Усиленная аутентификация - Форум по вопросам информационной безопасности

имеется АС класса 1Б 2 категория, нужно ли использовать усиленную аутентификацию или можно обойтись без этого,
в РД ФСТЭК написано
"должны осуществляться идентификация и проверка подлинности субъектов доступа при входе в систему по идентификатору (коду) и паролю временного действия длиной не менее восьми буквенно-цифровых символов;"
что означает "идентификатору (коду)" -логин пользователя будет считаться идентификатором?

Аппаратная идентификация обязательна для 1Б

"Аппаратная идентификация обязательна для 1Б"
А можно узнать где это написано? Пункт и документ.

"можно обойтись без этого"
Можно, если найдете такое СЗИ сертифицированное до 1Б без условия использования аппаратных идентификаторов в ТУ на сертификацию.

См. РД ФСТЭК России Руководящий документ. Защита от несанкционированного доступа к информации. Термины и определения.
-------------------------------------------------------------------------------------------------------------
14. Идентификатор доступа
Access identifier
Уникальный признак субъекта или объекта доступа
15. Идентификация
Identification
Присвоение субъектам и объектам доступа идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов
16. Пароль
Password
Идентификатор субъекта доступа, который является его (субъекта) секретом

далее пользуйтесь логикой ВКЛЮЧИТЕ МОЗГ!

"далее пользуйтесь логикой ВКЛЮЧИТЕ МОЗГ!"

Включаем... тогда аппаратная идентификация нужна для любой АС
2А,2Б, 1Г, 1В,1Б,1А для всех "входе в систему по идентификатору (коду) и паролю условно-постоянного действия".
А еще как быть со словом "(коду)" в этой фразе. И является ли логин в ОС идентификатором или кодом?

И еще вопрос был про усиленную идентификацию то есть как я понял про двуфакторную (логин+электронный (аппаратный) ключ).
А это требование явно только с 1 А.
"...должны осуществляться идентификация и проверка подлинности субъектов доступа при входе в систему по биометрическим характеристикам или специальным устройствам (жетонам, картам, электронным ключам) и паролю временного действия длиной не менее восьми буквенно-цифровых символов..."

Поэтом у автора и вопрос где требования для 1Б обязательное использование
"...специальным устройствам (жетонам, картам, электронным ключам)"?

Мне кажется в ТУ на СЗИ НСД сертифицированное на требования к 1Б. Но не в РД НСД точно. Просто разработчикам так проще остольные условия к классу соблюсти.

Вот например СЗИ SN7 - в формуляре ни слова не сказано про использование аппаратных идентификаторов,
на сайте разработчика написано - что " реализован механизм парольной аутентификации пользователей средствами СЗИ. Таким образом, использование электронных идентификаторов для усиленной аутентификации не является обязательным."
сертификат выдан до 1Б
запросить ТУ? что-то сомневаюсь что мне его пришлют

ТУ предоставить обязаны.
Если откажут, то можете смело жаловаться с отдел сертификации или в Роспотребнадзор.

И в ТУ нет требования использовать аппаратный идентификатор

"И в ТУ нет требования использовать аппаратный идентификатор"
В том то и дело!

http://www.itsec.ru/forum.php?from=-1&sub=10386

По этой теме лучше ничего и не скажу, чем написано здесь.