Фундаментальный теоретический конспект

1. Архитектурная парадигма: Идентификация, Аутентификация и Авторизация

В информационной безопасности компьютерных систем четко разграничиваются три взаимосвязанных, но принципиально различных процесса (модель AAA — Identification, Authentication, Authorization):

Схема полного цикла защищенного входа в информационную систему

2. Криптографические алгоритмы защиты паролей

Золотое правило современной программной инженерии гласит: база данных никогда не должна знать реальный пароль пользователя. Пароль преобразуется односторонней функцией, восстановить исходный текст из которой математически невозможно за разумное время.

2.1. Почему наивное хэширование (MD5 / SHA-1) смертельно опасно

2.2. Архитектура «Хэширование с солью» (SHA-256 + Salt)

Криптографическая соль (Salt) — это последовательность случайных байт (длиной не менее 16–32 байт), генерируемая криптографически стойким генератором случайных чисел (CSPRNG) персонально для каждого пользователя при регистрации или смене пароля.

Эффект соли: даже если 1000 пользователей выберут одинаковый пароль «123456», из-за разной соли у каждого из них в базе данных будет абсолютно уникальный password_hash. Радужные таблицы становятся полностью бесполезными.

2.3. Медленные функции формирования ключа: bcrypt, Argon2, PBKDF2

Алгоритм SHA-256 разрабатывался для сверхбыстрого подсчета контрольных сумм файлов (миллионы операций в секунду на современной видеокарте GPU). Для защиты паролей от полного перебора (Brute-Force) применяются специальные «медленные» адаптивные алгоритмы с настраиваемым фактором трудоемкости (Work Factor / Cost):

3. Проектирование структуры таблиц учетных записей

В рамках реляционной модели данных создается триада таблиц подсистемы авторизации и аудита.

-- 1. Справочник ролей пользователей
CREATE TABLE roles (
    id SERIAL PRIMARY KEY,
    role_name VARCHAR(50) NOT NULL UNIQUE,
    role_description VARCHAR(255) NOT NULL,
    created_at TIMESTAMP WITH TIME ZONE DEFAULT CURRENT_TIMESTAMP NOT NULL
);

-- 2. Таблица пользователей информационной системы
CREATE TABLE users (
    id BIGSERIAL PRIMARY KEY,
    login VARCHAR(50) NOT NULL UNIQUE,
    salt VARCHAR(64) NOT NULL,
    password_hash VARCHAR(128) NOT NULL,
    role_id INTEGER NOT NULL,
    is_active BOOLEAN DEFAULT TRUE NOT NULL,
    failed_attempts SMALLINT DEFAULT 0 NOT NULL,
    locked_until TIMESTAMP WITH TIME ZONE,
    created_at TIMESTAMP WITH TIME ZONE DEFAULT CURRENT_TIMESTAMP NOT NULL,
    updated_at TIMESTAMP WITH TIME ZONE DEFAULT CURRENT_TIMESTAMP NOT NULL,
    CONSTRAINT fk_users_roles FOREIGN KEY (role_id) 
        REFERENCES roles(id) ON UPDATE CASCADE ON DELETE RESTRICT
);

-- 3. Таблица журнала аудита безопасности
CREATE TABLE audit_logs (
    id BIGSERIAL PRIMARY KEY,
    user_id BIGINT,
    attempted_login VARCHAR(50) NOT NULL,
    event_type VARCHAR(30) NOT NULL,
    ip_address VARCHAR(45) NOT NULL,
    user_agent VARCHAR(255),
    event_time TIMESTAMP WITH TIME ZONE DEFAULT CURRENT_TIMESTAMP NOT NULL,
    details TEXT,
    CONSTRAINT fk_audit_users FOREIGN KEY (user_id) 
        REFERENCES users(id) ON UPDATE CASCADE ON DELETE SET NULL
);

CREATE INDEX idx_users_login ON users(login);
CREATE INDEX idx_audit_event_time ON audit_logs(event_time);

4. Эргономика и безопасность экранных форм входа (Login Dialog UX)

Диалог входа — первое окно, с которым взаимодействует пользователь. Любая ошибка в его реализации приводит либо к краху безопасности, либо к оттоку пользователей.

4.1. Макет стандартной формы входа (Эталон)

4.2. Сравнительный анализ инженерных паттернов безопасности интерфейса

5. Вопросы для самопроверки студентов

1. В чем состоит ключевое отличие понятий аутентификация и авторизация? Приведите пример для корпоративной базы данных.
2. Почему категорически запрещено хранить пароли пользователей в таблицах базы данных в открытом (plaintext) виде?
3. Что такое криптографическая соль (salt)? Каким образом она предотвращает взлом учетных записей с помощью предварительно вычисленных «радужных таблиц»?
4. Какую длину в байтах и символах имеет хэш алгоритма SHA-256 в шестнадцатеричном представлении? Какой тип данных SQL оптимален для его хранения?
5. Чем алгоритм bcrypt концептуально превосходит классический SHA-256 при хэшировании пользовательских паролей?
6. Какое назначение выполняет атрибут is_active BOOLEAN в таблице users? Почему при увольнении сотрудника не рекомендуется выполнять запрос DELETE FROM users?
7. Почему диалоговое окно авторизации должно выдавать нейтральное сообщение «Неверный логин или пароль», даже если учетная запись с введенным логином отсутствует в базе?
8. Какие обязательные атрибуты должна содержать таблица журнала аудита безопасности audit_logs?