.

Онлайн авторизация

Онлайн авторизация позволяет пользователям использовать сервисы без личного посещения финансовых учреждений, магазинов, учебных заведений. Для этого нужно войти на сайт, перейти по соответствующей ссылке или нажать на определенную кнопку, ввести данные в форму. Онлайн авторизация помогает посетителям ресурса экономить время, а организациям – делать услуги доступными широким массам, привлекать большее количество клиентов, улучшать качество обслуживания, повышать степень безопасности выполнения операций, проводить статистические исследования, ранжировать права доступа пользователей.

Авторизация недоступна

При входе в систему, пользователю может быть выдано сообщение о том, что авторизация недоступна. В этом случае посетителю следует попробовать повторно авторизоваться, выполнив все требования безопасности, выполнить восстановление забытого пароля или логина или обратиться в службу технической поддержки по телефону или e-mail. Сообщение «Авторизация недоступна», выдается посетителю сайта или пользователю сервиса в следующих случаях:

• неверный ввод логина или пароля;
• аннулирование прав доступа к системе, блокирование пользователя;
• перебои в работе техники, ПО;
• попытка получения доступа во внеурочное время.

Данные авторизации

Данные авторизации — сведения, которые должен ввести пользователь системы для подтверждения права доступа к выполнению операций. Обычно это логин и пароль, реже — фамилия, имя, отчество, должность, дополнительные кодовые комбинации, капча, проверочные слова. Данные авторизации хранятся в системе и могут быть изменены пользователем или службой безопасности. При утере информации, посетитель сайта или сервиса должен пройти процедуру ее восстановления, включающую повторную идентификацию различными способами, например, при помощи SMS или e-mail, путем обращения в службу технической поддержки.

Авторизация банковской карты

Авторизация банковской дебетовой карты – это получение права на совершение транзакций с помощью «пластика», доступа к управлению счетом. Выполняется в режиме онлайн – на сайте финансового учреждения или офлайн – с помощью POS-терминала. Для авторизации необходимо ввести определенные данные: пароль, логин, PIN-код, проверочные слова, коды из SMS. При попытке получения несанкционированного доступа, подбора пароля, система безопасности может временно блокировать аккаунт пользователя. Для восстановления прав пользования сервисом, нужно обратиться в учреждение, выдавшее «пластик», лично или по телефону.

Виды режимов авторизации

Для удобства пользователей, для использования имеющейся в наличии аппаратуры и для обеспечения выполнения требований безопасности, созданы различные виды режимов авторизации. Часто используется комбинация нескольких таких режимов. Различают такие их типы:

• по способу доступа: онлайн и офлайн;
• по методу разграничения прав: дискреционное, мандатное, на основе ролей, контекста или решетки;
• по типу кода: логин-пароль, биометрическая, электронный ключ, IP-адрес, динамический пароль, уникальный предмет (пропуск. карта);
• по количеству проверок: одно- и многоступенчатая.

Плюсы авторизации

Плюсы авторизации для пользователей: возможность получить доступ к большему количеству функций сервиса, управлять личными данными, повысить степень защиты своих средств, конфиденциальной информации.

Неавторизованным пользователям обычно открыт доступ к базовым сервисам, ограниченному количеству функций и к публичной информации. Плюсы авторизации для компании: идентификация клиентов и сотрудников, простое разграничение прав доступа, повышение степени безопасности и защиты конфиденциальной информации, учет и регулирование количества посетителей сервиса.

Если вы хотите обезопасить электронный документооборот, или вашим сотрудникам часто приходится работать с налоговой инспекцией или системами вроде СБИС, не обойтись без электронной подписи. Она работает аналогично физическому токену на флешке. Оформляется в ближайшем к вам удостоверяющем центре, подробнее о процессе есть вот тут.

В виртуальном исполнении это выглядит как установленный сертификат на сайте или в онлайн-сервисе — чтобы получить к нему доступ, пользователю придётся ввести PIN-код.

Биометрия
И снова вспоминаем шпионские боевики из Голливуда:) Для биометрической аутентификации может использоваться отпечаток пальца или сканирование сетчатки/лица полностью. Такая технология уже давно будоражит умы фантастов, но и в сегодняшнем мире уже применяется: взять хотя бы Touch ID и Face ID на iPhone.

В некоторых компаниях с помощью биометрической аутентификации решают проблему утечки данных среди сотрудников (и полностью заменяют ей аутентификацию по логину-паролю). Такие решения особенно пользуются спросом в банках, телекоммуникациях, энергетике, транспорте, государственных и учебных заведениях. Если вам интересно узнать подробности, вот ребята, которые такую технологию могут внедрить. А вот у этих биометрическая система уже интегрирована с 1С.

И хотя биометрия уже частично используется в бизнесе, с ней не всё так просто.

Если вы захотите прикрутить такую механику на сайте (скажем, в интернет-магазине), готовьте вагончик-другой памяти для базы данных на бэкенде. Стандартная связка логин-пароль включает каких-то 30-60 текстовых символов, которые занимают совсем немного места. Отпечатки пальцев или сканы лица — полноценные изображения в хорошем качестве. А это уже мегабайты и гигабайты данных на каждого конкретного пользователя. Среднее число юзеров больше 1000 в сутки? Стелите соломку, сервер будет регулярно падать.

Другая проблема биометрии — изменчивость вводимых данных. Сканы одного и того же пальца или лица пользователя всегда будут хоть капельку, но отличаться: всему виной недостаточное нажатие, движения во время сканирования и прочие человеческие факторы. Это затрудняет процесс идентификации юзеров. Как затрудняет его и то, что люди бывают похожи между собой.

Ещё одна опасность: если вдруг кто-то как-то сможет украсть ваши биометрические данные, то биометрический пароль просто так вам уже не поменять. Но одно радует — такое бывает только в кино (по крайней мере, пока).

АВТОРИЗАЦИЯ

Синонимы: