एमआईटी पाठ्यक्रम "कंप्यूटर सिस्टम सुरक्षा"। व्याख्यान 17: उपयोगकर्ता प्रमाणीकरण, भाग 2

मैसाचुसेट्स इंस्टीट्यूट ऑफ टेक्नोलॉजी। व्याख्यान पाठ्यक्रम # 6.858। "कंप्यूटर सिस्टम की सुरक्षा।" निकोलाई ज़ेल्डोविच, जेम्स मिकेंस। 2014 साल

कंप्यूटर सिस्टम सुरक्षा सुरक्षित कंप्यूटर सिस्टम के विकास और कार्यान्वयन पर एक कोर्स है। व्याख्यान खतरे के मॉडल को कवर करते हैं, हमले जो सुरक्षा से समझौता करते हैं, और हाल के वैज्ञानिक कार्यों के आधार पर सुरक्षा तकनीक। विषयों में ऑपरेटिंग सिस्टम (OS) सुरक्षा, सुविधाएँ, सूचना प्रवाह प्रबंधन, भाषा सुरक्षा, नेटवर्क प्रोटोकॉल, हार्डवेयर सुरक्षा और वेब अनुप्रयोग सुरक्षा शामिल हैं।

व्याख्यान 1: "परिचय: खतरे के मॉडल" भाग 1 / भाग 2 / भाग 3
व्याख्यान 2: "हैकर हमलों का नियंत्रण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 3: "बफर ओवरफ्लो: शोषण और संरक्षण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 4: "पृथक्करण का पृथक्करण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 5: "सुरक्षा प्रणालियाँ कहाँ से आती हैं?" भाग 1 / भाग 2
व्याख्यान 6: "अवसर" भाग 1 / भाग 2 / भाग 3
व्याख्यान 7: "मूल ग्राहक सैंडबॉक्स" भाग 1 / भाग 2 / भाग 3
व्याख्यान 8: "नेटवर्क सुरक्षा मॉडल" भाग 1 / भाग 2 / भाग 3
व्याख्यान 9: "वेब अनुप्रयोग सुरक्षा" भाग 1 / भाग 2 / भाग 3
व्याख्यान 10: "प्रतीकात्मक निष्पादन" भाग 1 / भाग 2 / भाग 3
व्याख्यान 11: "उर / वेब प्रोग्रामिंग भाषा" भाग 1 / भाग 2 / भाग 3
व्याख्यान 12: नेटवर्क सुरक्षा भाग 1 / भाग 2 / भाग 3
व्याख्यान 13: "नेटवर्क प्रोटोकॉल" भाग 1 / भाग 2 / भाग 3
व्याख्यान 14: "एसएसएल और एचटीटीपीएस" भाग 1 / भाग 2 / भाग 3
व्याख्यान 15: "मेडिकल सॉफ्टवेयर" भाग 1 / भाग 2 / भाग 3
व्याख्यान 16: "साइड चैनल हमलों" भाग 1 / भाग 2 / भाग 3
व्याख्यान 17: "उपयोगकर्ता प्रमाणीकरण" भाग 1 / भाग 2 / भाग 3

इस लेख की चर्चा करने वाली एक दिलचस्प बात यह है कि यदि आप इन सभी प्रमाणीकरण योजनाओं से गुजरते हैं, तो लेखक कहते हैं: "ठीक है, ये पासवर्ड हैं, वे एक तरह से चूसते हैं, और अन्य चीजें हैं जो बहुत बेहतर सुरक्षा प्रदान करती हैं। लेकिन वे अक्सर तैनात करने में विफल होते हैं, उपयोग करने के लिए असुविधाजनक होते हैं, और पसंद करते हैं। "



यह एक दिलचस्प और एक ही समय में इस काम का निराशाजनक परिणाम है, जिसमें इस तथ्य में शामिल है कि अगर हमारे पास ये सभी उपकरण हैं जो उच्च प्रोटोकॉल सुरक्षा प्रदान करते हैं, तो हम अत्यधिक असुविधा के कारण उनका उपयोग नहीं कर सकते हैं।

इसलिए Telepathwords केवल एक मजेदार साइट है, वे दावा करते हैं कि वे आपके पासवर्ड को संग्रहीत नहीं करते हैं, इसलिए यदि आप चाहें तो आप इसके लिए उनका शब्द ले सकते हैं। लेकिन यह बहुत दिलचस्प है कि बस बैठो और सोचो कि मैं कितना अच्छा पासवर्ड लेकर आया हूं। और फिर इसे यहां दर्ज करें और देखें कि यह अनुमान लगाना कितना आसान है। यहां तक ​​कि यह आपको कई शब्दों से लोकप्रिय वाक्यांशों के अनुमानी विश्लेषण जैसी चीजें करने की अनुमति देता है, जिसमें से प्रत्येक शब्द का केवल पहला अक्षर पासवर्ड के लिए चुना जाता है। इसलिए यह चीज बहुत उपयोगी है।

एक और दिलचस्प बात यह है कि आपके पासवर्ड का ऑफलाइन अनुमान लगाया जा सकता है। यह भेद्यता, जिसे उपदेश कहा जाता है, या "उपदेश", कर्बरोस v4 और v5 में निहित था। कोई भी व्यक्ति KDC से उपयोगकर्ता के पासवर्ड के साथ एन्क्रिप्ट किए गए टिकट का अनुरोध कर सकता है।

इसलिए, केडीसी ने ग्राहक से अनुरोधों को प्रमाणित नहीं किया। केडीसी ने अनुरोध के जवाब में कई बिट्स का एक सेट लौटाया, जिसे क्लाइंट कुंजी के साथ एन्क्रिप्ट किया गया था। यह वह है जो क्लाइंट को वापस किया गया था। समस्या यह थी कि सर्वर ने यह जांच नहीं की थी कि इस एन्क्रिप्टेड सेट को किसने भेजा है, इसलिए मूल रूप से हमलावर को यह बात मिल सकती है और फिर यह अनुमान लगाने का प्रयास करें कि K_C क्या है।



बस K_C मान का अनुमान लगाने का प्रयास करें, इसे एन्क्रिप्ट करने का प्रयास करें, देखें कि क्या यह ऐसा दिखता है, यदि नहीं, तो दूसरे K_C का अनुमान लगाने का प्रयास करें, इसे डिक्रिप्ट करें, देखें कि क्या यह सत्य जैसा दिखता है, और इसी तरह। कारण जो हमलावर को इस प्रकार के हमले को व्यवस्थित करने की अनुमति देता है, क्योंकि यह बात यहां, कोष्ठक के अंदर, इस टीजीटी का वास्तव में एक ज्ञात प्रारूप है। टाइमस्टैम्प और आंतरिक सुसंगत संदर्भ क्षेत्रों की तरह कुछ है, और यह सब हमलावर को पासवर्ड का अनुमान लगाने में मदद करता है। क्योंकि यदि हमलावर K_C का अनुमान लगाता है और कोष्ठक की डिक्रिप्टेड सामग्री प्राप्त करता है, लेकिन आंतरिक फ़ील्ड की जाँच नहीं की जाती है, तो हमलावर समझता है कि उसने गलत K_C को चुना है और उसे अगले के लिए लिया गया है।

कर्बेरोस संस्करण 5 में, ग्राहक को केडीसी को एक टाइम स्टैम्प पास करना होगा, जिसके बाद लेबल को K_C का उपयोग करके एन्क्रिप्ट किया जाएगा। यह सब सर्वर को भेजा जाता है, सर्वर इस अनुरोध को देखता है और क्लाइंट को कुछ भेजने से पहले इसकी जांच करता है। इसलिए कोई भी रैंडम क्लाइंट आ सकता है और बस सर्वर से यह बात पूछ सकता है।

छात्र: क्या संदेश में टाइमस्टैम्प दिखाई देता है? क्या कोई हमलावर केवल इस संदेश को क्रूर-बल का उपयोग करके ले जा सकता है?

प्रोफेसर: चलो देखते हैं। क्या कोई हमलावर इस {समय स्टेपम} K_C संदेश प्राप्त कर सकता है?

छात्र: हाँ, यह एक एन्क्रिप्टेड संदेश है।



प्रोफेसर: यानी, आपको लगता है कि एक हमलावर, उदाहरण के लिए, बस इस संदेश को नकली कर सकता है?

छात्र: नहीं, वह K_C से मिलान करने के लिए जानवर-बल का प्रयोग करेगा।

प्रोफेसर: मैं देखता हूं , दूसरे शब्दों में, आप चिंतित हैं कि कोई व्यक्ति इन कोष्ठकों की सामग्री की जासूसी कर सकता है। मेरा मानना ​​है कि सामग्री एन्क्रिप्टेड चीज के अंदर है जो सर्वर से संबंधित है, या कुंजी जो सर्वर से संबंधित है, ताकि इस तरह के हमले को रोका जा सके, लेकिन यह केवल मेरी राय है। लेकिन सामान्य तौर पर, आप सही हैं, अगर कोई हमलावर ग्राहक के अनुरोध में टाइमस्टैम्प का पता लगाने का प्रबंधन करता है, तो इससे उसे बहुत फायदा होगा। इस मामले में, वह अनुमान लगा सकता है कि पड़ोसी टाइमस्टैम्प किस सीमा में हो सकता है, और इसी तरह के हमले के लिए इसका उपयोग कर सकता है।

छात्र: इस मामले में, हमलावर को "बीच में एक आदमी" होना चाहिए।
प्रोफेसर: यह ऐसा है, हमलावर को क्लाइंट और सर्वर के बीच नेटवर्क पर कहीं होना चाहिए ताकि ऐसी चीजों को "सूँघा" जा सके।

एक और महत्वपूर्ण बात पासवर्ड रिकवरी है। मुद्दा यह है कि यदि आप अपना पासवर्ड खो देते हैं, तो आपको कार्यालय जाना चाहिए और एक अलग पासवर्ड मांगना चाहिए। लेकिन इससे पहले कि आप यह पासवर्ड प्राप्त करें, आपको किसी तरह साबित करना होगा कि आप आप हैं।

तो यह कैसे काम करता है? मैं अपना पासवर्ड कैसे पुनर्प्राप्त कर सकता हूं? दिलचस्प है, लोग अक्सर पासवर्ड के एन्ट्रापी पर ही ध्यान केंद्रित करते हैं। लेकिन समस्या यह है कि यदि पासवर्ड या पासवर्ड रिकवरी स्कीम को पुनर्प्राप्त करने के लिए उपयोग किए जाने वाले प्रश्नों में थोड़ी एंट्रोपी है, तो यह सामान्य प्रमाणीकरण योजना के एन्ट्रॉपी को प्रभावित करता है। दूसरे शब्दों में, सामान्य प्रमाणीकरण योजना की ताकत पासवर्ड की न्यूनतम एन्ट्रापी और पासवर्ड रिकवरी के लिए मुद्दे की न्यूनतम एन्ट्रोपी के बराबर है। कई परिदृश्य और नियम हैं, पर्याप्त प्रसिद्ध मामले हैं, जैसे सारा पॉलिन का मामला। कोई व्यक्ति उसके पासवर्ड को धोखाधड़ी से पुनर्प्राप्त करने में सक्षम था क्योंकि उसके पासवर्ड पुनर्प्राप्ति प्रश्न ऐसे थे कि कोई भी अजनबी उन्हें उत्तर दे सके, उदाहरण के लिए, उसके बारे में एक विकिपीडिया लेख पढ़कर लिखा कि वह किस स्कूल में गया था? इतने पर।



इसलिए अक्सर ये पासवर्ड रिकवरी प्रश्न कई कारणों से पर्याप्त नहीं होते हैं। कभी-कभी इन चीजों में बहुत कम एन्ट्रापी होती है। उदाहरण के लिए, यदि पासवर्ड रिकवरी के लिए आपका प्रश्न "आपका पसंदीदा रंग क्या है", तो सबसे लोकप्रिय उत्तर "नीला" और "लाल" होगा। कोई भी "सफेद," "फुकिया" या "बैंगनी" का जवाब नहीं देगा। इस प्रकार, इन वसूली मुद्दों में से कुछ स्वाभाविक रूप से पर्याप्त एन्ट्रॉपी प्रदान करने में असमर्थ हैं।

एक और समस्या यह है कि कभी-कभी पासवर्ड पुनर्प्राप्ति के लिए सवालों के जवाब सामाजिक नेटवर्क के माध्यम से लीक हो सकते हैं। उदाहरण के लिए, यदि पासवर्ड रिकवरी के लिए प्रश्नों में से एक "आपकी पसंदीदा फिल्म" क्या है, तो बहुत अधिक अनुमान लगाने की जगह है, उदाहरण के लिए, मैं IMDB या फ़ेसबुक पर आपकी प्रोफ़ाइल देख सकता हूँ और वहाँ अपनी पसंदीदा फ़िल्म का नाम पा सकता हूँ, जो आप खुद मेरे लिए देख रहे हैं ।

और एक और समस्या, सबसे मजेदार एक, यह है कि उपयोगकर्ता स्वयं बहुत कमजोर पुनर्प्राप्ति प्रश्नों के साथ आते हैं, उदाहरण के लिए, 2 प्लस 3 क्या होगा? यही है, उपयोगकर्ता सोचता है कि किसी के लिए इस तरह के सवालों का सही जवाब देना एक बड़ी समस्या होगी, लेकिन ज्यादातर लोग जो ट्यूरिंग टेस्ट पास करते हैं, वे सफलतापूर्वक उनका जवाब दे सकते हैं और आपके पासवर्ड का उपयोग कर सकते हैं।



छात्र: क्या पासवर्ड रिकवरी के लिए सवालों के बजाय कुछ अतिरिक्त जानकारी का उपयोग करना संभव है, जैसे हम ईमेल में अपना नाम डालते हैं या हेडर में पत्र की सामग्री का संक्षेप में वर्णन करते हैं - क्या इस तरह का दृष्टिकोण इस तरह की चीजों की सुरक्षा सुनिश्चित कर सकता है?

प्रोफेसर: मैं इस तरह के किसी भी शोध के बारे में नहीं जानता, लेकिन वास्तव में ये चीजें बहुत बेहतर हैं। मुझे यह पता है क्योंकि मैंने इस प्रक्रिया के माध्यम से अपनी प्रेमिका को पाने में मदद करने की कोशिश की। उसने अपने जीमेल खाते पर नियंत्रण खो दिया और यह साबित करने की कोशिश की कि यह उसका खाता है। और साइट के मालिकों ने उससे इस तरह की चीजों के बारे में पूछा, उदाहरण के लिए, जब उसने अपना खाता बनाया, अगर उसने किसी से अपने खाते के बारे में बात की, उदाहरण के लिए, हिज्बुल्लाह, इस पर नियंत्रण खोने से पहले, और इसी तरह। यह वास्तव में एक समय लेने वाली प्रक्रिया है, लेकिन अंत में, पासवर्ड रिकवरी प्रश्नों की तुलना में अतिरिक्त जानकारी एक मजबूत चीज है। मुझे इस विषय का कोई आधिकारिक अध्ययन नहीं पता है, लेकिन ऐसा लगता है कि यह स्पष्ट है।

यदि आपके कोई प्रश्न नहीं हैं, तो हम लेख में वर्णित आज के व्याख्यान के विषय को शुरू कर सकते हैं। इसलिए, लेखक उन कारकों के एक समूह पर विचार करने का प्रस्ताव करते हैं जिनका उपयोग प्रमाणीकरण योजनाओं की प्रभावशीलता का मूल्यांकन करने के लिए किया जा सकता है। इस लेख में वास्तव में जो अच्छा है वह यह है कि यह कहता है कि सुरक्षा समुदाय में हम में से अधिकांश केवल सौंदर्य सिद्धांतों के लिए लड़ते हैं। उदाहरण के लिए, "हमें इसे चुनना होगा क्योंकि मुझे पसंद है कि ब्रेसिज़ कैसे दिखते हैं", या "हमें इसे चुनना होगा क्योंकि यह बहुत सारे गणितीय तरीकों का उपयोग करता है।"

वे कहते हैं, हम प्रभावशीलता के मूल्यांकन के लिए कुछ मानदंड स्थापित करने का प्रयास क्यों नहीं करते हैं? हो सकता है कि इनमें से कुछ मानदंड थोड़े व्यक्तिपरक होंगे, लेकिन आइए हम प्रमाणीकरण योजनाओं के मूल्यांकन के तरीकों को व्यवस्थित करने का प्रयास करें। आइए बस देखते हैं कि इन विभिन्न पैटर्नों को अलग-अलग ढेर में कैसे ढेर किया जाता है।

लेख के लेखकों ने इन योजनाओं के मूल्यांकन के लिए तीन उच्च-स्तरीय मापदंडों का प्रस्ताव किया। पहला पैरामीटर प्रयोज्य है। इस पैरामीटर में पहली आवश्यकता प्रमाणीकरण विधि सीखने में आसानी है। इसका मुख्य विचार उपयोगकर्ताओं के लिए प्रमाणीकरण योजना के साथ बातचीत करना कितना आसान है। उदाहरण के लिए, वे कुछ विशिष्ट गुणों को नोट करते हैं, उदाहरण के लिए, क्या यह विधि सीखना आसान है, और क्या यह उपयोगकर्ता पहचान योजना सीखना आसान है।

इनमें से कुछ श्रेणियां काफी सरल हैं, कुछ में कुछ चालें शामिल हैं, लेकिन यह बहुत मायने रखता है। यदि आप पासवर्ड देखते हैं, तो वे इस आवश्यकता को पूरा करते हैं, क्योंकि सभी का उपयोग पासवर्ड का उपयोग करने के लिए किया जाता है, इसलिए हम कहेंगे कि उनका उपयोग सीखना आसान है, और "हां" का जवाब देना है।

दूसरी आवश्यकता प्रमाणीकरण त्रुटियों की दुर्लभता है। इसका मतलब है कि यदि आप सिस्टम के वास्तविक उपयोगकर्ता हैं, तो आपको प्रमाणित करने का प्रयास करते समय कोई त्रुटि नहीं होनी चाहिए। और यहां, पासवर्ड के संबंध में, लेखक कहते हैं कि वे सशर्त रूप से इस पैरामीटर के अनुरूप हैं। इस मामले में "सशर्त रूप से" का अर्थ है कि लेखक अपने मूल्यांकन में विषय की उपस्थिति को पहचानते हैं। इस प्रकार, इस सवाल के लिए कि क्या त्रुटियों को पासवर्ड के साथ प्रमाणीकरण के दौरान शायद ही कभी होता है, हम निश्चित रूप से या तो "हां" या "नहीं" का जवाब नहीं दे सकते हैं।

एक नियम के रूप में, आप अपने आप को प्रमाणित कर सकते हैं, लेकिन उदाहरण के लिए, जब आप खराब तरीके से सोचते हुए, सुबह 3 बजे मेल सर्वर तक पहुंचने का प्रयास करते हैं, और कई बार गलत पासवर्ड दर्ज करते हैं, तो इस मामले में आप प्रमाणीकरण प्रणाली की त्रुटि को स्वीकार कर सकते हैं। इसलिए, उनका मानना ​​है कि पासवर्ड सशर्त रूप से इस आवश्यकता को पूरा करते हैं।

अगली आवश्यकता उपयोगकर्ताओं के लिए स्केलेबिलिटी है। यहां मुख्य विचार यह है कि यदि किसी उपयोगकर्ता के पास विभिन्न सेवाओं का एक समूह है जिसमें वह खुद को प्रमाणित करना चाहता है, तो क्या यह योजना अच्छी तरह से लागू होती है? क्या उपयोगकर्ता को प्रत्येक योजना के लिए कुछ नया याद रखना चाहिए? यहां पासवर्ड के संबंध में, लेखक स्पष्ट रूप से "नहीं" कहते हैं, क्योंकि पासवर्ड के साथ प्रमाणीकरण इस आवश्यकता को पूरा नहीं करता है। क्योंकि व्यवहार में, उपयोगकर्ताओं को उनके द्वारा देखी जाने वाली प्रत्येक साइट के लिए एक अलग पासवर्ड याद रखना बहुत मुश्किल है। वास्तव में, यह एक कारण है कि लोग अक्सर विभिन्न सेवाओं में प्रमाणीकरण के लिए एक ही पासवर्ड का उपयोग करते हैं।

एक और प्रयोज्य आवश्यकता वसूली की आसानी है। यही है, क्या होता है यदि आप प्रमाणीकरण के लिए टोकन खो देते हैं, तो इस स्थिति में आपका पासवर्ड, क्या इसे रीसेट करना आसान है? इस मामले में, पासवर्ड का जवाब हां है। वास्तव में, उन्हें रीसेट करना और भी आसान है, जैसा कि हमने कुछ मिनट पहले चर्चा की थी।

अगली आवश्यकता कुछ अतिरिक्त की आवश्यकता नहीं है, प्रमाणीकरण के लिए किसी भी अतिरिक्त साधन को ले जाने के लिए नहीं। उदाहरण के लिए, काल्पनिक प्रमाणीकरण प्रोटोकॉल के लिए आवश्यक है कि आप किसी प्रकार का स्मार्टफ़ोन अनुप्रयोग चलाएं, या किसी प्रकार का सुरक्षा टोकन, स्मार्ट कार्ड और पसंद करें। तो यह एक भारी बोझ है। हो सकता है कि स्मार्टफोन के साथ इतनी समस्याएं न हों, यह प्रमाणीकरण के लिए एप्लिकेशन इंस्टॉल करने के लिए पर्याप्त है, लेकिन हर समय अन्य गैजेट्स में से एक को ले जाना काफी असुविधाजनक है। इसलिए, पासवर्ड की एक अच्छी संपत्ति यह है कि आपको इसे केवल अपने मस्तिष्क में अपने साथ रखना होगा, जो आपको हमेशा आपके पास होना चाहिए।



प्रमाणीकरण योजना की प्रयोज्यता के मानदंड यहां दिए गए हैं। एक सामान्य अर्थ में, यह रुचि है कि सुरक्षा समुदाय के लोग इन मानदंडों के महत्व के बारे में कैसे असहमत हैं। उदाहरण के लिए, वे कहते हैं: "यह बात एन्ट्रापी के एक लाख टुकड़ों का उपयोग करती है, और केवल एक सार्वभौमिक तबाही इसे दरार कर सकती है", जबकि यह भूल जाते हैं कि प्रमाणीकरण योजनाओं के लिए उपरोक्त आवश्यकताएं भी महत्वपूर्ण हैं।

इसलिए, प्रमाणीकरण योजना का मूल्यांकन करने के लिए लेख के लेखक उपयोग करने वाले अगले उच्च-स्तरीय पैरामीटर को लागू करने योग्य हैं। यह वर्णन करता है कि मौजूदा नेटवर्क सेवाओं में इस प्रमाणीकरण प्रणाली को लागू करना कितना आसान है। उदाहरण के लिए, वे सर्वर संगतता को देखते हैं, अर्थात, क्या इस योजना को आधुनिक सर्वर में एकीकृत करना आसान है जिसमें टेक्स्ट पासवर्ड के उपयोग पर प्रमाणीकरण आधारित है? इस अर्थ में, पासवर्ड इस आवश्यकता का पूरी तरह से पालन करते हैं, इसलिए हम "हां" का उत्तर दे सकते हैं।

दूसरी आवश्यकता ब्राउज़र संगतता है, यह पिछले एक के समान है और कहती है, क्या मैं इस प्रमाणीकरण योजना का उपयोग मौजूदा लोकप्रिय ब्राउज़रों के लिए प्लग-इन या ऐसा कुछ स्थापित करने की आवश्यकता के बिना कर सकता हूं? फिर, यहां पासवर्ड डिफ़ॉल्ट रूप से जीतते हैं।

एक और दिलचस्प आवश्यकता पहुंच, अधिकता है। यही है, क्या कुछ शारीरिक विकलांग लोग इस प्रमाणीकरण योजना का उपयोग करने में सक्षम होंगे, उदाहरण के लिए, अपर्याप्त मोटर कौशल और इस तरह की सुनवाई के साथ अंधे या कठोर। यह वास्तव में एक बहुत महत्वपूर्ण आवश्यकता है।

यहां लेखक एक बार फिर "हां" कहते हैं, जो थोड़ा अजीब है, क्योंकि यह स्पष्ट नहीं है कि विकलांग लोग पासवर्ड का उपयोग कैसे कर सकते हैं, लेकिन लेखक कहते हैं कि वे कर सकते हैं।



ये वे आवश्यकताएं हैं जो आपको इस प्रमाणीकरण योजना को लागू करने की क्षमता के बारे में विचार करना चाहिए। तैनाती के विशेष महत्व का कारण यह है कि नई योजना को लागू करने के लिए इन सभी चीजों को अपग्रेड करना बेहद मुश्किल है, क्योंकि लोगों को कुछ अद्यतन करने के लिए प्राप्त करना मुश्किल हो सकता है। मेरा मतलब है, अक्सर लोग अपनी मशीनों को फिर से शुरू करने और एक नया ओएस अपडेट स्थापित नहीं करना चाहते हैं। इसलिए, महान कठिनाइयां उत्पन्न होती हैं यदि प्रमाणीकरण योजना को सर्वर पर बदलाव की आवश्यकता होती है जो किसी भी अतिरिक्त संचालन को करने के लिए सर्वर की सेवा करने वाले लोगों को मजबूर करती है। यह आपके प्रश्न के लिए प्रासंगिक है, क्यों हम किसी अतिरिक्त जानकारी का उपयोग नहीं करते हैं या पासवर्ड की शक्ति में सुधार नहीं करते हैं। कई मामलों में तैनाती की विशेषताएं लोगों के लिए बहुत महत्वपूर्ण हैं।

इसलिए, अंतिम पैरामीटर जो हम विचार करेंगे सुरक्षा है। यह योजना किस प्रकार के हमलों को रोक सकती है? मैं Res द्वारा इस विशेषता को निरूपित करूंगा - फू को अनुकूलनशीलता, जहां फू कोई भी प्रभाव है जो नुकसान पहुंचा सकता है।

उदाहरण के लिए, पहली विशेषता भौतिक अवलोकन, "झाँकने" या "उकसाने" के लिए प्रणाली की स्थिरता को इंगित करती है। मुद्दा यह है कि हमलावर कई बार सिस्टम में अपने प्रमाणीकरण को देखने के बाद वास्तविक उपयोगकर्ता का उपयोग नहीं कर सकता है। कल्पना करें कि आप एक कंप्यूटर क्लास में हैं, और कोई व्यक्ति आपके पीछे खड़ा है और देख रहा है कि आप क्या टाइप करते हैं। शायद कोई आपको वीडियो पर फिल्म दे रहा है, शायद किसी के पास एक माइक्रोफोन है जो आपके कीबोर्ड के ध्वनिक हस्ताक्षर को "बंद" करता है और उससे कुछ और निकालने की कोशिश कर रहा है।

लेख के लेखकों का कहना है कि पासवर्ड इस आवश्यकता को पूरा नहीं करते हैं, क्योंकि एक हमलावर वीडियो देख सकता है और काफी आसानी से पता लगा सकता है कि आपने कौन से अक्षर टाइप किए हैं। मुद्रण योग्य वर्णों की पहचान करने के लिए कीबोर्ड पर ध्वनिक फ़िंगरप्रिंट का उपयोग करने वाले हमले होते हैं। इसलिए पासवर्ड भौतिक टिप्पणियों के लिए प्रतिरोधी नहीं हैं।

– , . , - – , , , , , . , , - , , , , , . « – ».
, , , - - , .

, . – . , , , Antihammering. , , «». , „“, , , , . .

– . , , . , . , «» , .

, , .

. , , , , , , , . , , , .

- , , . . .

, , . — . , , , DNS - , , . , : «, , , ». , , .



. : . , , . , , , , . , , .

, , , , , , , . . , , , , , , , .

, , , .

– , . , , . , . , – , .
, , , HTTPS . , CA, . - , , .



, , «». , . , - Gmail, Facebook.

, , . , .

, . , , . , , , , .

बायोमेट्रिक्स की दिलचस्प विशेषताओं में से एक कुंजी का आयाम है, जो एंट्रोपी की डिग्री निर्धारित करता है। चाबियों का आयाम उतना महान नहीं है जितना होना चाहिए। उदाहरण के लिए, उंगलियों के निशान के लिए, कुंजी आयाम लगभग 13.3 बिट्स है, आंख की रेटिना को स्कैन करने के लिए 19.9 बिट्स है, आवाज की पहचान के लिए एक महत्वपूर्ण आयाम है, या 11.7 बिट्स के क्रम का एक एन्ट्रापी सूचकांक है।

54:15 सेकंड

एमआईटी पाठ्यक्रम "कंप्यूटर सिस्टम सुरक्षा"। व्याख्यान 17: "उपयोगकर्ता प्रमाणीकरण", भाग 3


पाठ्यक्रम का पूर्ण संस्करण यहां उपलब्ध है ।

हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

VPS (KVM) E5-2650 v4 (6 करोड़) 10GB DDR4 240GB SSD 1Gbps दिसंबर तक मुफ्त में जब छह महीने की अवधि के लिए भुगतान करते हैं, तो आप यहां ऑर्डर कर सकते हैं ।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps 100 टीवी 249 डॉलर में नीदरलैंड और यूएसए से है! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?