أمن المعلومات وإدارة مخاطر تقنية المعلومات

إدارة الهوية والوصول 433 لكن السماح للمستخدمين التابعين لأكثر من مزود للهوية بالوصول إلى الخدمة يؤدي إ ظه يس اك فيها. وتقدم خدمة الاكتشاف للمستخدم قائمة بالمنظمات الموثوق �التي قاوموا بالاش به الاكتشاف في أحد أنظمة الارتباط الاتحادي الشائعة هو بروتوكول لغة تمييز التأكيدات الأمنية Security Assertion Markupييتيُع ) أحد بروتوكولات الارتباط الاتحادي الأكثر شLanguage( ) SAML ) تمXMLت. وهو بروتوك�برمجي تطويره في عام . وق)17()Services Technical Committee والإصدارات كان آخرها إصدار البروتوك الرس فلأن ييت بروتوكول�)، يقSP( بالتواصل من خلال ترحيل الرسائل عبر متصفح المستخدم بلغة ترميز النصوص التشعبية . وهHyperText Markup Language ) HTML( لأن ضوابط؛SAMLييز التأكيتالاتحادي « �ح ل�الش بالاتصال بالأعضاء الآخرين في الرابطة الاتحادية. ر من خلال طرف ثالث غير موثوق به (وهو متصفح المستخدم) فإن تلكن ولأن الرسالة ) يجب أن تكون موقعة ومشفرة لضمان أمن الرسالة Xرس وتكاملها. )17( https://www.oasis-open.org/committees/security/

الفصل الثامن أمن المعلومات وإدارة مخاطر تقنية المعلومات 434 ) InCommon ): خدمة الاكتشاف في أحد أنظمة الارتباط الاتحادي الشائعة وهو 10 - 8 الشكل من المنظمات ومزودي الخدمات ً ليس قليلا ً وفي الارتباط تصب عن جميع المهام الإدارية المتعلقة بإدارة ش ً لا ويكون مزود الارتباط الاتحادي مس الاتح ) اللازم Public Key Infrastructure للمفت الارتباط الاتح ) تحتوي على قائمة ش X ML « � ب تحت خدم التي تشكل الارتباط الاتحادي. والمشاركون في الارتباط الاتحادي يثقون في أن المزود سيقوم بفح الهوي العضوية. « � م في بيئة الارتب ِ س ُ م ) عملية مصادقة 11 - 8 ويوضح الش ييز التأكيدات الأمنية ت )، يقوم مزود الخدمة بالتحقق من أن الموارد 1 ييز التأكي ت « ببروتوك المطلوبة تتطلب المصادقة (اختبار الوصول).

إدارة الهوية والوصول أمن المعلومات وإدارة مخاطر تقنية المعلومات 435 ): تسجيل الدخول الأحادي في بيئة الارتباط الاتحادي بـ 11 - 8 الشكل ) HTML بلغة الترميز ً جا وإذا كانت المصادقة مطلوبة، فإن مزود الخدمة س ) X ML « � ) بحيث يحتوي النموذج على مس 2 ( ). بعد 3 والذي س ). وإذا 5 ) والتحقق منه 4 ذل كان إرس يي ت د من مزود الارتباط � س ُ ) بالمفتاح العام التابع لمزود الخدمة (والم X ML ( � بتش الاتح ) والذي يحتوي على بيانات الرد إلى المستخدم HTML ( � يقوم مزود الهوية بإرسال نموذج ال � ) الذي يقوم بفك ش 7 إلى مزود الخدمة ً ليا ). ويتم تقديم هذا النموذج آ 6 ( ت مصادقة المستخدم، يقوم ت ن )، كما يقوم بالتأكد من توقيع الرسالة. الآن وبعد أ X ML ( .) 8 مزود الخدمة بتوفير الموارد المطلوبة إلى المستخدم

الفصل الثامن 436 ت مناقشتهاتوخلافاً لبعض بروتوكولات ييز التأكيدات الأمنيت ه ييز التأكيدات الأمنيتتطبي عمل البروتوكول لكن التطبيق الفعلي لهذه التفاصيل ترجع لمطوري التطبيقات. وبس ييز تذل التأكيدات الأمنية وكذلك من التطبيقات المفتوحة المصدر والمتاحة مجاناً. ييز التأكيدات الأمنيةت ويُعد تطبيق بروتوكول من منتج Services لدع ييز التأكيدات الأمنيةت منتجات مايكروس نموذج الخدمة في اس الارتباط الاتحادي في برامج أوفيس الاعتماد المحلية (بتسجيل دخول واحد إلى أجهزة الحاسب الآلي المكتبية) للوصول إلى البريد الإلكتروني والتقويم المعتمدين على الحوس ييتمعيار بروتوكول غير التابعة لميكروسوفت مثل وتع ييز التأكيدات الأمنيةت بروتوكول�ع وتطبيق ييز التأكيدات تبنية تحتية للتحكم بوصول الارتباط الاتحادي ومعتمدة على برتوكول الأمني لتسجيل الدخول الأحادي على الشبكة من قبل (مجموعة إنترنت

إدارة الهوية والوصول 437 ت البحثي�والت كة �هيئ والموجودة في الجامعات المختلفة والتي تس 1.الأخرى. وتم إصدار النس 2.1.2005ات كبيرة في الإصدار ال�تغي ومنذ ذلك الحين تم إصدار بعض النسخ التي تحتوي على بعض التعديلات البسيطة. ويعد برتوكول الكبيرة، كما أن هذا النظام هو الأساس في العديد من الاتحادات الوطنية والدولية. تطبيقات برتوكول يُعرِف قاموس ميريام وبس هذا المصطلح من الكتاب اليهودي المقدستىبأنه مُميِزاً لمجموعة ما عن المجموعات الأخرى 6-Judges 12:5 ( ) Bible Gileadites( .))Sibboleth( �ينطقون هذه الكلمة ك وفي الوقت نفسه الذي كان يتم فيه تطوير الإصدارات الأولى من بروتوكول كانت القاعدة التي تدير البنية التحتية للشبكات في جميع الجامعات السويسرية، والتي تُدعى SWITCH( على بروتوك وال )19يُدع والمجال التجاري في س الموارد التعليمية في البلاد عن طريق اس ش مزودي هوية وما يقارب من )18( w.merriam-webster.com/dictionary/shibboleth )19( http://www.switch.ch/aai/about/federation

الفصل الثامن 438 ) بتشغيلها رابط اتحادي على نطاق واسع، بدأتوبعد النجاح الذي حققته الش 2004 يرب InCommon( الشركات الكبرى مثل مايكروس تزايد عدد الأعضاء بش من SWITCH ( � ل�. وكنظ)20م 2005)21و في المملك يقارب من بروتوكول ييز التأكيدات الأمنيةت يُعد الارتباط الاتحادي المُعتمِد على بروتوكول ت، ليكون مصادقة الموظفين ومصادقة شركاء العم �لأمن المنظ ً قب�وتأم وكل مزود خدمة مس التس ثل مشكلة في حال يمُيتطلب التسجيل تغييرات في تهيئة النظام التابع لمزود الهوية، وهذا لا كات. فعندما يتم تحديد خدمة ارتباط اتح�ال من أعضاء المنظم ييتتهيئ تكون التطبيقات المعتمدة على المستخدم تشمل عامة الناس. تخيل مقدار العمل المطلوب )20( http://www.incommonfederation.org/participants )21( http://www.ukfederation.org.uk

إدارة الهوية والوصول 439 للمحافظ الموجودة على ش إنشاؤها يومياً. وللتعامل مع المواقع ذات الكثافة الكبيرة من المستخدمين من جميع أنحاء العالم، مثل تويتر وفيسبوك، يجب استخدام ارتباط اتحادي جديد. وفي الأصل تم تطوير بروتوكول com م والمتطل الحاس مع الواعين بش يسمح لهم بتعيين متطلبات القوة وبيانات الاعتماد التي يتم استخدامها لعمليات المصادقة التي يُجريها المستخدمون بأنفسهم. وسبب نجاح هذا البروتوكول هو المنفعة التي يقدمها OpenID( )Relying Party in theإلى م « �)). وبدأت بشOpenID protocol بعض المواقع الإلكترونية مثل في عام إحباط المستخدمين بسبب الحاجة إلى التعامل مع حسابات وكلمات مرور متعددة. وأصبح نس من الس ) والذين أصبحوا من مزودي Yخدمات البريد الإلكتروني مثل OpenID( في الآلاف م على بروتوكول وللمصادقة باس Relyingد�) إلى جهة الاعتOpenID بروتوك�) المعتمURLو�الإلك

الفصل الثامن أمن المعلومات وإدارة مخاطر تقنية المعلومات 440 ) المعتمد ع URL ). ويكون عنوان الموقع الإلكترو 1 من اسم المستخدم ً لا ) بد Party للمنظمة المزودة ً عيا فر ً لكل مس ً ) فريدا OpenID بروتوكول ). ثم تطلب جهة http:// jsmith.sunshine.edu س � )، ع OpenID ( � ل ). 2 ( ) OpenID ) ويتم إعادة توجيهها إلى مزود URL و � د عنوان الموقع الإلك � الاعت ستخدم هذا السر في مصادقة الاستجابة ُ ) بسر مشترك بحيث ي OpenID ويستجيب مزود ) OpenID ). وبعد ذلك تقوم جهة الاعتماد بإعادة توجيه متصفح المستخدم إلى مزود 3 ( ) ويقوم بروتوكول 4 وذلك للمصادقة. وبمجرد أن يقوم المس )، يقوم البروتوكول بإنش 5 ) بالتحق OpenID ( ). وبمجرد مصادقة 6 استجابة للمصادقة ويقوم بإرجاعها مع السر المشترك إلى جهة الاعتماد ) OpenID ) المعتمد على بروتوكول URL و � المس بحس ). 12 - 8 (الاسم، وعنوان البريد الإلكتروني، وغيرها). وهذه العملية موضحة في الشكل ) OpenID ): بروتوكول 12 - 8 الشكل

إدارة الهوية والوصول 441 في أواخر عام)22وت �متضمنة القدرة على إطلاق سمات المستخدم بالإضافة إلى استجابة المصادقة أو ما يُدعى ب . كما )23()OpenID( »)OpenID Attribute Exchangeت في بروتوكول�« يضيف بروتوكول اس قائمة، وس الصحيح والمعتمد على بروتوكول ويوضح الش OpenID 2.0( طلب (معلومات المس مزود أصبحت أس . ويمكن النظر أيضاً إلى نظام إطلاق )24الخدمة عند استخدام مصادقة بروتوكول المواصفات في بروتوكول أي بيانات إلى جهة الاعتماد، يسعى مزود للمستخدم بإنهاء المعاملة إذا كان لا يرغب في الإفصاح عن البيانات المطلوبة. 13-8 الشكل Janrainالمصدر )22( http://openid.net/specs/openid-authentication-2_0.html )23( http://openid.net/specs/openid-attribute-exchange-1_0.html )24( http://janrain.com/resources/industry-research/consumer-perceptions-of-online-registration-and-social-login

الفصل الثامن أمن المعلومات وإدارة مخاطر تقنية المعلومات 442 :) OAuth بروتوكول ) للتعامل مع حالة الاس OpenID ت الش ظهرت حالتان جديدت � ) بوقت قص OpenID وبع الاس web ( � )، وتطبيقات الأجهزة المحمولة. الاس web mashups الأخرى )، وه mashups ) على الإنترنت. على سبيل المثال، API بيانات واحد أو أكثر من واجهة برمجة التطبيقات ) يس BigHugeLabs ( ) http://bighugelabs.com الموقع الإلكتروني لمنظمة ) لإنش Flickr واجه أخرى عديدة من الصورة الجديدة. ويوجد الآلاف من المواقع التي تستخدم واجهة برمجة ) ويمكن من خلال Google Maps ( ) https://developers.google.com/maps تطبيقات خرائط جوجل http:// مصانع الخمور في أي مكان في الولايات المتحدة � ه http:// ) كما يمكن رؤية التوجهات الحالية لموقع تويتر حسب الموقع winesandtimes.com ). ولا يمكن حماية واجهة برمجة التطبيقات المستخدمة من قبل 14 - 8 ) (الشكل trendsmap. com ) لأنه لا يتم الوصول إليها بواس OpenID ) بواس mashups ( � ال )، بل يتم الوص OpenID يس ). mashups ( � ال ئ نش ُ بواسطة تطبيق ويب يمزج البيانات وي ) http://trendsmap.com ( :) 14 - 8 الشكل

إدارة الهوية والوصول 443 وبالمث جاع ومعالجة البيانات �بالوص للمس الهاتف الذكي فإن هذه اللعبة قد تس ل المث الخدم open يح المفتوحر) أو بروتوكولالخاص فإن )25authorization هذا البروتوكول هو آلية تس (مزود الخدمة) إلى موقع آخر (العميل). ويوضح الشكل وأول شيء يج الرغم من أن الكثير م�للمصادق بروتوكول OAuth OAuthيح التابع لبروتوكولرالموارد) من خلال خادم الت يح لفترة زمنية ممتدة، كما يسمح للمستخدم بإلغاء الوصول في أي وقت.رالت يح، يجب أن يقوم التطبيق روقبل أن يتمكن العميل من إرسال الطلبات إلى خادم الت بتسجيل أحد المُعرّفات مع الخادم، كما يجب أن يتلقى بيانات اعتماد العميل، والتي تكون ك. فعندما يحتاج العميل إلى الوصول إلى مورد ما �عادة في ش لأول مرة يتم إعادة توجيه وكيل المستخدم التابع لمالك الموارد (المتصفح أو تطبيق الأجهزة 1a & 1bيح مع نطاق الطلب ومعرف العميلرالمحمول 3 & 2يح بمصادقة المستخدمرالت تكون جزءاً من الارتباط الاتحادي/ شبكة تسجيل الدخول الأحادي) ويقدم قائمة من الموارد المطلوبة ويمنحهم فرصة لقبول أو رفض الطلب. )25( http://oauth.net/about/

الفصل الثامن أمن المعلومات وإدارة مخاطر تقنية المعلومات 444 وإذا ق ) OAuth ). بعد ذلك يقوم عميل 4a & 4b يح ر ) مع رمز الت OAuth عميل بروتوكول ). 5 يح ر مع خادم الت ً سابقا يح وبيانات اعتماد العميل والتي أنش ر بإرس للوصول ً صدر رمزا ُ يح بالتحقق من بيانات اعتماد العمي ر ويق ). ويس 7 ) والذي يس 6 ( ) الاستمرار في استخدام رمز الوصول حتى نهاية مدته الزمنية أو حتى يقوم مالك OAuth ( الموارد بتعطيله ) Facebook وتعمل معظم مواقع ش ) على توفير الوصول + Google ) وجوجل بلس Foursquare ) وفورسكوير Twitter وتوي قد سمحت لتطبيق ضى ). وإذا كنت في أي وقت م OAuth يح في بروتوكول ر إلى خادم الت ما أن يعلق على جدولك الزمني في فيسبوك، أو أن يضع رسالة في حساب تويتر الخاص بك، ). والمش OAuth فعندها تصبح أنت مالك الموارد في معاملة يح مما يعني أن المستخدم إذا كان ر ) أن مصادقة المستخدم متروكة إلى خادم الت OAuth ( )، OAuth لدي من المطورين أن � عنده « ) OAuth بروتوكول ) فإنه يتم OpenID يح لطلب بروتوك ر صدر رمز الت ُ ي ي ر بأن التحقق من هوية المستخدم كما يتم الثقة في المصادقة. ) OAuth ): مرور الرمز في بروتوكول 15 - 8 الشكل

إدارة الهوية والوصول 445 يح فإن هناك إمكانيةر) للمصادقة والت وإذا استُخدم رمز وصول بروتوكول بإسئأن يقوم العميل الس يح نفسها. وفي مُعظم التطبيقات التي يُستخدم فيها بروتوكول رآخر يس OAuth( OAuth( موارد ثمينة. ومع بدء المصارف البنكية والمؤسس ح حديثاً وهو � قيمة وأكثر عرضة للاس�أصب يح، ر) للتOAuth بروتوك�) والبروتوك ييز التأكيدات ت) للمصادقة، كما يضم عناصر موبروتوك . وم)26الأمنية بروتوك للوصول إلى ش لبرتوكول وهناك طريقة مبس من خلال إنشاء تطبيق 2012 Studio .)SimpleMembershipProvider( �مواصفاتها لمصادقة المس ولتنفيذ بروتوكول OAuthMembership لسسيالمفتاح الأس OAuthMembership المس فيس اعتماده للمزود البعيد. ويقوم التطبيق المحلي بالتحقق من تلك البيانات مع المزود البعيد، وإذا أكدها الطرف الثالث، يتم السماح للمستخدم بالوصول إلى التطبيق المحلي. )26( http://openid.net/connect

الفصل الثامن 446 وتجدر الإش ذلك فإن التطبيق يس� والمُعرِف ل �المس للمستخدم بإنشاء تلك الرابطة. 16-8 الشكل ):نموذج حالة-ماركوس هِس Cliffاس الملاحظة الحادة لديه لتعقب ش كن من الدخول بنجاح للعديد من المنشتوالذي خلال الفترة ببيعها لمخابرات الاتحاد الس كن من الدخول إلى أجهزة الحاستالمتطف خلال استغلال كلمات المرور الضعيفة. ويوضح الشكل المتطفل إلى المنشآت العسكرية. وبمراقبة المطبوعات التفصيلية لنشاط الشاب المتطفل اتضح أنه حاول دخول قرابة جهاز حاس system( الأدوات البرمجية البسيطة مثل تم تس ) من الأجهزة التي حاول الشاب المتطفل اختراقها، كانت %لبعض المستخدمين. وفي نحو ء الحس�أس د الافتراضية تلك امتيازات �أن تك

إدارة الهوية والوصول أمن المعلومات وإدارة مخاطر تقنية المعلومات 447 . وفي بعض الحالات كان يحاول الش ً مدير النظام أيضا للنظام. ً اس وفي حالات أخرى كان يستغل المشكلات التي حظيت بتغطية إعلامية في العديد من أنظمة التشغيل للحصول ع بكسر كلمات المرور المشفرة، حيث كان نظام التشغيل ً يضا وقام هذا الش ) والذي يحفظ كلمات المرور بصيغة مشفرة لكنه يضعها UNI X المستخدم هو نظام ينكس . وأظهرت سجلات حركة المرور في النظام أن الشاب المتطفل كان يقوم ً علنا في مكان مقروء ، وبعد قرابة صي خترقة إلى جهازه الشخ ُ الم بتحميل ملفات كلمات المرور المشفرة من الأنظمة خترقة ويقوم بتسجيل الدخول ُ الم أس إلى حس ء ش � تم تخمينها بنجاح كانت كلمات إنجليزية - أس اس . ً ر التي قام بتحميلها سابقا بكلمات المرو ): مسار هجمات الشاب المتطفل إلى المنشآت العسكرية 17 - 8 الشكل

الفصل الثامن 448 وس UNIXالإص UNIXذل متقادم ح لأي شخص بقراءة كلمات المرور والثقة في أمن نظام التشفير مناسباً �وأيضاً لا يُعد الس في تلك الإصدارات من نظام ينكس. ولم تهتم المبادئ التوجيهية الصادرة من مختبر لورنس بيركلي الوطني ) من كلمات مرور المستخدمين باستخدام كلمات القاموس.%إمكانية تخم المراجع: Stoll. C. »Stalking the wily hacker,« Communications of the ACM, May 1988,31)5(: 484-497 Stoll. C. »The Cuckoo’s e gg, « Doubleday, http://en.wikipedia.orgl wikilThe_ Cuckoo ‘s_E gg الملخص في هذا الفصل استعرضنا عمليات إدارة الهوية وإدارة الوصول بدءاً من هوية المستخدم يح. كما استعرضنا مراحل إدارة الهوية -رفي نظام الس اكتش التحكم في الوصول المعتمد على الدور) في إدارة الوصول. والمصادقة هي العملية المُس (اسسيالمصادقة نوعين من المعلومات: الأول أس وبيان الرمزية، والقياسات الحيوية. والمصادقة المتعددة العوامل تتطلب اثنين أو أكثر من بيانات عتماد المختلفة حتى تُستخدم معاً للتحقق من صحة الهوية. الا وتس الموجودة في الأنظمة المتعددة داخل المنظمة الواحدة عن طريق المصادقة لمرة واحدة فقط.