Профессионалы в информационной безопасности знают три краеугольных камня, на которых базируются их знания и опыт по работе с информацией. Это конфиденциальность, доступность и целостность (в английской аббревиатуре — CIA). До сих пор ведутся споры, является ли доступность областью изучения информационной безопасности или это совершенно другая дисциплина. Но оставим эти дискуссии для узких специалистов.

С учетом развивающейся Концепции открытых данных в рамках международной инициативы «Open Government Partnership», предусматривающей более широкое размещение информации о работе правительств и других органов государственного управления разных стран мира в форме открытых данных, обеспечение доступности и целостности видится как наиболее важное и востребованное направление. Согласно опросам экспертов РАЭК, которые также подкреплены международным опытом, наиболее востребованы рынком следующие типы открытых данных:

  1. географические, экологические данные (среда обитания);
  2. сведения о федеральных организациях и муниципальных учреждениях;
  3. информация о транспорте;
  4. данные государственной статистики;
  5. метрологические данные;
  6. финансовые;
  7. медицинские;
  8. научные данные.

Ценность и значимость ресурсов этих категорий (как и многих других) существенным образом возрастает в том случае, когда данные обрабатываются не в рамках отдельных ведомств, а на неком едином информационном поле, где работают все организации, имеющие отношение к жизненному циклу данных той или иной категории. В этом случае мы так или иначе выходим на необходимость формирования распределенных систем обработки информации. Вопросы технологии их создания с точки зрения инфраструктуры сетевых коммуникаций, а также с позиций интеграции данных и формирования единой логики их обработки либо можно считать решенными, либо они очень интенсивно обсуждаются в настоящее время. Несколько в стороне остается тема безопасного (и при этом удобно организованного) доступа к информационным ресурсам. Решение этого вопроса позволяло бы не плодить соответствующие сложности в геометрической прогрессии в том случае, когда мы решаем задачу интеграции и/или масштабирования информационных систем.

В рамках данной статьи хотелось бы осветить интересную тему предоставления гарантированного/правильного доступа к информации, определяемого термином «идентификация».

Прежде всего напомню, что под целостностью данных обычно понимается то, что при выполнении любой операции с информацией (передача, хранение или представление) данные не были изменены. А доступностью информации (данных) считается возможность доступа к ней тех, кому такой доступ должен быть открыт (разрешен и гарантирован).

Рост и развитие возможностей информационных систем привели к возникновению многочисленных пользовательских, коммерческих и правительственных электронных услуг. Существующие возможности систем управления идентификацией предназначены для того, чтобы способствовать развитию совместимых возможностей управления определением идентичности в рамках общей структуры для всех услуг, зависящих от региональных и национальных правил в отношении информации. Отметим, что управление определением идентичности (identity management) согласно рекомендации Международного союза электросвязи Y.2720 — это набор функций и возможностей (например, администрирование, управление и техническое обслуживание, обнаружение, обмен сообщениями, сопоставление и увязка, реализация политики, аутентификация и утверждение), используемых для следующих целей:

  • гарантии наличия необходимой информации, подтверждающей идентичность (например, идентификаторов, регистрационных данных, атри­бутов);
  • гарантии идентичности объекта (пользователей/абонентов, групп, устройств пользователей, организаций, поставщиков услуг доступа к сети и поставщиков прикладных сервисов, оказываемых через сеть, сетевых элементов и объектов, виртуальных объектов);
  • обеспечение коммерческих приложений и приложений безопасности.

Одной из главнейших характеристик идентичности субъекта (пользователя, программы и т. п.) и/или объекта при доступе является гарантия определения идентичности (identity assurance). Под гарантией мы обычно подразумеваем степень доверия в процессе валидации и верификации, используемом для установления идентичности объекта, которому были предоставлены полномочия, и степень доверия в отношении того, что объект, использующий полномочия, в действительности является таковым объектом или объектом, которому полномочия были предоставлены либо переданы.

Требование идентичности — одно из главных

Дискуссии по поводу управления определением идентичности (IdM) выявили различия в представлениях людей о назначении IdM и применяемых базовых процедурах, а также в терминологии и определениях терминов. Эти различия приводили к недопониманию и длительным обсуждениям в процессе стандартизации IdM. Идентичность — термин, который лежит в основе всех остальных терминов IdM. В реальном мире идентичность физического лица является общепринятым понятием и основывается на обширном круге характеристик или атрибутов. Некоторые из них представляют собой физические характеристики, такие как рост, цвет волос, наружность в целом, привычки, поведение и т. п. Могут использоваться и другие, например дата и место рождения, домашний адрес, номер телефона. В процессе коммуникации обеим сторонам обычно необходимо быть в достаточной мере уверенными, что они общаются с нужным им партнером. В этом процессе обеспечения уверенности зачастую участвуют следующие «объекты»: объект, идентичность которого подлежит подтверждению, — запрашивающий объект, и объект, который будет полагаться на подтвержденную идентичность, — полагающаяся сторона. Может участвовать и третья сторона, которая управляет определением идентичности, — поставщик услуг определения идентичности. В цифровом мире «идентичность» складывается из атрибутов точно так же, как и в реальном мире. Вместе с тем в этом случае идентичность может ограничиваться одной характеристикой или состоять из многих; это зависит от контекста, в котором она находится. Сказанное относится как к неодушевленным предметам, так и к физическим лицам, поэтому пользователей часто называют объектами.

Как правило, идентификаторы и/или атрибуты однозначно характеризуют объект в конкретном контексте. Ввиду этого тот или иной объект может иметь ряд различных идентичностей, и некоторые из них будут подмножеством других.

Федерация — это управление на местах

Заслуживает внимания направление так называемой «федеративной» идентификации или «федеративного пространства доверия». Его цель — предоставить механизм для установления доверительных отношений между участниками сотрудничества, чтобы каждый участник (например, информационная система с собственной системой идентификации) мог аутентифицироваться в своей системе идентификации и в то же время получать доступ к информационным сервисам, принадлежащим другому доверенному объекту.

Это позволяет реализовать такие процедуры, как единый вход (single sign-on — SSO), которые исключают необходимость в поддержке и управлении дубликатными записями. В модели федеративной защиты провайдер идентификаций (Identity Provider, IdP) выполняет аутентификацию и предоставляет сервис идентификации.

Федеративная модель упрощает администрирование и позволяет компаниям распространить управление идентификацией и доступом на пользователей и сервисы разных доверенных операторов на территории других стран. Компании, собирающиеся реализовать межкорпоративные бизнес-процессы с идентификацией доступа, могут воспользоваться следующими возможностями данного подхода:

  • упрощение интеграции между Web-сайтами оператора связи и его партнеров, включая управление сессиями;
  • улучшение соответствия бизнес-требованиям вследствие ослабления угроз безопасности;
  • расширение возможностей конечных пользователей благодаря технологии централизованного входа в систему (SSO);
  • рост масштабов бизнеса поставщиков услуг в силу создания новых возможностей для получения дохода;
  • упрощение администрирования безопасности в межкорпоративных бизнес-процессах на основе «сервисов безопасности»;
  • обеспечение интегрированного управления безопасностью на основе правил для Web-сервисов в SOA-среде;
  • поддержка открытых стандартов и спецификаций, включая LAP, SAML, WS-Federation, WS-Security и WS-Trust.

Для полноты охвата темы необходимо отметить, что общие модели IdM можно разделить на две подгруппы:

  • системы, ориентированные на приложение,
  • системы, ориентированные на пользователя.

Понятие ориентированной на приложения системы IdM подразумевает, что услуги определения идентичности призваны удовлетворить потребности поставщиков самих данных идентичности, например, предоставления учетной информации пользователей. При предоставлении пользователю услуги определения идентичности между этими двумя объектами, как правило, происходит обмен данными об идентичности. Исторически сложилось так, что технологии определения идентичности и управления доступом были ориентированы главным образом на аутентификацию конечных пользователей для обеспечения федеративного доступа к приложениям и услугам. Поэтому требование обеспечения доступности ограничивается рамками домена конкретного приложения.

Основное внимание в системе IdM, ориентированной на пользователя, направлено главным образом на конечных пользователей, и система оптимизирована с учетом их потребностей. Это означает, что основной целью IdM является обеспечение для пользователей удобных и комплексных услуг определения идентичности. Главная особенность системы заключается в том, что пользователю предоставляется полный контроль над данными именно о его идентичности. Для модели, в центре которой находится пользователь, важно, что конкретный пользователь, а не какая-либо третья сторона, сохраняет контроль над тем, каким образом создаются, распространяются, обновляются и прекращают действие атрибуты идентичности пользователя. Это означает, что пользователь обладает всеми полномочиями в течение жизненного цикла своей идентичности.

Уже реализованные схемы доступа в таких системах на «верхнем» уровне выглядят следующим образом:

  • приложение/пользователь хочет получить доступ к данным/приложению, не зная, где они находятся;
  • при обращении к федеративной системе идентификации проходит процесс проверки полномочий пользователя/приложения на совершение подобных действий и одновременно требуемые данные или приложения локализуются — при успешной идентификации (аутентификации) доступ предоставляется.

И мы, не имея понятия, где требуемое приложение находится, применяя принцип федерального пространства доверия, получаем именно то, что хотим (если имеем на то полномочия).

Успешная регистрация доверенного оператора связи в качестве члена федерации позволяет конечным точкам федерации принимать и обслуживать запросы из домена данного партнера. Управление жизненным циклом пользователя — это набор возможностей, позволяющих партнерам в рамках федерации упростить администрирование контроля доступа пользователей, зарегистрированных в соответствующих автономных решениях управления идентификацией для доступа к информации.

Эти возможности позволяют:

  • использовать доверительные отношения между бизнес-партнерами в рамках федерации для предоставления доступа к дистанционным ресурсам без сопровождения локальных учетных записей представителем оператора связи;
  • создать специализированный процесс регист­рации, автоматизирующий прием пользователей новых операторов связи (например, пользователей партнерской организации, которым она предоставила права доступа);
  • автоматизировать предоставление локальных идентификационных/учетных записей пользователям сторонних организаций в том случае, когда эти пользователи имеют учетные записи, подлежащие репликации;
  • связать или объединить в федерацию учетные записи пользователя, предоставленные провайдером идентификации и сервис-провайдером;
  • осуществить удаление из федерации или прекращение доступа в случае, когда федеративные отношения расторгнуты;
  • деинициализировать учетную запись или права пользователя сторонней организации в случае, когда федеративная учетная запись деактивирована.

Таким образом, важный принцип федеративности в вопросах организации доступа к ресурсам информационных систем позволяет решить очень значимую на сегодня проблему их администрирования. Речь идет о том, чтобы не только снизить «накладные расходы», связанные с этим доступом, в настоящий момент, но и не допустить лавинообразного роста соответствующих проблем в том случае, когда к информационным системам с полным правом будет применяться эпитет «глобальные».