Windows otda foydalanuvchi qayd yozuvini xususan paroldan foydalanish siyosatini sozlash

Bog’liq
Kiberxafsizlik Maruza
4-практика№4, Algebra va matematik analiz fanidan lug at (R.Yarqulov, M.Barakayeva), Маъмуралиев Авазбек 1, Мустакил иш, Мустакил иш, Амалиёт-15, fulltext, sss, civil proj advt, civil proj advt, problem, integral tenglamalarni yechish metodlari — копия, VLSI Implementation of Cellular Neural N, Sayt nomi, Sayt nomi

Bu sahifa navigatsiya:
• TEKSHIRDI : Xudoyqulov Zarif To’raqulovich TOSHKENT-2021 Reja

Zaripov Nozimbek Nayimovich  BuxDU “Axborot texnologiyalari” kafedrasi o`qituvchisi

Shadmanov Istam Uktamovich BuxDU “Axborot texnologiyalari” kafedrasi o`qituvchisi

Shadmanova Kamola Umid qizi BuxDU “Amaliy matematika va informatika” ta`lim yo`nalishi talabas

Tayanch so`zlar: foydalanuvchi, parol, shifrlash, havfsizsizlik, globallashuv, axborot, avtomatlashtirilgan tizimlar

Ключевые слова: пользователь, пароль, криптография, безопасность, глобализация, информация, автоматизированные системы

Key words: user, password, cryptography, security, globalization, information, automated systems

 Kamdan-kam holatlarda foydalanuvchilar topilishi qiyin va oson esda qoladigan parol tanlashadi. Bu esa tizim xavfsizligini susaytiradi. Muammoni yechishda, foydalanuvchilar parol qo`yish siyosati talablarini bilishlari kerak.

Пользователи редко выбирают пароли, которые являются трудно догадаться, и легко запомнить, что, к сожалению, может привести к уязвимости системы безопасности. Эта проблема усугубляется тем, что пользователи должны иметь дело с требованиями политики пароле

Users rarely choose passwords that are both hard to guess and easy to remember, which unfortunately can cause security vulnerabilities. This problem is exacerbated by the fact that users have to deal with password policy requirements

Bugungi globallashuv jarayonida insonlarga qulaylik yaratish maqsadida juda ko’p avtomatlashtirilgan elektron tizimlar tadbiq qilinmoqda. Bunday tizimlarga bank tizimi, soliq tizimi, hukumat tizimi, tashkilot va ta’lim tizimlari kabi juda ko’p misollar olish mumkin. Tizimga kirish uchun foydalanuvchilar o`zlarining login (tizimdagi ism) va paroliga ega bo’lishi zarur. Ularning login va parollari tizim ma’lumotlari omborida maxsus unikal kod-identifikator (ID) bilan farqlanadi. Foyadalanuvchi paroli tizim himoyasining old qatori hisoblanadi. Parol tizim ma’lumotlar omboridagi foydalanuvchi IDsini aniqlaydi. Identifikatorga foydalanuvchi haqida quyidagi ma’lumotlar beriladi:

·         ID foydalanuvchi ro’yxatdan o’tgan-o’tmaganligini va qancha vaqt foydalanish huquqi berilganigini aniqlaydi;

·         ID foydalanuvchiga qanday rol berilganligini aniqlaydi,  ya’ni foydalanuvchi faqat ma’lumotdan foydalanishi yoki qo’shimcha uni taxrirlashi mumkin;

·         ID foydalanuvchining to’liq ma’lumotlarini aniqlaydi;

Foydalanuvchi paroli tizim uchun muhim ahamiyatga egaligini anglash maqsadida elektron tizimlarda foydalanuvchi parolini himoya qilishning eng samarali usullaridan biri – parolni yashirish, uni ochiq holda qoldirmaslikni quyidagi sxemada ko’ramiz.

Ushbu 1-rasmda keltirilgan sxemada foydalanuvchi tomonidan kiritiladigan parol faqat tizimga ma’lum bo’lgan ihtiyoriy o’zgaradigan matn (IM) bilan shifrlash qoidalari asosida kodlanadi va hosil bo’lgan kodlangan matn (KM) foydalanuvchi paroli sifatida ma’lumotlar omboriga joylashtiriladi. Parollar omborida foydalanuvchining asl paroli o’rniga boshqa kodlangan matn hosil bo’lishi tizimning hafsizligini kuchaytiradi. Bu foydalanuvchi parolisiz tizimga kirish imkoni yoqligini yoki bu uchun ko’p vaqt ketishini anglatadi.

Kodlangan matnni topish murrakabligini oshirish maqsadida tizimning IM ga quyidagicha talablar qo’yiladi:

• Bir-xil parollar bo’lishini oldinini oladi, yani bir nechta foydalanuvchilar bir-xil parol qoyganda ham IM orqali turli-xil kodga o’zgaradi;
• Parol uzunligini ortiradi va bu parolni topilish ehtimolini pasaytiradi. Agar  IM ning uzunligi 16 ga teng bo’lsa, KM ning uzunligi o’z-o’zidan 16 dan katta  bo’ladi;
• Foydalanuvchilar porol qo’yishidagi kamchiliklarini tuzatadi.

 Foydalanuvchi tizimga qayta kirishida, foydalanuvchi paroli dastlab parollar omboridagi IM bilan shifrlash algoritimida kodlanadi va ombordagi KM bilan taqqoslanadi. Shundan so’ng foydalanuvchiga tizimga kirishga ruxsat beriladi (2-rasm) .

Tizim xavfsizligi mutaxassis dasturchilar, tizim adminstratorlari tomonidan mustahkamlangandan so’ng muammo foydalanuvchi parolida qoladi. Agar foydalanuvchi o’z parolini birovga oshkor qilsa yoki topilishi oson bo’lgan parol qoysa, tizimga ruxsatsiz kiruvchilar hosil bo’ladi. Buning natijasida ma’lumotlar omborining yaxlitligi buziladi va tizimning xafsizligi bu

Albatta, harf, raqam va maxsus belgilardan mukamal tuzilgan sakkiz belgili  parol doimiy xafsizlik garovi bo’laolmaydi. Kompyuter texnalogiyalaring tez rivojlanib borishi, ularning ishlash tezligi oshgan holda millionlab vazifalarni bir soniyada bajarishi extimoldan holi emas. Ammo bu ma’lum bir vaqt talab etadi. Shuning uchun parolni tez-tez yangilab turish maqsadga muvofiq.

Misol sifatida elektron bank tizimini olaylik. Juda ko’p rivojlangan davlatlar bank tizimlarida, mijozlar  e-banking xizmatidan foydalanish va o’zlarining hisob saxifalariga ko’rish uchun quyidagilarni kiritishadi:

• Login – o’zgarmas, bankda dastlabki ro’yxatdan o’tishda beriladi;
• Parol – foydalanuvchi tomonidan ixtiyoriy vaqtda o’zgartirish mumkin;
• Kalit – bu bank tomonidan berilgan elektron qurilmadan kiritiluvchi sonlar;

Kalit elektron qurulmasidagi sonlar qisqa vaqt ichida (20-30 soniyada) ixtiyoriy o’zgaradi, bu o’zgarish bankning ro’yxatdan o’tqazuvchi serveridagi sonlar bilan bir-xil vaqtda va bir-xil sonlarga o’zgaradi. (4-rasm)

Avtomatlashtirilgan elektron tizimlarning ortib borishi foydalanuvchilarga ularga kirish parolini eslab qolish yoki havfsiz parol qo`yish muammosini olib kelmoqda.

Parol(ing. password) bu — amaliy munosabat boshlash uchun ishlatiladigan, subektning siri  hisoblanadigan  identifikator.  Tizimga  kirish  uchun  klaviatura  tugmalarini  bosish ketma-ketligi. Parol  simvollar  (harflar,  raqamlar,  maxsus  belgilar) kombinatsiyasi bo‘lib, uni faqat parol egasi bilishi kerak.

Kompyuterning  zamonaviy  operatsion  tizimlarida  paroldan foydalanish  o‘rnatilgan.  Parol  xeshlangan  holatda  kompyuterning  qattiq diskida saqlanadi. Parollarni taqqoslash operatsion tizim (OT) tomonidan foydalanuvchi  huquqiga  mos  imkoniyatlar  yuklangunga  qadar  amalga oshiriladi.  Lekin,  kompyuterning  OTdan  foydalanishda  kiritiladigan foydalanuvchi  parolidan  tashqari,  Internetda  ro‘yxati  keltirilgan  ayrim «texnologik» parollardan ham foydalanish mumkin.  Ko‘pgina  kompyuter  tizimlarida  identifikator  sifatida,  foydalanishga ruxsat  etilgan  subyektni  identifikatsiyalovchi  kod  yozilgan  yechib olinuvchi axborot tashuvchilardan foydalaniladi. 

Foydalanuvchilarni  identifikatsiyalashda,  tasodifiy  identifikatsiyalash kodlarini hosil qiluvchi – elektron jetonlardan keng foydalaniladi. Jeton – bu,  harflar  va  raqamlarning  tasodifiy  ketma-ketligini  (so‘zni)  yaratuvchi qurilma. Bu so‘z kompyuter tizimidagi xuddi shunday so‘z bilan taxminan minutiga bir  marta sinxron tarzda o‘zgartirib turiladi.  Natijada, faqatgina ma’lum  vaqt  oralig‘ida  va  tizimga  faqatgina  bir  marta  kirish  uchun foydalanishga yaraydigan, bir martalik parol ishlab chiqariladi. Boshqa bir turdagi  jeton  tashqi  ko‘rinishiga  ko‘ra  kalkulatorga  o‘xshab  ketadi. Autentifikatsiyalash  jarayonida  kompyuter  tizimi  foydalanuvchi monitoriga raqamli ketma-ketlikdan iborat so‘rov chiqaradi, foydalanuvchi ushbu so‘rovni jeton tugmalari orqali kiritadi. Bunda jeton o‘z indikatorida akslanadigan javob ketma-ketligini ishlab chiqadi va foydalanuvchi ushbu ketma-ketlikni  kompyuter  tizimiga  kiritadi.  Natijada,  yana  bir  bor  bir martalik  qaytarilmaydigan  parol  olinadi.  Jetonsiz  tizimga  kirishning imkoni  bo‘lmaydi.  Jetondan  foylanishdan  avval  unga  foydalanuvchi o‘zining shaxsiy parolini kiritishi lozim. 

            Atrubutivli identifikatorlardan (parollardan tashqari) ruxsat berilish va qayd qilish chog‘ida foydalanilish mumkin yoki ular ish vaqti tugagunga qadar ishlatilayotgan qurilmaga doimiy ulangan holda bo‘lishi shart. Qisqa vaqtga  biror  joyga  chiqilganda  ham  identifikator  olib  qo‘yiladi  va qurilmadan  foydalanish  blokirovka  qilinadi.  Bunday  apparat-dasturiy vositalar  nafaqat  qurilmalardan  foydalanishni  cheklash  masalalarini  hal qila  oladi,  shu  bilan  birga  axborotlardan  noqonuniy  foydalanishdan himoyalashni  ta’minlaydi.  Bunday  qurilmalarning  ishlash  prinsipi qurilmaga o‘rnatilgan OT funksiyalarini kengaytirishga asoslangan. 

Autentifikatsiyalash jarayoni kompyuter tizimlari bilan ruxsat etilgan subyekt  orasida  amalga  oshiriladigan  dialogni  ham  o‘z  ichiga  olishi mumkin.  Ruxsat  etilgan  subyektga  bir  qator  savollar  beriladi,  olingan javoblar  tahlil  qilinadi  va  ruxsat  etilgan  subyektning  aslligi  bo‘yicha yakuniy xulosa qilinadi. 

            Kompyuter  tizimlarining  xotira  qurilmalarida,  odatda  tizim konfiguratsiyasi  haqidagi  ma’lumotlar  saqlanadi.  Bunday  ma’lumotlarga: qurilmaning (bloklarning) turi va ularning tavsiflari, tashqi qurilmalarning soni  va  ulanish  sabablarini  o‘ziga  xos  xususiyatlari,  ish  rejimlari  va boshqalarni  kiritish  mumkin.  Konfigursiyaning  muayyan  tuzilishi kompyuter  tizimlarining  va  OTning  turiga  qarab  aniqlanadi.  Har  qanday holatda  ham  dasturiy  vositalar  yordamida  KT  konfiguratsiyasi  haqidagi ma’lumotlarni  yig‘ish  va  taqqoslashni  tashkil  etish  mumkin.  Agar kompyuter tarmoqda ishlayotgan bo‘lsa, hech bo‘lmaganda uni tarmoqqa ulash paytida kompyuterning konfiguratsiyasi nazoratdan o‘tkaziladi.  Nazoratning  yanada  ishonchli  va  tezkor  usuli,  qurilmaning  maxsus kod  –  identifikatoridan  foydalanish  hisoblanadi.  Bu  kod  qurilma vositalarida  hosil  qilinadi  va  xotira  qurilmasida  saqlanishi  mumkin.

Himoyalovchi apparat-dasturiy komplekslarning ko‘pchiligi maksimal sondagi  himoyalash  mexanizmlaridan  foydalaniladi.  Bu  mexanizmlarga quyidagilar kiritish mumkin: 

– foydalanuvchilarni identifikatsiyalash va autentifikatsiyalash;

– fayllar, papkalar, disklardan foydalanishga ruxsatni cheklash; 

– dasturiy vositalar va axborotlar butunligini nazorat qilish;

– foydalanuvchi uchun funksional yopiq muhitni yaratish imkoniyati;

– OTni yuklanish jarayonini himoyalash; 

– foydalanuvchi yo‘qligida kompyuterni blokirovka qilish;

– ma’lumotlarni kriptografik o‘zgartirish; 

– hodisalarni qayd qilish;

– xotirani tozalash. 

Axborotni  muhofaza  qilishda  yetarli darajadagi  yutuqlarga  erishish  uchun  huquqiy,  tashkiliy  va  texnik choralarni  birgalikda  amalga  oshirish  zarur.  Bu  himoyalanadigan axborotning  konfedensialligi,  tahdidning  tasnifi  va  himoya  vositalarining mavjudligi  bilan  belgilanadi.  Umumiy  holda  xavfsizlikni  ta’minlashning kompleks choralariga quyidagilarni kiritish mumkin:

–  ruxsatsiz foydalanishdan kompleks himoya qilish vositalari;

–  apparat-dasturiy vositalar; 

–  kriptografik muhofaza qilishning kompleks vositalari;

–  injener-texnik tadbirlar;

–  texnik kanallarni blokirovkalash kompleks vositalari;

–  obyektlarni jismoniy qo‘riqlashni kiritish mumkin.

Bu  choralarning  har  biri  boshqasini  to‘ldiradi,  bironta  usulning yo‘qligi  yoki  yetishmasligi  yetarli  darajadagi  himoyaning  buzilishiga sabab bo‘lishi mumkin.

            Hozirgi kunda elektron tizimlarga kirish uchun foydalanuvchi tomonidan qo`yiladigan parol tez-tez yangilanib turilishi va  belgilar soni sakkiztadan ko`p bo`lgan raqamlar, katta-kichik harflar va !@#$%^&*()_+”?>+=< kabi  belgilar birlashmasidan iborat bo`lishi maqsadga muvofiqdir.

ADABIYOTLAR

1. Henk C.A. van Tilborg, Sushil Jajodia. Encyclopedia of Cryptography and Security.-NY.: Springer, 2011.- P. 957-958.

2. S.K. G`aniyev,  М.М. Karimov,  К.А. Toshev.  Axborot xafsizligi. Axborot-kommunikatsiya tizimlari xafsizligi. T.: Aloqachi, 2008, — B. 379.

3. Shirley Gaw, Edward W. Felten. Password Management Strategies for Online Accounts. Princeton University, 2002.- P. 25-27.

4. William Stallings. Cryptography and Network Security Principles and Practices., Fifth Edition.-NY.: Pearson, 2011. — P. 769-775.

Qayd yozuvi siyosati xavfsizlik paramеtrlarini sozlash Windows muxitida boshqarish uchun MMC (Microsoft Management Console –Microsoft bashqaruv konsoli) vositasi ishlatiladi. MMC ni ishga tushirish uchun buyruq satrida mmc ni tеrish kеrak.

MMS asosan Windows tizimida barcha vositalarni boshqarish uchun intеrfеyslarni ta’minlaydigan vositalarni chaqirish uchun mo’ljallangan. MMS da xavfsizlikning lokal paramеtrlarini o’rnatish uchun buyruq satrida secpol.msc ni kitirish kеrak.

Windows XP da qayd yozuvi siyosatining xavfsizlik paramеtrlari o’z ichiga quiyidagilarni oladi:

1. Parollar siyosati

2. Qayd yozuvi blokirovkasi siyosati

qayd yozuvi siyosatining mazkur xavfsizlik parmеtrlari opеratsion tizimini xavfsizligini ta’minlash uchun asosiy paramеtrlaridan biri xisoblanadi.

1. “Politika parolеy” – “Parollar siyosati” Parollar xavfsizligi siyosatini rеjalashtirish va o’tkazish xavfsizlikning kalit paramеtrlaridan biri bo’lib xisoblanadi.  Parollar xavfsizlik siyosatini sozlamasa va uni qo’llamasa, foydalanuvchilar o’zgartirishni talab qilmaydigan kuchsiz parollarni kiritib qo’yishlari mumkin. Bunday xollarda parollarni elеmеntar tеrish orqali katta imkoniyat va muvoffaqiyatlarga erishish mumkin. 

Bu bo’limda quiyidagi paramеtrlar ko’rib chiqiladi:

 1.1 “Trеbovat nеpovtoryaеmosti parolеy”–“Parollarni taktorlanmasligini talab qilish”

Foydalanuvchining qayd yozuvi tomonidan qo’yiladigan yangi parollar sonini aniqlaydi, shundan so’ng eski parollarni ishlatish mumkin bo’ladi. Bu qiymat 0 dan 24 oralig’ida bo’ladi. Mazkur siyosat bitta eski parolni qayta-qayta ishlatishni taqiqlash bilan ma’murlarga xavfsizlik darajasini oshirishga imkon bеradi.

Parollarni samarali o’zgaruvchanligiga erishish uchun “Minimalno`y srok dеystviya parolya” – “Parolning minimal muddati” paramеtrini sozlashda, parollarni darxol o’zgartirishga ruxsat bеrmang. Standart buyicha(Po umolchaniyu): 1.

 1.2 “Maksimalno`y srok dеystviya parolya” – “Parolning maksimal muddati”

Parolni tizim foydalanuvchidan uni o’zgartirishni talab qilgungacha bo’lgan muddatda (kunlarda) ishlatish imkonini bеradi. 1 dan 999 kun oralig’ida qiymat bеrish yoki barcha chеklanishlarni olib tashlab 0 qiymat bеrish mumkin.

Standart bo’yicha(Po umolchaniyu: 42.

 1.3 “Minimalno`y srok dеystviya parolya” – “Parolning minimal muddati”

Parolni foydalanuvchi uni o’zgartirguncha bo’lgan muddatda (kunlarda) ishlatish imkonini bеradi. 1 dan 999 kun oralig’ida qiymat bеrish yoki darxol o’zgartirishga ruxsat bеrish uchun 0 qiymat bеrish mumkin.

Parolning minimal muddati Parolning maksimal muddati qiymatidan kichik bo’lishi shart.

  “Trеbovat nеpovtoryaеmosti parolеy” – “Parolni takrorlanmasligini talab qilish” paramеtri samarali ishlashi uchun parolning minimal muddatini noldan farqli songa o’zgartirish kеrak, aks xolda foydalanuvchi ko’zda tutgan barcha eski parollarini tеrish yo’li bilan kеraklisini topib olishi mumkin. Ma’mur foydalanuvchiga parol bеrishi va tizimga kirgandan so’ng uni o’zgartirishini talab qilishi uchun bu paramеtr standart buyicha (po umolchaniyu) nol qiymatda turadi. Agar majburiy takrorlanmaydigan parollar soni 0 qiymatga ega bo’lsa, u xolda foydalanuvchi yangi parolni tеrishi kеrak emas bo’ladi. Shuning uchun takrorlanmaydigan parollar soni standart buyicha  1 ga tеng.

Standart buyicha: 0.

 1.4 “Minimalnaya dlina parolya” – “Parolning minimal uzunligi”

Foydalanuvchi qayd yozuvi paroli tashkil topishi mumkin bo’lgan eng kam bеlgilar sonini aniqlaydi. 1 dan 14 oralig’ida bеlgilar qiymatini yoki uni nolga tеng qilib, parol ishlatishni bеkor qilish mumkin. Standart buyicha: 0.

1.5 “Parol doljеn otvеchat trеbovaniyam slojnosti” – “Parol murakkablik talabiga javob bеrishi shart”

Parol murakkablik talabiga javob bеrishi yoki bеrmasligini aniqlaydi.

Agar bu siyosat o’rnatilgan bo’lsa, u xolda parol quiyidagi minimal talablarga javob bеrishi shart:

• Parol foydalanuvchi qayd yozuvi nomini yoki uni qismini o’z ichiga olmasligi shart.
• Parol oltita bеlgidan kam bo’lmasligi zarur.
• Parolda quiyidagi to’rtta toifalardan uchtasidagi bеlgilar ishtirok etishi kеrak:

—          Lotin alifbosidagi A dan Z gacha bosh xarflar;

—          Lotin alifbosidagi kichik xarflar a dan z gacha; O’nlik sonlari ( 0 dan 9 gacha);

—          Alifbo-raqamli majmuaga kirmaydigan bеlgilar (misol uchun, !, $, #, %). Bu talablarni bajarilishi parolni yaratishda yoki o’zgartirishda tеkshiriladi.

Standart buyicha: “otklyuchеn” – “o’chirilgan”.

 1.6 “Xranit parolеy vsеx polzovatеlеy v domеnе ispolzuya obratimoе shifrovaniе” – “Barcha foydalanuvchilar parolini qaytuvchi shifrlashni ishlatib domеnda saqlash”

Parolni qaytuvchi shifrlashni ishlatib saqlashni kеrak yoki kеrak emasligini aniqlaydi.

Bu siyosat haqiqiylikni aniqlash uchun foydalanuvchi parolini bilish zarur bo’lgan, bayonnomalarni ishlatuvchi ilovalarni (prilojеniе) kuvvatlashni ta’minlaydi.  Parollarni qaytuvchi shifrlab saqlash usuli – bu baribir ularni xuddi ochiq matnda saglagan bilan bir xil. Shuning uchun mazkur siyosatni kamdan-kam xolatlarda, agar qo’llanma talabi parolni ximoyasidan muhimroq bo’lgan xollarda ishlatish mumkin.

Standart buyicha: “otklyuchеn” – “o’chirilgan”.

 2. “Politika blokirovki uchеtnoy zapisi” – “qayd yozuvini «blokirovka» qilish siyosati”

Bu qachon va qancha muddatga qayd yozuvi blokirovka bo’lishini ko’rsatadi.  Maksimal xavfsizlik uchun bular aniq o’rnatilgan bo’lishi kеrak, aks xolda potеntsial buzg’unchi to’li? erkinlikka ega bo’lib, xoxlagan vaqtgacha parolni tеrib ko’rishi mumkin.

Bu bo’limda quiyidagi paramеtrlar ko’rib chiqiladi:

2.1   “Blokirovka uchеtnoy zapisi na ….“ – “ …. muddatga qayd yozuvini blokirovka qilish”

qayd yozuvi avtomatik ravishda blokirovka еchilguncha blokirovka xolatida bo’lish muddati (daqiqalar soni). Bu paramеtr 1 dan 99 999 gacha qiymatni qabul qiladi. Agar 0 qiymati o’rnatilsa, u xolda qayd yozuvi ma’mur blokirovkani еchmaguncha blokirovka xolatida bo’ladi.

Agar blokirovkaning chеgaraviy qiymati aniqlangan bo’lsa, u xolda mazkur blokirovka oralig’i boshlang’ich (nol) xolatga qaytish oralig’idan katta yoki tеng bo’lishi kеrak.

Standart buyicha: “nе oprеdеlеn” – “aniqlanmagan”, chunki mazkur paramеtr “Porogovoе znachеniе blokirovki” – “Blokirovkaning chеgaraviy qiymati” paramеtri kiritilgandagina ma’noga ega bo’ladi.

 2.2 “Porogovoе znachеniе blokirovki” – “Blokirovkaning chеgaraviy qiymati”

Tizimga kirishning muvaffa?iyatsiz urinishlar sonini aniqlaydi, shundan so’ng foydalanuvchining qayd yozuvi blokirovka qilinadi. Blokirovka qilingan qayd yozuvini ma’mur tomonidan blokirovka olib tashlanguncha yoki blokirovka vaqti tugagunga qadar ishlatib bo’lmaydi. 1 dan 999 gacha qiymat bеrish yoki 0 qiymat bеrib qayd yozuvi blokirovkasini taqiqlab qo’yish mumkin.

CTRL+ALT+DEL tugmalari yoki ekran kurinishi yordamida blokirovka qilingan ishchi stantsiyaga yoki bir qator sеrvеrlarga uzluksiz ravishda noto’g’ri parollarni kiritish tizimga kirishning muvoffa?iyatsiz urinishi bo’lib xisoblanmaydi.

Standart buyicha: “otklyuchеn” – “o’chirilgan”

 2.3 “Sbros schеtchika blokirovki chеrеz…” – “… dan so’ng blokirovka xisoblagichini boshlang’ich (nol) xolatga kеltirish”

Tizimga kirishning muvaffaqiyatsiz urinishdan so’ng muvaffaqiyatsiz urinishlar xisoblagichi boshlang’ich (nol) xolatiga kеltirilguncha bo’lgan vaqt (daqiqalar soni) ni aniqlaydi. Bu paramеtr 1 dan 99 999 gacha qiymatni qabul qiladi.

Agar blokirovkaning chеgaraviy qiymati aniqlangan bo’lsa, mazkur boshlang’ich xolatga kеltirish oralig’i “Blokirovka uchеtnoy zapisi na …” – “… muddatga qayd yozuvini blokirovka qilish” oralig’idan katta bo’lmasligi kеrak.

Standart buyicha: “nе oprеdеlеn” – “aniqlanmagan”, chunki mazkur paramеtr “Porogovoе znachеniе blokirovki” – “Blokirovkaning chеgaraviy qiymati” paramеtri kiritilgandagina ma’noga ega  buladi. 

Tavsiya qilinadigan adabiyotlar 

 1.   Irtеgov D.V. Vvеdеniе v opеratsionno`е sistеmo`. SPb.: BXV-Pеtеrburg, 2002.-624 s.

 2.  V.G. Olifеr, N.A. Olifеr. Sеtеvo`е opеratsionno`е sistеmo`.: SPb.: Pitеr, 2003. – 539 s.

bodibilding i fitnes kinigi onlajn

The Fayl tizimini shifrlash (EFS) ustida Microsoft Windows 3.0 versiyasida kiritilgan xususiyatdir NTFS^[1] beradi fayl tizimi darajasida shifrlash. Texnologiya fayllarni bo’lishiga imkon beradi shaffof shifrlangan kompyuterga jismoniy kirish huquqi bo’lgan tajovuzkorlardan maxfiy ma’lumotlarni himoya qilish.

EFS Windows-ning uy versiyalaridan tashqari barcha versiyalarida mavjud (qarang Qo’llab-quvvatlanadigan operatsion tizimlar quyida) dan Windows 2000 boshlab.^[2] Odatiy bo’lib, hech qanday fayl shifrlanmaydi, lekin shifrlashni foydalanuvchilar har bir faylga, har bir katalogga yoki har bir haydovchi asosida faollashtirishi mumkin. Ba’zi bir EFS sozlamalari orqali ham vakolatli bo’lishi mumkin Guruh siyosati yilda Windows domeni atrof-muhit.^[3]

Boshqa operatsion tizimlar uchun kriptografik fayl tizimining dasturlari mavjud, ammo Microsoft EFS ularning hech biriga mos kelmaydi.^[4] Shuningdek qarang kriptografik fayl tizimlari ro’yxati.

Asosiy g’oyalar

Qachon operatsion tizim fayllarni shifrlashsiz tizimda ishlaydi, fayllarga kirish odatda OS tomonidan boshqariladigan foydalanuvchi tomonidan amalga oshiriladi autentifikatsiya va kirishni boshqarish ro’yxatlari. Ammo, agar tajovuzkor kompyuterga jismoniy kirish huquqiga ega bo’lsa, bu to’siqni osongina chetlab o’tish mumkin. Masalan, bitta usul, masalan, diskni olib tashlash va fayl tizimini o’qiy oladigan OS o’rnatilgan boshqa kompyuterga qo’yish; Boshqasi, mahalliy fayl tizimiga kirish uchun mos bo’lgan operatsion tizimni o’z ichiga olgan yuklash kompakt-diskidan kompyuterni qayta ishga tushirish.

Buning eng keng tarqalgan echimi fayllarni saqlashdir shifrlangan jismoniy vositalarda (disklar, USB qalam disklari, lentalar, kompakt-disklar va boshqalar).

Microsoft Windows operatsion tizimining oilasida EFS ushbu o’lchovni amalga oshiradi, garchi faqat NTFS disklarida bo’lsa va buni kombinatsiyasidan foydalangan holda amalga oshiradi ochiq kalit kriptografiyasi va nosimmetrik kalit kriptografiyasi to’g’ri kalitsiz fayllarni parolini hal qilishni juda qiyin qilish.

Biroq, EFS uchun kriptografiya kalitlari amalda foydalanuvchi hisob qaydnomasi paroli bilan himoyalangan va shuning uchun ko’pchilik parol hujumlariga moyil. Boshqacha qilib aytganda, faylni shifrlash faqat parolni ochish kalitini ochish uchun parol kabi kuchli.

Ishlash

EFS faylni massa bilan shifrlash orqali ishlaydi nosimmetrik kalit, shuningdek, Faylni shifrlash kaliti yoki FEK deb nomlanadi. Bu nosimmetrik shifrlash algoritmidan foydalanadi, chunki katta hajmdagi ma’lumotlarni shifrlash va parolini hal qilish uchun kamroq vaqt talab etiladi assimetrik kalit shifrdan foydalaniladi. Nosimmetrik shifrlash algoritmi operatsion tizim versiyasiga va konfiguratsiyasiga qarab o’zgaradi; qarang Windows versiyasi tomonidan ishlatiladigan algoritmlar quyida. Keyin FEK (faylni shifrlash uchun ishlatiladigan nosimmetrik kalit) a bilan shifrlanadi ochiq kalit bu faylni shifrlagan foydalanuvchi bilan bog’langan va ushbu shifrlangan FEK shifrlangan faylning $ EFS alternativ ma’lumotlar oqimida saqlanadi.^[5] Faylni parolini hal qilish uchun EFS komponent drayveri $ EFS oqimida saqlanadigan nosimmetrik kalitni parolini ochish uchun EFS raqamli sertifikatiga mos keladigan (faylni shifrlash uchun ishlatiladigan) shaxsiy kalitdan foydalanadi. Keyin EFS komponent drayveri faylni parolini ochish uchun nosimmetrik tugmachadan foydalanadi. Shifrlash va parol hal qilish operatsiyalari NTFS ostidagi qatlamda bajarilganligi sababli, foydalanuvchi va ularning barcha dasturlari uchun shaffofdir.

Tarkibi fayl tizimi tomonidan shifrlanishi kerak bo’lgan papkalar shifrlash atributi bilan belgilanadi. EFS komponent drayveri ushbu shifrlash atributini NTFS-dagi fayl ruxsatlarining merosiga o’xshash tarzda muomala qiladi: agar papka shifrlash uchun belgilangan bo’lsa, u holda sukut bo’yicha papka ostida yaratilgan barcha fayllar va ichki papkalar ham shifrlangan. Shifrlangan fayllar NTFS hajmida ko’chirilganda, fayllar shifrlangan bo’lib qoladi. Biroq, foydalanuvchi Windows-dan buni aniq talab qilmasdan faylni parolini hal qilishning bir qancha holatlari mavjud.

Fayllar va papkalar boshqa fayl tizimi bilan formatlangan jildga nusxa ko’chirishdan oldin, masalan, parolini ochadi FAT32. Nihoyat, SMB / CIFS protokoli yordamida shifrlangan fayllar tarmoq orqali nusxa ko’chirilganda, fayllar tarmoq orqali yuborilishidan oldin parolini hal qiladi.

Nusxada parol hal qilinishini oldini olishning eng muhim usuli bu «Xom» API-lardan xabardor bo’lgan zaxira dasturlaridan foydalanishdir. Ularni amalga oshirgan zaxira dasturlari Xom API-lar shunchaki shifrlangan fayllar oqimini va $ EFS alternativ ma’lumotlar oqimini bitta fayl sifatida nusxa ko’chiradi. Boshqacha qilib aytganda, fayllar shifrlangan shaklda «nusxa ko’chiriladi» (masalan, zaxira fayliga) va zaxira paytida shifrdan chiqarilmaydi.

Bilan boshlanadi Windows Vista, foydalanuvchining shaxsiy kaliti a da saqlanishi mumkin aqlli karta; Ma’lumotlarni tiklash agenti (DRA) kalitlari smart-kartada ham saqlanishi mumkin.^[6]

Xavfsizlik

Zaifliklar

Xavfsizlikning ikkita muhim zaifligi Windows 2000 EFS-da mavjud edi va shu vaqtdan beri har xil yo’naltirilgan.

Mahalliy ma’mur hisobidan foydalanib fayllarni parolini hal qilish

Windows 2000-da mahalliy administrator har qanday mahalliy foydalanuvchi tomonidan EFS bilan shifrlangan barcha fayllarning parolini ochishga qodir bo’lgan standart ma’lumotlar qutqarish agenti bo’lib, Windows 2000-dagi EFS tiklash agentisiz ishlay olmaydi, shuning uchun har doim ham shifrlangan fayllarning parolini ochadigan kishi bor. foydalanuvchilar. Domenga qo’shilmagan har qanday Windows 2000 kompyuterlari mahalliy Administrator hisobini o’z zimmasiga olishi mumkin bo’lgan har bir kishi tomonidan EFS-ning ruxsatsiz parolini echishga moyil bo’ladi, chunki bu Internetda erkin foydalanish imkoniyatiga ega bo’lgan juda ko’p vositalar.^[7]

Windows XP va undan keyingi versiyalarida standart Data Recovery Agent mavjud emas va unga ega bo’lish shart emas. O’rnatish SYSKEY 2 yoki 3 rejimiga o’tish (yuklash paytida yozilgan yoki disketada saqlanadigan syskey) mahalliy ma’mur hisob qaydnomasi orqali ruxsatsiz parol hal qilish xavfini kamaytiradi. Mahalliy foydalanuvchi parolini saqlash uchun SAM fayl, Syskey bilan shifrlangan va Syskey qiymati Syskey parol / floppi bo’lmagan oflayn rejimda tajovuzkor uchun mavjud emas.

Parolni tiklash orqali shaxsiy kalitga kirish

Windows 2000-da foydalanuvchining RSA shaxsiy kaliti faqat a-da saqlanmaydi haqiqatan ham shifrlangan shakl, lekin foydalanuvchining RSA shaxsiy kalitining zaxira nusxasi ham mavjud, u zaifroq himoyalangan. Agar tajovuzkor Windows 2000 kompyuteriga jismoniy kirish huquqiga ega bo’lsa va mahalliy foydalanuvchi hisob qaydnomasining parolini tiklasa,^[7] tajovuzkor ushbu foydalanuvchi (yoki qutqaruv agenti) sifatida tizimga kirishi va barcha fayllarning parolini ochadigan RSA shaxsiy kalitiga kirishi mumkin. Buning sababi shundaki, foydalanuvchi RSA shaxsiy kalitining zaxira nusxasi LSA siri bilan shifrlangan bo’lib, unga lokalSystem-ga kirishni istagan har qanday tajovuzkor kirish mumkin (yana Internetda ko’plab vositalar berilgan).

Windows XP va undan tashqarida foydalanuvchining RSA shaxsiy kalitining zaxira nusxasi mos keladigan shaxsiy kalit ikki joyning birida saqlanadigan oflayn ochiq kalit yordamida amalga oshiriladi: parolni tiklash diskida (agar Windows XP domen a’zosi bo’lmasa) yoki Active Directory (agar Windows XP domen a’zosi bo’lsa). Bu shuni anglatadiki, Windows XP-da LocalSystem sifatida autentifikatsiya qila oladigan tajovuzkor hali ham kompyuterning qattiq diskida saqlangan parol hal qilish kalitiga kirish huquqiga ega emas.

Windows 2000, XP yoki undan keyingi versiyalarida foydalanuvchining RSA shaxsiy kaliti foydalanuvchining NTLM parol xeshi va foydalanuvchi nomi — tuzlangan xash foydalanuvchining parolini bilmasdan jarayonni teskari yo’naltirishni va shaxsiy kalitni tiklashni juda qiyinlashtiradi. Shuningdek, yana Syskey-ni 2 yoki 3 rejimiga o’rnatish (Syskey yuklash paytida yozilgan yoki disketada saqlangan) ushbu hujumni yumshatadi, chunki mahalliy foydalanuvchi parol xeshi SAM faylida shifrlangan holda saqlanadi.

Boshqa masalalar

Foydalanuvchi muvaffaqiyatli tizimga kirgandan so’ng, o’zining EFS shifrlangan ma’lumotlariga kirish uchun qo’shimcha autentifikatsiya talab qilinmaydi, parol hal qilish shaffof tarzda amalga oshiriladi. Shunday qilib, foydalanuvchi parolining har qanday murosasi avtomatik ravishda ushbu ma’lumotlarga kirishga olib keladi. Windows foydalanuvchi qayd yozuvlari parollarining versiyalarini qayta tiklanadigan shifrlash bilan saqlashi mumkin, ammo bu endi odatiy xatti-harakatlar emas; uni saqlash uchun sozlash mumkin (va sukut bo’yicha Windows XP va undan past versiyalarining asl nusxasida) mahalliy foydalanuvchi hisob qaydnomasi parollarining xan-xanlarini saqlash va ularni osonlikcha sindirish mumkin. Shuningdek, u mahalliy foydalanuvchi qayd yozuvlari parollarini quyidagicha saqlaydi NTLM yordamida osonlikcha hujum qilish mumkin bo’lgan xeshlar «kamalak stollari «agar parollar kuchsiz bo’lsa (Windows Vista va undan keyingi versiyalar sukut bo’yicha kuchsiz parollarga yo’l qo’ymaydi). Mahalliy parollarga qo’pol kuch ishlatishda ahamiyatsiz hujumlar xavfini kamaytirish uchun Windows-ning eski versiyalari sozlanishi kerak (Xavfsizlik sozlamalari qismidan foydalanib) Hech qachon LM xeshlarini saqlamaslik va, albatta, Autologon-ni yoqmaslik (ochiq matnli parollarni ro’yxatga olish kitobi ). Bundan tashqari, 14 ta belgidan ortiq bo’lgan mahalliy foydalanuvchi qayd yozuvlari parollaridan foydalanish Windows-ning LM xashini SAM-da saqlashiga to’sqinlik qiladi va NTLM xashiga qarshi qo’pol hujumlarni amalga oshirishning qo’shimcha afzalliklariga ega.

Fayllarni EFS bilan shifrlashda — oddiy matnli fayllarni shifrlangan fayllarga aylantirishda — oddiy matnli fayllar o’chirilmaydi, balki oddiygina o’chiriladi (ya’ni fayl tizimida «ishlatilmayapti» deb belgilangan ma’lumotlar bloklari). Bu shuni anglatadiki, agar ular, masalan, anda saqlanmasa SSD bilan TRIM qo’llab-quvvatlash, agar ular yozilmasa, ularni osongina tiklash mumkin. EFSga qarshi taniqli, qiyin bo’lmagan texnik hujumlarni to’liq yumshatish uchun shifrlash papka darajasida tuzilgan bo’lishi kerak (shunda ushbu kataloglarda yaratilgan Word hujjatlari zaxiralari kabi barcha vaqtinchalik fayllar ham shifrlangan bo’lishi kerak). Shaxsiy fayllarni shifrlashda ular shifrlangan papkaga ko’chirilishi yoki «joyida» shifrlangan bo’lishi kerak, so’ngra disk hajmini ishonchli o’chirish kerak. Windows Cipher dasturidan bo’sh joyni o’chirish uchun foydalanish mumkin (/ W opsiyasi bilan), shu jumladan hanuzgacha o’chirilgan oddiy matnli fayllarni; har xil uchinchi tomon kommunal xizmatlari ham ishlashi mumkin.^[8]

Ma’murlarga kirish huquqiga ega bo’lgan har bir kishi Ma’lumotlarni tiklash agenti konfiguratsiyasini yozishi, bekor qilishi yoki o’zgartirishi mumkin. Bu juda jiddiy masala, chunki tajovuzkor, masalan, ma’mur qayd yozuvini buzishi mumkin (uchinchi tomon vositalaridan foydalangan holda), xohlagan DRA sertifikatini Data Recovery Agent sifatida o’rnatishi va kutishi mumkin. Ba’zan bu ikki bosqichli hujum deb ataladi, bu yo’qolgan yoki o’g’irlangan kompyuter tufayli yuzaga keladigan xavfdan sezilarli darajada farq qiladigan ssenariy, ammo zararli insayderlar tufayli xavfni ta’kidlaydi.

Bunday hujumning birinchi bosqichidan keyin foydalanuvchi fayllarni shifrlashda FEKlar belgilangan DRA ning ochiq kaliti bilan avtomatik ravishda shifrlanadi. Hujumchi EFS-shifrlangan fayllarning barchasiga to’liq kirish huquqini olish uchun faqat administrator sifatida kompyuterga kirish huquqiga ega bo’lishi kerak. Syskey 2 yoki 3 rejimidan foydalanish ham ushbu hujumdan himoya qilmaydi, chunki tajovuzkor shifrlangan fayllarni zaxira nusxasini oflayn rejimda yaratishi, ularni boshqa joyda tiklashi va DRA-ning shaxsiy kalitidan foydalanib, fayllarning parolini ochishi mumkin. Agar bunday zararli insayder kompyuterga jismoniy kirish huquqiga ega bo’lsa, barcha xavfsizlik funktsiyalari ahamiyatsiz deb hisoblanadi, chunki ular ham o’rnatishi mumkin rootkitlar, dasturiy ta’minot yoki hatto apparat keyloggerlar va hokazo kompyuterda — bu DRA siyosatini yozishdan ko’ra ancha qiziqarli va samaraliroq.

Qayta tiklash

EFS bilan shifrlangan fayllarni faqat avval ishlatilgan ochiq kalit (lar) ga mos keladigan RSA shaxsiy kalit (lar) i yordamida shifrini ochish mumkin. Foydalanuvchining shaxsiy kalitining saqlangan nusxasi oxir-oqibat foydalanuvchi tizimga kirish paroli bilan himoyalangan. Boshqa operatsion tizimlar bilan Windows-dan tashqarida shifrlangan fayllarga kirish (Linux, masalan) mumkin emas — buning kamida bir qismi, chunki hozirda uchinchi tomon EFS komponentlari drayveri yo’q. Bundan tashqari, foydalanuvchi kirish parolini tiklash uchun maxsus vositalardan foydalanish foydalanuvchining shaxsiy kalitini parolini ochib bo’lmaydi va shu sababli foydalanuvchining shifrlangan fayllariga kirish uchun foydasiz bo’ladi. Buning ahamiyati vaqti-vaqti bilan foydalanuvchilarga yo’qoladi, natijada foydalanuvchi o’z parolini unutib qo’ysa yoki shifrlash kalitining zaxira nusxasini olmagan bo’lsa, ma’lumotlar yo’qoladi. Bu «kechiktirilgan axlat qutisi» atamasining paydo bo’lishiga olib keldi, agar tajribasiz foydalanuvchi o’z fayllarini shifrlasa, ma’lumotlar yo’qolishi muqarrar ko’rinishini tavsiflash uchun.

Agar EFS ochiq kalit infratuzilmasi tomonidan chiqarilgan kalitlardan foydalanish uchun tuzilgan bo’lsa va PKI kalit arxivlash va tiklashni yoqish uchun tuzilgan bo’lsa, shifrlangan fayllarni avval shaxsiy kalitni tiklash orqali tiklash mumkin.

Kalitlar

• foydalanuvchi paroli (yoki smart-kartaning shaxsiy kaliti): foydalanuvchining DPAPI asosiy kalitini parolini hal qilish uchun parolni ochish kalitini yaratish uchun foydalaniladi
• DPAPI Master Key: foydalanuvchining RSA shaxsiy kalit (lar) ini parolini ochish uchun ishlatiladi
• RSA shaxsiy kaliti: har bir faylning FEK kodini ochish uchun ishlatiladi
• Faylni shifrlash kaliti (FEK): har bir fayl ma’lumotlarini parolini hal qilish / shifrlash uchun ishlatiladi (asosiy NTFS oqimida)
• SYSKEY: keshlangan domen tekshiruvchisi va SAM-da saqlangan parol xeshlarini shifrlash uchun ishlatiladi

Qo’llab-quvvatlanadigan operatsion tizimlar

Windows

• Windows 2000 Professional, Server, Advanced Server va Datacenter nashrlari
• Windows XP Professional, shuningdek Tablet PC Edition, Media Center Edition va x64 Edition-da
• Windows Server 2003 va x86 va x64 versiyalarida Windows Server 2003 R2
• Windows Vista Business, Enterprise va Ultimate nashrlari^[9]
• Windows 7 Professional, Enterprise va Ultimate nashrlari
• Windows Server 2008 va Windows Server 2008 R2
• Windows 8 va 8.1 Pro va Enterprise nashrlari
• Windows Server 2012 va Windows Server 2012 R2
• Windows 10 Pro, Enterprise va Education nashrlari.
• Windows Server 2016
• Windows Server 2019

Boshqa operatsion tizimlar

Boshqa biron bir operatsion tizim yoki fayl tizimida EFS uchun mahalliy yordam mavjud emas.

Windows versiyasida mavjud bo’lgan yangi xususiyatlar

Windows XP

• Mijozlar keshini shifrlash (Oflayn fayllar ma’lumotlar bazasi)
• Himoyalash DPAPI Asosiy kalit zaxira nusxasi domen bo’ylab ochiq kalit yordamida
• Foydalanuvchi sertifikatlarini avtomatik ro’yxatdan o’tkazish (shu jumladan EFS sertifikatlari)
• Shifrlangan fayllarga bir nechta foydalanuvchi (birgalikda) kirish (fayllar asosida) va shifrlangan fayllarni almashishda foydalaniladigan sertifikatlarning bekor qilinishini tekshirish.
• Shifrlangan fayllarni muqobil rangda ko’rsatish mumkin (sukut bo’yicha yashil rang)
• Majburiy emas Qutqarish agenti
• Qo’llab-quvvatlanmaydigan fayl tizimiga o’tishda fayllar jimgina parolini o’chirib qo’yishi mumkinligi to’g’risida ogohlantirish
• Diskni parol bilan tiklash
• WebDAV orqali EFS va vakolat berilgan serverlar uchun masofaviy shifrlash Faol katalog

Windows XP SP1

• Barcha EFS-shifrlangan fayllar uchun AES-256 nosimmetrik shifrlash algoritmini qo’llab-quvvatlash va standart foydalanishni ta’minlash

Windows XP SP2 + KB 912761

• O’z-o’zidan imzolangan EFS sertifikatlarini ro’yxatdan o’tkazishni oldini olish

Windows Server 2003

• Raqamli identifikatsiyani boshqarish xizmati
• O’z-o’zidan imzolangan EFS sertifikatlarini ro’yxatdan o’tkazishda kalitning minimal uzunligini ta’minlash uchun RSAKeyLength sozlamalarini bajarish

Windows Vista^[10] va Windows Server 2008^[11][12]

• Mijozlar tomonidagi keshni foydalanuvchi uchun shifrlash (Oflayn fayllar)
• Kompyuter / SC smart-kartasida (foydalanuvchi yoki DRA) RSA shaxsiy kalitlarini saqlashni qo’llab-quvvatlash
• EFS kalitini qayta tiklash ustasi
• EFS kalitining zaxira nusxasi
• Qabul qilishni qo’llab-quvvatlash DPAPI PC / SC smart-kartasidan Master Key
• Pagefile.sys-ni shifrlashni qo’llab-quvvatlash
• EFS bilan bog’liq sirlardan foydalanish BitLocker (Windows Vista-ning Enterprise yoki Ultimate nashri)^[13][14]
• Amalga oshirish uchun guruh siyosati nazorati
  • Hujjatlar papkasini shifrlash
  • Oflayn fayllarni shifrlash
  • Shifrlangan fayllarni indekslash
  • EFS uchun smart-kartani talab qilish
  • Smart-kartadan keshlash imkoniyatiga ega foydalanuvchi kalitini yaratish
  • Foydalanuvchi kaliti yaratilganda yoki o’zgartirganda kalit zaxira nusxasini ko’rsatish
  • EFS sertifikatlarini avtomatik ravishda ro’yxatdan o’tkazish uchun foydalaniladigan sertifikat shablonini ko’rsatish

Windows Server 2008^[12]

• Windows Server 2008 serverida ro’yxatdan o’tgan EFS o’z-o’zidan imzolangan sertifikatlar sukut bo’yicha 2048-bitli RSA kalit uzunligiga mos keladi
• Barcha EFS shablonlari (foydalanuvchi va ma’lumotlarni tiklash bo’yicha agent sertifikatlari) 2048-bitli RSA kalit uzunligiga sukut

Windows 7 va Windows Server 2008 R2^[15]

• Elliptik-egri kriptografik algoritmlar (ECC). Windows 7 ECC va RSA algoritmlarining orqaga qarab muvofiqligi uchun aralash rejimdagi ishlashini qo’llab-quvvatlaydi
• EFS tomonidan imzolangan sertifikatlar, ECC dan foydalanilganda, sukut bo’yicha 256-bitli kalitdan foydalanadi.
• EFS o’zini o’zi imzolagan RSA sertifikatlaridan foydalanishda 1K / 2k / 4k / 8k / 16k bitli kalitlardan yoki ECC sertifikatlaridan foydalanishda 256/384/521-bitli kalitlardan foydalanadigan qilib sozlanishi mumkin.

Windows 10 versiyasi 1607 va Windows Server 2016

• FAT va exFAT-da EFS-quvvatlashni qo’shing.^[16]

Windows versiyasi tomonidan ishlatiladigan algoritmlar

Windows EFS fayllar shifrlangan paytda ishlatilayotgan Windows versiyasiga qarab bir qator nosimmetrik shifrlash algoritmlarini qo’llab-quvvatlaydi:

Shuningdek qarang

• BitLocker
• Ma’lumotlarni himoya qilish API
• Diskni shifrlash
• Diskni shifrlash dasturi
• eCryptfs
• EncFS
• Fayl tizimi darajasida shifrlash
• Uskuna asosida diskni to’liq shifrlash

Adabiyotlar

Qo’shimcha o’qish

• «Windows 2000 da shifrlash fayl tizimini joriy etish». Windows 2000 baholangan konfiguratsiya ma’murlari qo’llanmasi. Microsoft. Olingan 20 dekabr 2014.
• Bragg, Roberta. «Shifrlash fayl tizimi». TechNet. Microsoft.
• «Fayl tizimini shifrlash (Windows Server 2008, Windows Vista)». TechNet. Microsoft. 2009 yil 25 fevral.
• «Fayl tizimini Windows XP va Windows Server 2003 da shifrlash». TechNet. Microsoft. 2003 yil 11 aprel.
• Network Associates Laboratories. «Shifrlash fayl tizimidan qanday foydalanish (Windows Server 2003, Windows XP Professional)». MSDN. Microsoft.
• «Fayl tizimini shifrlashdan foydalanish». Windows XP resurs to’plami. Microsoft. 2005 yil 3-noyabr.
• «Fayl tizimini shifrlash». Windows 2000 Resurs to’plami. Microsoft.
• «EFS qanday ishlaydi». Windows 2000 Resurs to’plami. Microsoft.

A parol siyosati foydalanuvchilarni kuchli ishlashga undash orqali kompyuter xavfsizligini kuchaytirishga mo’ljallangan qoidalar to’plamidir parollar va ulardan to’g’ri foydalaning. Parol siyosati ko’pincha tashkilotning rasmiy qoidalariga kiradi va uning bir qismi sifatida o’qitilishi mumkin xavfsizlik to’g’risida xabardorlik trening. Yoki parol siyosati shunchaki maslahat beradi, yoki kompyuter tizimlari foydalanuvchilarni unga rioya qilishga majbur qiladi. Ba’zi hukumatlar autentifikatsiya qilishning milliy tizimlariga ega^[1] parollarga bo’lgan talablarni o’z ichiga olgan holda, davlat xizmatlari uchun foydalanuvchining autentifikatsiyasiga qo’yiladigan talablarni belgilaydigan.

NIST ko’rsatmalari

Amerika Qo’shma Shtatlari Savdo vazirligining Milliy standartlar va texnologiyalar instituti (NIST) keng qo’llanilgan parol siyosati uchun ikkita standartni e’lon qildi.

2004

2004 yildan boshlab «NIST Maxsus nashri 800-63. Ilova A ”.^[2] odamlarga tartibsiz kapitalizatsiya, maxsus belgilar va kamida bitta raqamdan foydalanishni maslahat berdi. Shuningdek, parollarni muntazam ravishda, kamida har 90 kunda o’zgartirishni tavsiya qildi. Ko’pgina tizimlar ushbu maslahatga amal qilishdi va korxonalar bajarishi kerak bo’lgan bir qator standartlarga «tayyor bo’lishdi».

2017

Biroq, 2017 yilda katta yangilanish ushbu maslahatni o’zgartirdi, xususan, murakkablik va muntazam o’zgarishlarga majbur qildi.^{[3][4]:5.1.1.2}

Ularning asosiy nuqtalari:

• Tasdiqlovchilar Kerak emas masalan, turli xil belgilar turlarini talab qiladigan yoki ketma-ket takrorlanadigan belgilarni taqiqlaydigan kompozitsion qoidalarni joriy qilish
• Tasdiqlovchilar Kerak emas parollarni o’zboshimchalik bilan yoki muntazam ravishda o’zgartirishni talab qilish, masalan. oldingi 90 kunlik qoida
• Parollar kerak kamida 8 ta belgidan iborat bo’lishi kerak
• Parol tizimlari kerak kamida 64 ta belgidan iborat abonent tomonidan tanlangan parollarga ruxsat berish.
• Barcha bosib chiqarish ASCII belgilar, kosmik belgi va Unicode belgilar kerak parollar bilan qabul qilinadi
• Parollarni o’rnatishda yoki o’zgartirishda tekshiruvchi kerak abonentga zaif yoki buzilgan parolni tanlagan bo’lsa, boshqa parolni tanlashi kerakligini maslahat bering
• Tasdiqlovchilar kerak foydalanuvchiga kuchli parolni tanlashda yordam berish uchun parolni o’lchash o’lchagichi kabi ko’rsatmalarni taklif eting
• Tasdiqlovchilar kerak parollarni oflayn hujumlarga chidamli shaklda saqlang. Parollar kerak bo’lishi tuzlangan va mos keladigan bir tomonlama foydalanib xeshlash tugmachani chiqarish funktsiyasi. Kalitni ishlab chiqarish funktsiyalari parol, tuz va xarajat omillarini oladi, chunki kirish sifatida parol aralashtiriladi. Ularning maqsadi har bir parolni xesh faylini olgan tajovuzkor tomonidan har bir parolni taxmin qilish uchun sinovni qimmatga tushirish va shuning uchun taxminiy hujumning narxi juda yuqori yoki juda katta.

NIST yangi ko’rsatmalar uchun asosni A ilovasiga kiritdi.

Aspektlari

Parol siyosatining odatiy tarkibiy qismlariga quyidagilar kiradi:

Parolning uzunligi va shakllanishi

Ko’p qoidalar parolning minimal uzunligini talab qiladi. Sakkizta belgi odatiy, ammo mos kelmasligi mumkin.^[5][6][7] Uzunroq parollar odatda xavfsizroq bo’ladi, ammo ba’zi tizimlar ularga muvofiqligi uchun maksimal uzunlikni belgilaydilar eski tizimlar.

Ba’zi qoidalar foydalanuvchi qaysi turdagi parolni tanlashi mumkinligiga quyidagilarni taklif qiladi yoki qo’yadi, masalan:

• ham katta, ham kichik harflardan foydalanish (ishning sezgirligi )
• bir yoki bir nechta raqamli raqamlarni kiritish
• @, #, $ kabi maxsus belgilarni kiritish
• parolda topilgan so’zlarni taqiqlash bloklar ro’yxati
• foydalanuvchining shaxsiy ma’lumotlarida so’zlarni taqiqlash
• firma nomi yoki qisqartmasidan foydalanishni taqiqlash
• taqvim sanalari formatiga mos keladigan parollarni taqiqlash, davlat raqami raqamlar, telefon raqamlari yoki boshqa umumiy raqamlar

Boshqa tizimlar foydalanuvchi uchun dastlabki parolni yaratadi; ammo qisqa vaqt ichida uni o’zlari tanlagan biriga o’zgartirishni talab qiladilar.

Parolni blokirovka qilish ro’yxati

Parolni blokirovka qilish ro’yxatlari — bu har doim ishlatilishi taqiqlangan parollar ro’yxati. Blok ro’yxatlarida aks holda kompaniya siyosatiga mos keladigan belgilar kombinatsiyasidan tuzilgan parollar mavjud, ammo ular bir yoki bir nechta sabablarga ko’ra xavfli deb topilganligi sababli endi ishlatilmasligi kerak, masalan, osonlikcha taxmin qilish, odatiy naqshga amal qilish yoki avvalgi ma’lumotlarning ommaviy ravishda oshkor etilishi ma’lumotlar buzilishi. Parol1, Qwerty123 yoki Qaz123wsx keng tarqalgan misollardir.

Parolning davomiyligi

Ba’zi qoidalar foydalanuvchilarga parollarni vaqti-vaqti bilan, ko’pincha har 90 yoki 180 kunda o’zgartirishni talab qiladi. Parolning amal qilish muddati tugashining foydasi, ammo munozarali.^[8][9] Bunday siyosatni amalga oshiradigan tizimlar ba’zida foydalanuvchilarni avvalgi tanlovga juda yaqin parolni tanlashiga to’sqinlik qiladi.^[10]

Ushbu siyosat ko’pincha teskari natija berishi mumkin. Ba’zi foydalanuvchilar buni o’ylab topishlari qiyin «yaxshi «parollarni eslab qolish ham oson, shuning uchun odamlar ko’p parollarni tanlashlari kerak bo’lsa, chunki ularni tez-tez o’zgartirishi kerak, ular juda zaif parollardan foydalanadilar foydalanuvchi yaqinda parolni takrorlashi uchun, har kimning yaqinda (yoki ularning) parollari mavjud bo’lgan ma’lumotlar bazasi bo’lishi kerak xeshlar ) eskirganlarini xotiradan o’chirish o’rniga. Va nihoyat, foydalanuvchilar bir necha daqiqa ichida parollarini qayta-qayta o’zgartirishi mumkin va keyin parolni o’zgartirish siyosatini butunlay chetlab o’tib, haqiqatan ham foydalanmoqchi bo’lgan parolga qaytishi mumkin.

Parollarning insoniy jihatlari ham e’tiborga olinishi kerak. Kompyuterlardan farqli o’laroq, inson foydalanuvchilari bitta xotirani o’chira olmaydi va boshqasini o’zgartira olmaydi. Binobarin, yodlangan parolni tez-tez almashtirish inson xotirasida zo’riqish bo’lib, ko’pchilik foydalanuvchilar taxmin qilish oson bo’lgan parolni tanlashga murojaat qilishadi (Qarang Parolni charchash ). Foydalanuvchilarga ko’pincha foydalanish tavsiya etiladi mnemonik murakkab parollarni eslab qolish uchun qurilmalar. Ammo, agar parolni qayta-qayta o’zgartirish kerak bo’lsa, mnemonika foydasiz, chunki foydalanuvchi qaysi mnemonikani ishlatishini eslay olmaydi. Bundan tashqari, mnemonikadan foydalanish («2BOrNot2B» kabi parollarga olib keladi) parolni taxmin qilishni osonlashtiradi.

Ma’muriy omillar ham muammo bo’lishi mumkin. Ba’zan foydalanuvchilarda eski qurilmalar mavjud bo’lib, ular parol muddati tugashidan oldin ishlatilgan parolni talab qiladi.^{[tushuntirish kerak ]} Ushbu eski qurilmalarni boshqarish uchun foydalanuvchilar eski qurilmaga kirishlari kerak bo’lsa, barcha eski parollarni yozib olishga majbur bo’lishlari mumkin.

Juda kuchli parolni talab qilish va uni o’zgartirishni talab qilmaslik ko’pincha yaxshiroqdir.^[11] Biroq, ushbu yondashuvning katta kamchiliklari bor: agar ruxsatsiz shaxs parolga ega bo’lsa va uni aniqlanmasdan ishlatsa, u kishi noma’lum muddatga kirish huquqiga ega bo’lishi mumkin.

Ushbu omillarni tortib olish kerak: kimdir parolni zaif deb bilishi ehtimoli, kimdir uni o’g’irlashni yoki boshqacha taxmin qilmasdan, kuchliroq parolni qo’lga kiritishni boshqarishi ehtimolligi bilan.

Bryus Shnayer «esda tutilishi mumkin bo’lgan har qanday narsa yorilib ketishi mumkin» deb ta’kidlaydi va hech qanday lug’atlarda ko’rinmaydigan parollardan foydalanadigan sxemani tavsiya qiladi.^[12]

Sanktsiya

Parol siyosati ogohlantirishlardan boshlanadigan va kompyuter imtiyozlarini yo’qotish yoki ish tugatish bilan yakunlanadigan ilg’or sanktsiyalarni o’z ichiga olishi mumkin. Agar maxfiylik qonun bilan belgilanadigan bo’lsa, masalan. bilan maxfiy ma’lumotlar, parol siyosatini buzish jinoiy javobgarlikka sabab bo’lishi mumkin^{[iqtibos kerak ]}. Biroz^{[JSSV? ]} xavfsizlikning sanktsiyalar bilan tahdid qilishdan ko’ra samaraliroq bo’lishining muhimligini ishonchli tushuntirishni ko’rib chiqing^{[iqtibos kerak ]}.

Tanlash jarayoni

Kerakli parol kuchi darajasi, boshqa narsalar qatori, tajovuzkor uchun bir nechta taxminlarni yuborish qanchalik oson bo’lishiga bog’liq. Ba’zi tizimlar foydalanuvchi biron bir kechikish yoki hisobni bloklashdan oldin noto’g’ri parolni kiritish vaqtini cheklaydi. Boshqa tomondan, ba’zi tizimlar a maxsus xesh parolning versiyasi, shunda har kim uning haqiqiyligini tekshirishi mumkin. Bu amalga oshirilgach, tajovuzkor parollarni juda tez sinab ko’rishi mumkin; xavfsizligi uchun juda kuchli parollar zarur. (Qarang parolni buzish va parol uzunligi tenglamasi.) Qattiqroq talablar root yoki tizim ma’muri qayd yozuvlari kabi yuqori imtiyozlarga ega bo’lgan qayd yozuvlari uchun ham javob beradi.

Foydalanish imkoniyatlari

Parol siyosati odatda nazariy xavfsizlik va inson xulq-atvori amaliyoti o’rtasidagi o’zaro bog’liqlikdir. Masalan:

• Haddan tashqari murakkab parollarni talab qilish va ularni tez-tez o’zgartirishga majbur qilish, foydalanuvchilar buzg’unchini topish oson bo’lgan joylarda, masalan, parollarni yozishiga olib kelishi mumkin. Rolodex yoki post-it note kompyuter yaqinida.
• Foydalanuvchilar ko’pincha boshqarish uchun o’nlab parollarga ega. Xavfsizligi past bo’lgan barcha ilovalar uchun, masalan, on-layn gazetalarni o’qish va o’yin-kulgi veb-saytlariga kirish uchun bitta paroldan foydalanishni tavsiya etish yanada aniqroq bo’lishi mumkin.
• Xuddi shunday, foydalanuvchilardan hech qachon parollarini yozmasligini talab qilish haqiqatga mos kelmasligi va foydalanuvchilarning zaiflarini tanlashiga olib kelishi mumkin (yoki foydalanuvchilar parollarini unutganda juda ko’p noqulayliklar keltirib chiqaradi). Shu bilan bir qatorda, yozma parollarni xavfsiz joyda saqlashni taklif qilish, masalan xavfsiz yoki shifrlangan asosiy fayl. Ushbu yondashuvning haqiqiyligi tahdid qanday bo’lishi mumkinligiga bog’liq. Agar parolni yozish muammoli bo’lishi mumkin, agar potentsial tajovuzkorlar xavfsiz do’konga kirish huquqiga ega bo’lsa, agar tahdid asosan do’konga kirish huquqiga ega bo’lmagan masofaviy tajovuzkorlar bo’lsa, bu juda xavfsiz usul bo’lishi mumkin.
• Agar foydalanuvchi kerak bo’lsa, maxsus belgilarni kiritish muammo bo’lishi mumkin tizimga kiring boshqa mamlakatda joylashgan kompyuter. Ba’zi bir maxsus belgilarni boshqa til uchun yaratilgan klaviaturalardan topish qiyin yoki imkonsiz bo’lishi mumkin.
• Biroz shaxsni boshqarish tizimlar imkon beradi o’z-o’ziga xizmat ko’rsatish parolini tiklash, bu erda foydalanuvchilar bir yoki bir nechtasiga javob berish orqali parol xavfsizligini chetlab o’tishlari mumkin xavfsizlik masalalari masalan, «qaerda tug’ilgansiz?», «sevimli filmingiz qaysi?» va boshqalar. Ko’p hollarda ushbu savollarga javoblarni osongina olish mumkin. ijtimoiy muhandislik, fishing yoki oddiy tadqiqot.

2010 yilda parol qoidalarini tekshirish^[13] 75 ta turli xil veb-saytlarning xavfsizligi qisman qat’iyroq qoidalarni tushuntiradi degan xulosaga keladi: xizmatning monopoliyaviy provayderlari, masalan, hukumat saytlari, iste’molchilar tanlash imkoniga ega bo’lgan saytlarga (masalan, chakana savdo saytlari va banklar) nisbatan qat’iyroq siyosatga ega. Tadqiqot natijalariga ko’ra, qat’iy siyosat yuritadigan saytlar «xavfsizlikning katta muammolariga duch kelmaydilar, ular shunchaki yomon foydalanishga olib keladigan oqibatlardan yaxshiroq izolyatsiya qilingan».

Odatda oddiy parollarga qaraganda xavfsizroq deb hisoblanadigan boshqa yondashuvlar mavjud. Ular orasida a xavfsizlik belgisi yoki bir martalik parol kabi tizim S / kalit, yoki ko’p faktorli autentifikatsiya.^[14] Biroq, ushbu tizimlar xavfsizlik va qulaylik o’rtasidagi savdoni kuchaytiradi: muvofiq Shuman Ghosemajumder, ushbu tizimlarning barchasi xavfsizlikni yaxshilaydi, ammo «yukni oxirgi foydalanuvchiga etkazish evaziga» keladi.^[15]

Siyosatni amalga oshirish

Parol siyosati qanchalik murakkab bo’lsa, foydalanuvchi eslab qolish yoki mos parolni tanlashda qiyinchilik tug’dirishi sababli, uni amalga oshirish qiyinroq bo’lishi mumkin.

Ko’pgina kompaniyalar foydalanuvchilarga har qanday parol siyosati bilan tanishishni talab qilishadi, xuddi shu tarzda kompaniya xodimlaridan xabardor bo’lishlarini talab qiladi Sog’liqni saqlash va xavfsizlik qoidalar yoki binolarni yong’inga qarshi chiqish yo’llari, ammo ko’pincha siyosatni avtomatik ravishda amalga oshiradigan tizimlarsiz tegishli siyosatlarga amal qilinishini ta’minlash qiyin. Kabi ko’plab tizimlar Microsoft Windows, talab qilingan parollar o’rnatilgan siyosatni amalga oshirishning ichki usullariga ega. Bu siyosat bajarilishini ta’minlashning yagona ishonchli usuli.

Shuningdek qarang

• Parolni tasodifiy ishlab chiqaruvchi
• Dasturiy ta’minot tizimlarida xato xabarlarini saqlang
• Yagona kirish

Adabiyotlar