أمن المعلومات وإدارة مخاطر تقنية المعلومات

إدارة الهوية والوصول 417 ة إلى تطبيقات�وق Equinoxت القطاع الخاص. على س�منظ Fitness Clubs البطاقة التقليدية المُس ية دون ر) بالوصول إلى الخدمVIP لأعضاء�قزحي .)13الحاجة إلى حمل بطاقة أو الحاجة إلى تذكر الرقم السري مشكلات نظام القياسات الحيوية: تُعد أنظمة القياس كما يمكن أن توفر هذه الأنظمة درجة عالية من الثقة في هوية المس الأنظمة يعد أحد العقبات. فإذا قام المهاجم بسرقة كلمة مرور المستخدم أو القطع الرمزية الأمنية الخاصة به فإنه يتم إزالة التهديد بمجرد إصدار كلمة مرور جديدة أو إصدار قطعة ممكناً عن رمزي طبيعته ت الأصابع. ومن ثم فإن هذه العلامة الحيوية لا يمكن اس�اق بيانات بص�اخ كعام يسمح للمهاجمين بتقليد المستخدم الحقيقي، أو استبدال النظام بأكمله من خلال استخدام . )14علامة حيوية مختلفة تبدو القياسات الحيوية حديثة لكنها من أقدم أشكال تحديد الهوية. فالنمور تتعرف على بعضها من خلال رائحتها. وطيور البطريق تتعرف على بعضها من خلال النداءات. والبشر يتعرفون على بعضهم من خلال النظرات استُخدمت بصمات المباشرة، والأصوات على الهاتف، والتوقيعات على العقود، والصور على رخص القيادة. وقد الأصابع للتعرف على الأشخاص في مسرح الجريمة لأكثر من . أجهزة الحاسب الآلي بعملية التعرف: بصمات الإبهام، ومسح شبكية العين، وتخطيط الصوت، وأنماط الكتابة )13( »Equinox Fitness Clubs Case Study.« IRIS In Action. IRISID. Web. 15 May 2013 )14( Bruce Schneier, Crypto-gram, January 15, 2009

الفصل الثامن 418 :)تسجيل الدخول الأحادي نح حق الوصول إلى النظام أو إلى التطبيق. يمُعند التحقق من هوية المس وإذا كانت هذه المصادقة على الحس عند تشغيل جهاز الحاسب الآلي الخاص بك، فإن عملية المصادقة تكون مكتملة. ويقوم نظام التش للقي تُعرف نفسك إلى التطبيق البعيد؟ ومثال إليه موجوداً على نظام آخر؟ كيف يمكنك أن ذل�ع learning management system( بإمكانك تكرار عملية المصادقة وتزويد النظام باس آخر (مث صاً إذا كنت ترغب في الوصول وهذا س إلى العدي المُطالبة ببيانات الاعتماد مرة واح ) single sign-on( ) SSO« �أخرى. ويُش « �ويمكن تحقيقه بعدد من الطرق. ويُقصد ب ح رتس للمستخدم الوصول إليها. وعموماً فإن مس مرور للمس قوية وفريدة، كما يقوم مسؤول النظام بتغيير كلمات المرور التابعة للموارد الفردية بشكل المُستخدم النهائي منتظم كما هو محدد من قِبل سياس علم بأي من كلمات ا�لي المس خلال تقنية

إدارة الهوية والوصول 419 ويتم تنفيذ تقنية واح ح للمستخدم الوصول إليها. وعند رالمستودع المركزي يقوم النظام بالبحث عن الموارد الم محاول المستخدم الوصول لأي من هذه الموارد فإن نظام على توفير كلمة المرور الخاصة بالمَورد نيابة عن المس الدخول الأحادي مزايا وعيوب نظام تسجيل الدخول الأحادي: « �قبل الحديث عن التقنيات المختلفة ل على مزايا وعيوب ن الرئيس ومسؤولي النظام: •حد يُحب إدخال بيانات الاعتماد عدة مرات. تجربة أفضل للمستخدم: فلا أ •تُحف الدخول الأحادي يُلغي إمكانية وصول المهاجم لكلمة المرور من خلال خدمة مُخترقة. •تنفيذ سهل للمصادقة الثنائية العوامل بدلاً من تحديث جميع الخدمات التي تدعم المصادقة من خلال القطع الرمزية وبيانات القياس الدخول الأحادي •أقل حيرة: لا يحتاج المس وكلمات مرور مختلفة. •مكالمات أقل لمكتب المس كلمات المرور التابعة لهم. •كلمات مرور قوية: بما أن المُستخدم يحتاج لتذكر كلمة مرور واحدة فقط فإنه من الممكن أن تكون كلمة المرور أكثر تعقيداً. •تدقيق مركزي: يتم تأمين جميع المصادقات ويمكن رصدها في مكان واحد.

الفصل الثامن 420 وبش ومن خبرة المستخدم، لكن هذه التقنية لا تخلو من العيوب: •اختراق بيانات الاعتماد يمثل خطراً كبيراً - فاختراق حس إلى العديد من الأنظمة أو التطبيقات. •هجمات الانتحال - وجود صفحة تس حيث يس الخاصة بصفحة تسHyperText Markup Language« )HTML( التابعة لك مما يسهل سقوط المستخدمين في هذه الخدعة •يمث failure وتعطل هذا المس المرور في المس المستودع. •إضافة أي نوع من وكلما كان الحل أكثر تعقيداً، زادت احتمالية حدوث الأخطاء. مزامنة كلمات المرور: وبالإضافة إ لمزامن المرور لضمان أن المس ت المرور يقوم بإدخال �وبعكس د عند الدخول لكل نظام. ويؤدي تغيير كلمة المرور في نظام واحد إلى نشر �بيان هذا التغيير إلى الموارد الأخرى. وهذا يقلل من حيرة المس الهاتفية لمكتب الدعم الفني والتي تهدف لإعادة تعيين كلمات المرور.

إدارة الهوية والوصول 421 وعلى عكس مس كلمة مرور المس تعود على المس ا يكون المس ، والوصول أيضاً إلى قاعدة بيانات الحسابات وذلك باستخدام ييعمل على الحاس بيانات الاعتماد نفسها. وبما أن مزامنة كلمات المرور تحتاج إلى متطلبات قليلة للتنفيذ، فإنها عموماً أقل تكلفة من اق أي من هذه الموارد �ولأن كلمة المرور نفس س ت المرور مع موارد ذات متطلب�كل اق الموارد الأقل أمن�اخ قيمة عالية. الدليل النشط وبروتوكول كيربيروس Active directoryثل الدليل النشيمُ في ش « الشبكات بما في ذلك Kerberosوس�) مع بروتوكول كيربLDAP( بروتوكول مصادقة يس ولتعرف بعضهم على بعض وذلك بش ساساً لتقنيات المصادقة كيربيروس Kerberosوس�وع بروتوكول كيرب�الأخ

الفصل الثامن 422 .)15باحثين في معهد ماساتشوستس للتكنولوجيا Kerberosوس�ويعمل بروتوكول كيرب المقدمة للتطبيق المحمي من خلال بناء علاقة موثوقة اس بين خادم المصادقة، والتطبيق المحمي، والعميل. وفي عمل روتيني لبروتوكول كيربيروس خدمة عن بعد كالطابعة أو خادم الملفات. وتتطلب المصادقة من خلال بروتوكول كيربيروس ي، كما تتطلب أن يكون جميع �) مشKerberos( العناصر الثلاثة التالية أعضاء لنف في الدليل النشط): •العميل الذي يبدأ المصادقة. •ين:ر) والذي يتكون من عنKey Distribution Center( يمركز التوزيع الرئي - خدمة المصادقة. - خدمة منح التذاكر. •الخدمة التي يرغب العميل في الوصول إليها. وبهذه الإعدادات فإن عملية بروتوكول كيربيروس Kerberosكن العميل من الوصل لبروتوكول كيربيروستوقبل .يالتوزيع الرئي )15( http://www.kerberos.org/about/FAQ.html

إدارة الهوية والوصول أمن المعلومات وإدارة مخاطر تقنية المعلومات 423 ) Kerberos ): تبادل تذاكر بروتوكول كيربيروس 7 - 8 الشكل من العميل والخدمات بإعلان وجودهما على الش ٌّ يق ً أولا ). 1 ( ) Ticket-Granting-Ticket ( ) TGT اعتمادهما ومن خلال طلب ) TGT ) بإصدار تذكرة - من KDC ي � وبع ، كما يقوم بإصدار مفتاح جلسة ي مش ). 2 ( ي س ُ ي ) session key ( ساعات 10 ) ومفتاح الجلسة هو TGT والعمر الافتراضي لكل من يمكن تجديدها من قبل العميل في أي وقت. ) Service Ticket وعندما يحتاج العميل إلى خدمة ما فإنه يقوم بطلب ) إلى مركز التوزيع TGT وذل ) من فك ش KDC ( ي كن مركز التوزيع الرئي ت ذا ). وإ 3 ( ) KDC ( ي الرئي

الفصل الثامن 424 ) فإنه يقمن المطلوبة KDC( يأُرسل في وقت سابق من قِبل مركز التوزيع الرئي الج باس 6نح الوصول إلى المستخدميمُ )، وبعد ذلك KDC( يالرئي Kerberosوس�ويع SSO( حاسب آلي مكتبية بنظام ويندوز، كما تستخدم الدليل النشط حسابات المس والمتضم المرة الأولى لأجهزة الحاس والطابعات البعيدة أو الوصول للتطبيقات البعيدة دون الحاجة لإدخال اس كلم Directory النظام، وذلك على أجهزة حاس المُستهدفة من قبل مستخدمي بروتوكول كيربيروس الش الح معاً لتبادل تذاكر الخدمة. والتقنيات الموضحة أدناه مصممة للعمل للدخول في علاقة ثقة في هذه البيئات الواسعة.

إدارة الهوية والوصول 425 رابطة اتحاديةتسجيل الدخول الأحادي على الشبكة KerberosTokenCASSAMLOpenIDOAuth الإصدار الأول198719952001200320052006 سياق المصادقةالتطبيقمتصفح الشبكةمتصفح الشبكةمتصفح الشبكةمتصفح الشبكةنظام التشغيل ثقة الهويةمتغيرة حسب عالية جداً منخفضةمنخفضةعاليةعاليةالتطبيق مقدمو الهويةأحاديأحاديأحادي متعدد، رابطة اتحادية - قائمة محددة متعدد، مدخلات المستخدم متعدد، مدخلات المستخدم وسيلة التحققمفتاح/ مفاتيح سرية متغير (دالة تجزئة أو مفتاح سري) توثيق طبقة المنفذ الآمن certificate توقيعتوقيعمفتاح عام أمن الرسالةموقعةموقعة مشفرة وموقعةبدونبدونمشفرة تطبيق العميل/ الخادم خادم المصادقة، التطبيق، العميل خادم المصادقة، خادم المصادقةبدون التطبيقالتطبيقالتطبيق التطبيقات بروتوكول كيربيروس التابع لمعهد ماساتشوستس للتكنولوجيا MIT( النشط مخصص، فريد لكل عملية نشر متعدد العملاء ذوي المصدر المفتوح تطبيقات Shibboleth( و و متعدد العملاء ذوي المصدر المفتوح متعدد العملاء ذوي المصدر المفتوح الاستخدام التقليدي تسجيل الدخول لجهاز الحاسب الآلي، وتطبيقات أجهزة الحاسب المكتبية تطبيقات الشبكة تطبيقات الشبكة الداخلية تطبيقات الشبكة الخارجية مثل Google Apps( و تطبيقات الشبكة العامة مثل Facebook( )Twitterو الوصول غير التفاعلي لخدمات الشبكة

الفصل الثامن 426 :)تسجيل الدخول الأحادي على الشبكة Kerberosوس�تم تصمي إنش تم تحديثه في الس الإنترنت. وهناك سببان لذلك: السبب الأول هو شرط كون جميع العملاء والخوادم أعضاء ممكناً مع تطبيقات الشبكة العامة. في نطاق بروتوكول كيربيروس أما الس نس بروتوك يتطلب تهيئة واسعة لتمكين الدعم. وتسمح أنظمة تسجيل الدخول الأحادي على الشبكة ) للمس Web single sign-on( ) WebSSO( ومن ثم الوصول إلى تطبيقات الشبكة الأخرى دون الحاجة إلى إدخال اسم المستخدم وكلمة المرور مرة أخرى. وهناك العديد من أنظمة تس بشكل عام تقنيات المصادقة المستخدمة لتسجيل الدخول الأحادي على الشبكة ومن شنناق ثم سنركز على بروتوكول (تسجيل الدخول الأحادي على الشبكة) المستخدم على نطاق واسع في التعليم والشبكات التجارية. المصادقة المعتمدة على الرموز: أبس مُعرِف فريد أو دالة مصادقة مشترك. والمصادقة المعتمدة على الرمز المشترك هي استخدام تجزئة مش الوصول إلى أحد تطبيقات الش الرموز للتحقق من اسم المستخدم وكلمة المرور (وأي عوامل مصادقة أخرى مطلوبة)، وبعد ذلك يتم توليد رمز المصادقة (الشكل

إدارة الهوية والوصول أمن المعلومات وإدارة مخاطر تقنية المعلومات 427 ): المصادقة المعتمدة على الرموز 8 - 8 الشكل س ُ التنفيذ المحدد لتزويد الرمز فإن رمز المصادقة قد ي � ع ً واعتمادا رير اسم المستخدم ت مثل أن الرمز ينتج من عملية تشفير ً الطرق المختلفة. والأكثر ش ) أو خوارزمية تش HMAC-MD5 خلال خوارزمية دالة التجزئة الآمنة ). وبمجرد أن يتم توليد الرمز فإنه يتم إعادة توجيه المستخدم إلى الخدمة المطلوبة، AES ( ً بديلا ). و HTTP كما يتم إضافة الرمز إلى معايير طلب بروتوكول انتقال النص التش ) في متصفح cookie له المس الارتباط التابعة للجلسة في الذاكرة المؤقتة فقط ويتم حذفها عندما يقوم المستخدم بإغلاق كن للتطبيقات أن تحفظ بيانات أخرى في ملفات ُ يم المصادقة المتصفح. وبالإضافة إلى بيانات تعريف الارتباط التابعة للجلس تفضيلات الموقع للمستخدم.

الفصل الثامن 428 تُعد مشاركة رموز المصادقة في ملفات تعريف الارتباط التابعة للجلسة طريقة سهلة لتفعيل لهذه الطريقة هو أن متصفحات الشبكة لا تسمح يالأحادي بمشاركة ملفات تعريف الارتباط بين مجالات متعددة. مثلاً، أحد ملفات تعريف الارتباط التابعة للجلسة المحفوظ sunshine.edu( « �). وإذا كان هناك حاجة لفي مجال مختلفة فإنه لا يمكن استخدام ملفات تعريف الارتباط التابعة للجلسة. وفي تطبيقات الشبكة فإن عملية التحقق من رمز المصادقة تعتمد على الطريقة المتبعة في توليد ذلك الرمز. وفي أبسط الحالات، إذا تم استخدام خوارزمية المفتاح المتماثل فإن تطبيق الشبكة المطلوب سيقوم بإدخال الرمز وإدخال نسخة من المفتاح المشفر إلى خوارزمية فك المُصادق، على اسنىالتش لكنها قد تتضمن بيانات أخرى عن الشخص مثل الاسم، أو بيانات المصادقة الأخرى كالختم الزمني وعنوان بروتوكل الإنترنت ويعد مناً عندما يتم تنفيذه بالش نس لكن هناك بعض المش للمصادقة بالرموز، لذلك تقوم كل منظمة بتطبيق نظام المصادقة بش ثل مشكلة إذا كانت جميع التطبيقات التي ستستخدمُلا ت ثل مشتتصميمها داخل المنظمة، لكن هذه النقطة خارجية. والمش بتوليد مفتاح فريد لكل تطبيق يس احداً لجميع تحتاج إلى الإدارة مئات من المفاتيح. ومن جهة أخرى إذا استخدمت مفتاحاً و الخدمات، وتم اختراق هذا المفتاح، فإن جميع الخدمات ستكون معرضة للخطر.

إدارة الهوية والوصول أمن المعلومات وإدارة مخاطر تقنية المعلومات 429 ): خدمة المصادقة المركزية 9 - 8 الشكل ): Central Authentication Service بروتوكول خدمة المصادقة المركزية ً ) واحدا Central Authentication Service عد بروتوكول خدمة المصادقة المركزي ُ ي في مجال ً صا من التقنيات الرائدة ) في عام Y a le University التعلي . ويجم 2001 )، وذلك لجعل Kerberos الرموز وبين المفاهيم المستقاة من بروتوكول كيربيروس ). وفي 9 - 8 وس ً منا الدخول الأحادي Java Architectures Special Interest تم نق 2004 عام وه )، Group برمجيات التعليم العا عتمدة على الرموز فإن المس ُ وبش (بروتوكول خدمة المصادق � إلى تطبي خدمة المصادقة الموجودة على خادم (بروتوكول خدمة المصادقة المركزية). وبشكل مشابه ) فإن هذه الخدمة تقبل بيانات اعتماد المس Kerberos لبروتوكول كيربيروس ً يض أ ). Ticket-Granting-Ticket وتتحقق منها ومن ثم تقوم بإصدار حفظ على متصفح ُ ت وإن أه

الفصل الثامن 430 ) الخاص بالجلسالمس خدمة المصادقة المركزية) فقط يس (بروتوكول خدمة المصادقة المركزية) �لخدمة المصادقة في أثناء جلس (س المستخدم بإدخال بيانات الاعتماد الخاصة به. واس خ لتطبيق ويب المحمي. وتذكرة خدمة (بروتوكول خدمة المصادقة المركزية) عبارة عن قيمة عش في تذكرة الخدمة. وتس واح طُلبَت له التذك تذك لفترة زمنية قصيرة جداً (الفترة الزمنية الافتراضية هي يتم إعادة توجيه المس إلى معايير بروتوكول نقل النص التش المعتمدة على الرموز. وب تذكرة الخدمة تُرسل مرة أخرى إلى خادم (بروتوكول خدمة المصادقة المركزية) للتحقق. وإذا كان عنوان الموقع الإلكتروني للخدمة يطابق عنوان الموقع الإلكتروني الذي تم طلب التذكرة ل ) تحتوي على اسم المستخدم المصادق عليه. XML « �بوثيقة مكتوبة ب وقد أضافت الإصدارات الأحدث من خادم (بروتوكول خدمة المصادقة المركزية) القدرة على استرجاع المواصفات الأخرى كالاسم وعنوان البريد الإلكتروني بالإضافة إلى اسم المستخدم. وأبرز العوامل الرئيس يُضاف دع البس

إدارة الهوية والوصول 431 وإما بتطوير)16بس العميل الخاص بك. وخلافاً للمصادقة المعتمدة على الرموز والتي تتطلب خوارزمية تشفير يصع المصادقة المركزية) هو القدرة على إجراء اتصال ببروتوكول نقل النصوص التش �) وتحليHTTPS( ). ويمكن لجميع لغات البرمجة الرئيسX« (بروتوكول خدمة المصادقة�أن تُلب المركزية) ليس صعباً. ومن الس المركزي من الأنواع المختلفة لبيانات الاعتماد مثل اسم المستخدم وكلمة المرور في بروتوكول الوصول ، وتوثيق Lightweight Directory Access Protocol ) LDAPللدلي أنه يمكن ضبط خادم (بروتوك�ك كيربيروس المستخدم بتسجيل الدخول عند بدء تشغيل جهاز الحاسب الآلي في الصباح دون الحاجة إلى إعادة إدخال كلمة المرور وذلك حتى عند الرغبة في الوصول إلى تطبيقات الشبكة. الرابطة الاتحادية إن بروتوكول كيربيروس جميع الضوابط اللازمة لتأمين التطبيقات داخل المنظمة، لكن ما العمل إذا احتاج المس الوص الح الإجابة التقليدية لهذا الس الأنظمة الخارجية، وإنش المس ولاية الشمس المشرقة يتعاونون مع باحثين من إحدى شركات التكنولوجيا الحيوية المحلية. )16( https://wiki.jasig.org/display/CASC/Client + Feature+ Matrix

الفصل الثامن 432 والطريق جميع موظفي شركة التكنولوجيا الحيوية يحتاجون إلى بيانات اعتماد من الجامعة، وأعضاء هيئة التدريس يحتاجون إلى بيانات اعتماد من شركة التكنولوجيا الحيوية. وفي نهاي على جميع مزايا ضيه « لمعرفة متى يجب س كيمُ في المنص عموماً لن يكون متاحاً للأفراد من خارج المنظمة مما يجعل من مراقبة الوصول أمراً صعباً. وبالإضافة إلى الآثار الأمنية فإن إنشاء حسابات في المنظمات الخارجية يتطلب عادة الكشف عن بيانات المس مخاوف فادحة تتعلق بالخصوصية. الرابطة الاتحادية ويتم تطبيق (الرابطة الاتحادية) من خلال توفير وس service provider( خارج المشرقة أعلاه، وبدلاً من إنش النظام الذي يحتوي على البيانات البحثية في الحرم الجامعي لجامعة ولاية الش سيقوم بالتحقق من هوية المستخدم عن طريق كما سيقوم النظام بطلب معلومات كافية عن المستخدم لاتخاذ قرار بشأن منح حق الوصول. تُلبي وإذا نجحت عملية المصادقة وكانت المعلومات الموفرة من قبل متطلب بالوصول يتم في كل مرة يقوم فيها المس المشرقة برفض وصول المس «