प्रमाणीकरण तंत्र की प्रभावशीलता और सुरक्षा का मूल्यांकन

पिछले लेख में , मैंने अपने प्रमाणीकरण तंत्रों का वर्गीकरण दिया। अब मैं उनका मूल्यांकन और तुलना करने के तरीके साझा करूंगा।
कुल में, प्रमाणीकरण प्रणाली के 4 मुख्य संकेतक प्रतिष्ठित किए जा सकते हैं:
1. स्थापना और रखरखाव की लागत।
2. दक्षता।
3. विश्वसनीयता
4. सुरक्षा।


लेकिन पहले, याद रखें कि प्रमाणीकरण प्रक्रिया का क्या मतलब है?

इसे एक फ़ंक्शन के रूप में दर्शाया जा सकता है, जो सिस्टम (एस) और उपयोगकर्ता (पी) में उपलब्ध प्रामाणिक (ए) की छवियों की समानता की डिग्री की गणना करता है, और आत्मविश्वास अंतराल में घटना के लिए उन्हें जांचता है। प्रवेश के मामले में, प्रमाणीकरण सफल माना जाता है।
क्यों बिल्कुल छवियों (ए), और खुद को प्रामाणिक नहीं?
एक प्रमाणक हो सकता है: पासवर्ड, ई-टोकन, आईरिस इत्यादि। और ज्यादातर मामलों में यह उपयोगकर्ता या सिस्टम द्वारा संग्रहीत किया जाता है, और इसके विपरीत केवल उसकी छवि संग्रहीत की जाती है, उदाहरण के लिए, एक पासवर्ड हैश, एक फिंगरप्रिंट या आईरिस की एक तस्वीर। और तुलना के लिए, पहला पक्ष भी प्रामाणिकता को प्रसारित नहीं करता है, लेकिन केवल इसकी छवि। ये चित्र पासवर्ड के उपयोग के मामले में पूरी तरह से मेल खा सकते हैं, या बायोमेट्रिक्स का उपयोग करते समय बहुत समान हो सकते हैं। समानता जांच विधि प्रमाणीकरण विधि के साथ-साथ विश्वास अंतराल की सीमाओं के आधार पर भिन्न होती है - k न्यूनतम और k अधिकतम, जो शून्य से एक तक की सीमा में हैं। पासवर्ड या हार्डवेयर प्रमाणीकरण के साथ, विश्वास अंतराल की दोनों सीमाएं आमतौर पर एक के बराबर होती हैं, और बायोमेट्रिक्स या सुरक्षा प्रश्नों का उपयोग करते समय, अंतराल अक्सर इकाई के आसपास के क्षेत्र में एक छोटी सी सीमा होती है। इसके अलावा, k अधिकतम - हमेशा एकता के बराबर नहीं है। प्रामाणिक प्रकृति वाले प्रमाणकों के उपयोग के मामले में, उदाहरण के लिए, आवाज़ें या लिखावट, प्रमाणिक छवियों का पूरा संयोग इसके नकली के बारे में अधिक बोलता है।

अब मुख्य संकेतकों पर चलते हैं।

स्थापना और रखरखाव की लागत

- सहित, लागत का एक संकेतक - इसकी स्थापना और रखरखाव के लिए सिस्टम प्रशासक का समय, प्रयास या साधन, और उपयोगकर्ता को दिए गए गुणांक द्वारा विभाजित, अपना खाता बनाने या संशोधित करने के लिए , जो डिफ़ॉल्ट रूप से सिस्टम के इस वर्ग के लिए औसत लागत है।

यह शायद संकेतक का सबसे कठिन है, क्योंकि यह पूरी तरह से स्पष्ट नहीं है कि सिस्टम को व्यवस्थापक के रूप में स्थापित करने और बनाए रखने की लागतों पर सही ढंग से कैसे विचार करें? उन्हें पूरे या प्रति उपयोगकर्ता में लें?
गणना कर सकते हैं = (प्रति वर्ष रखरखाव की प्रणाली + व्यवस्थापक की लागत स्थापित करने की लागत) / उपयोगकर्ताओं की संख्या) प्रति वर्ष उपयोगकर्ता की लागत;
इसके अलावा, आप विभिन्न प्रकार की लागतों के लिए कारक जोड़ सकते हैं।

प्रभावशीलता

एक प्रदर्शन संकेतक जो खाताधारक द्वारा आवश्यक समय, प्रयास या अन्य लागतों का वर्णन करता है, जो एक प्रणाली में प्रमाणित करता है - इनपुट की लागत और प्रमाणक का विश्लेषण, और - डिफ़ॉल्ट रूप से, यह सिस्टम के इस वर्ग के लिए प्रमाणक के प्रवेश और विश्लेषण की औसत लागत है।

यह एक बहुत अधिक मूर्त पैरामीटर है। प्रमाणिक इनपुट समय, उदाहरण के लिए, पासवर्ड इनपुट समय, एक USB फ्लैश ड्राइव, वॉयस रिकॉर्डिंग और उनके आगे के विश्लेषण को आसानी से गिना जा सकता है, और बड़े उतार-चढ़ाव नहीं होते हैं।

विश्वसनीयता

- विश्वसनीयता के बराबर एक विश्वसनीयता सूचक जो खाता स्वामी सफलतापूर्वक प्रमाणित करने में सक्षम होगा। विश्वसनीयता का स्तर जितना अधिक होगा, समग्र सुरक्षा का सूचक उतना ही कम होगा।

k min प्रमाणीकरण प्रक्रिया के विवरण से लिया गया है। यदि प्रमाणीकरण के लिए आपको कुछ सरल सुरक्षा सवालों के जवाब देने की आवश्यकता है, उदाहरण के लिए 10 में से 7, तो विश्वसनीयता 30% होगी। तदनुसार, एक्सेस फ़ंक्शन की विश्वसनीयता जितनी अधिक होगी, उपयोगकर्ता के लिए इसे प्रमाणित करना उतना आसान होगा। इसलिए, प्रमाणीकरण तंत्र (प्राथमिक से बैकअप के माध्यम से अंतिम उपाय के तंत्र तक) के उपयोग की प्राथमिकता में गिरावट के साथ, तंत्र की विश्वसनीयता बढ़नी चाहिए।

सुरक्षा

- एक निश्चित प्रकार के हमले का उपयोग करते हुए सफल प्रमाणीकरण (झूठी प्रमाणीकरण) के लिए आवश्यक हमलावर की कुल लागतों का वर्णन करने वाला एक सुरक्षा संकेतक, जहां - एक प्रमाणक बनाने की लागत और उसका सत्यापन, - हमलावर का कौशल स्तर, और - प्रमाणक की जटिलता। डिफ़ॉल्ट रूप से, एक हमला सभी संभावित प्रमाणक विकल्पों की पूरी गणना है। अन्य प्रकार के हमलों के लिए, सूत्र इससे भिन्न हो सकते हैं।

यहाँ भी, सब कुछ आम तौर पर स्पष्ट है। यदि तंत्र में स्पष्ट कमजोरियां नहीं हैं, तो हैक करने का एकमात्र तरीका एक संपूर्ण हमला है। और यहां यह सब इस बात पर निर्भर करता है कि हमलावर कितनी जल्दी हो सकता है, उदाहरण के लिए, पासवर्ड उत्पन्न करें और उन्हें सत्यापित करें।

ऑड्स को जोड़ा जाता है ताकि संकेतक को आयाम रहित बनाया जा सके। इसके अलावा, जब गुणांक के लिए आवश्यक मान सेट करके कई प्रमाणीकरण तंत्रों की तुलना करते हैं, तो कोई धारणा के लिए अधिक सुविधाजनक संख्या के आदेश प्राप्त कर सकता है।

इन संकेतकों की गणना की कठिनाई इस तथ्य में निहित है कि लागत में तुरंत समय, धन और विशिष्ट संसाधन शामिल हो सकते हैं।

इन प्रमुख संकेतकों से, आप दो व्युत्पन्न बना सकते हैं:
5. सामान्य सुरक्षा।
6. कुल मिलाकर दक्षता।

सामान्य सुरक्षा

- प्रमाणीकरण तंत्र की सामान्य सुरक्षा, एक निश्चित प्रकार के हमले के खिलाफ, इस मामले में, एक जानवर-बल के हमले के खिलाफ।

कुल मिलाकर प्रदर्शन

- प्रमाणीकरण तंत्र की समग्र प्रभावशीलता।

प्रमाणीकरण प्रणालियों को चुनने और कॉन्फ़िगर करने के लिए सिफारिशें

1. आपके सिस्टम में उपयोग किए जाने वाले अधिक प्रमाणीकरण तंत्र, उपयोगकर्ता के लिए बेहतर और आपके लिए बदतर हैं। सुनहरा मतलब तीन तंत्रों की उपस्थिति है: मुख्य, आरक्षित और अंतिम उपाय।

2. सिस्टम में उपयोग किए जाने वाले प्रमाणीकरण तंत्र को चुनने और कॉन्फ़िगर करने के लिए प्राथमिक मानदंड सामान्य सुरक्षा है। यह सभी तंत्रों के लिए लगभग समान होना चाहिए, जबकि प्रमाणीकरण तंत्र का उपयोग करने की प्राथमिकता में कमी के साथ, इसकी विश्वसनीयता और सुरक्षा में वृद्धि होनी चाहिए।

3. जब एक ही वर्ग से संबंधित तंत्र और समान सुरक्षा हो, तो उच्च समग्र दक्षता वाले को चुनें।

4. यह केवल उन तंत्रों की तुलना करने के लिए समझ में आता है जो एक ही वर्ग के हैं, या जिनकी एक सामान्य विशेषता है।

टिप्पणी रचनात्मक आलोचना, स्पष्टीकरण और मामले के अध्ययन का स्वागत करती है।