פתיחת התפריט הראשי
יש לשכתב ערך זה. ייתכן שהערך מכיל טעויות, או שהניסוח וצורת הכתיבה שלו אינם מתאימים.
אתם מוזמנים לסייע ולתקן את הבעיות, אך אנא אל תורידו את ההודעה כל עוד לא תוקן הדף. אם אתם סבורים כי אין בדף בעיה, ניתן לציין זאת בדף השיחה.

בקרת גישה, בתחומי האבטחה הפיזית ואבטחת מידע, היא הגבלה מכוונת של גישה למקום או למשאב אחר. "ניהול גישה" הוא המונח שמתייחס לתהליך. "גישה" יכולה להתייחס לצריכת המשאב, כניסה למקום מסוים או לאפליקציה מסוימת, או שימוש. מתן רשות גישה למשאב מכונה "הרשאה". מנעולים פיזיים ושם משתמש או סיסמה הם דוגמאות לבקרת גישה.

אשת צי בוחנת מסמכי זהות של מי שמבקש להיכנס למתקן של ארצות הברית ביפן, טרם שהיא מאפשרת לו להיכנס למתקן

בקרת גישה היא "אבן יסוד" ליצירת מעטפת אבטחה, במטרה לתמוך את עמידות המערכת עליה מגינים, אל מול איומים ולהבטיח את יכולתה של הערכת לתפקד ברציפות.

בכל מערכת מודרנית, ערכית או כזו שיש בה סיכון מובנה גבוה, נוהג לממש "בקרת גישה". כך, נהוג היום שלכל תחנת כוח, נמל ימי, שדה תעופה, תחנת רכבת, אולמות קולנוע (בשיראל), קניוני קניות (בישראל), מוסדות פיננסיים גדולים כמו בנק או חברת ביטוח, מעבדות או מפעלים של חומרים מסוכנים וכדומה - יש מנגנונים של "בקרת גישה".

אבטחה פיזיתעריכה

 
כניסה לרכבת התחתית בניו־יורק, ניו יורק
 
בקרת גישה פיזית באמצעות בדיקת הגאומטריה של כף היד

בקרת גישה פיזית יכולה להתבצע במספר צורות. ראשית, בצורה ישירה, גדר היקפית שנועדה למנוע כניסה לא מבוקרת. בקרת גישה על ידי שומרים מאוישים, בקרת גישה באמצעות מחסום כניסה מסתובב. אפשר גם לבצע בקרת גישה בצורה עקיפה - למשל, על ידי בדיקה שלמשתמש או למי שמבקש כניסה יש כרטיס מתאים.

כאשר זה נדרש, אפשר לשלב בהתקנים הפיזיים מערכות אלקטרוניות ממוחשבות ולאכוף בקרת כניסה מתוחכמת יותר, הכוללת רישום אוטומטי של כל כניסה ויציאה, אכיפת אמצעי הזדהות "חזקים", או, דרישה לכמה שיטות הזדהות שונות כמו למשל צרוף של קוד מספרי וזיהוי ביומטרי.

תפעול מערכת בקרת הגישהעריכה

בדרך כלל, "קורא" ייעודי בודק את אמצעי ההזדהות שמוצג לו ומשווה אותו לרשימת מורשי כניסה, אם יש התאמה, הקורא פותח את מנעול הדלת לפרק זמן מוגדר. אם אין התאמה, הדלת נשארת נעולה. בקוראים מתוחכמים למחצה, מתבצע גם רישום לבסיס נתונים - מי נכנס מתי לאן. ברוב סוגי הקוראים יש משוב למשתמש, כדי שיוכל להבין את מצב הקורא - לדוגמה, נורית LED קטנה המאירה בצבע אדום וכאשר הקורא מזהה אמצעי הזדהות המופיע ברשימת מורשי הכניסה או קוד "נכון", צבע נורית ה LED מתחלך לירוק למשך זמן קצר.

בדרך כלל, כאשר נדרשת הזדהות חזקה, יבוצע שילוב של מספר אמצעים שונים ואלו מחולקים לשלוש משפחות:

  • משהו שהמשתמש יודע - כמו סיסמה או קוד מספרי
  • משהו שנמצא בבעלות המשתמש כמו כרטיס מגנטי
  • מזהה של המשתמש עצמו, (כמו טביעת אצבע, זיהוי פנים, זיהוי גאומטריית כף היד, זיהוי תמונת כלי הדם ברשתית העיין וכיוצא באלו)

במצבים רגישים במיוחד, בדרך כלל מממשים הרשאות המבוססות על מספר דרכי הזדהות שונות (למשל Two Factor Authentication).

בארגונים גדולים, לפעמים, מאפשרים גישה גם בהיעדר אחד מאמצעי ההזדהות - על ידי דרישה להזדהות של גורם מורשה אחר, כמענה למצבים בהם עובד שכח כרטיס מגנטי בבית וכיוצא באלו.

מרכיבי מערכת בקרת הגישהעריכה

מרכיבי בקרת הגישה כוללים:

  • פאנל בקרת גישה.
  • חומרת ה"מחסום" לכניסה כמו למשל דלת, שער מסתובב, מחסום בכניסה לחניון, דלת כניסה למעלית וכיוצא באלו.
  • קורא אמצעי הזדהות המותקן סמוך למחסום הפיזי.
  • מנעול פיזי
  • חיישן ש"יודע" אם המחסום סגור או פתוח.
  • מנגנון פתיחה בחרום - החלצות מהירה - מבפנים. בדרך כלל, משיקולי בטיחות, מנגנון הפתיחה בחרום מבפנים יכלול פתיחה מכנית שעוקפת כל סוג של מנגנונים אלקטרוניים או תלות בחשמל.

טופולוגיות אפשריותעריכה

באתר או מתקן שיש בו ריבוי של כניסות אפשריות, אפשר לממש כמה וכמה טופולוגיות. אפשר שלכל כניסה יהיה מנגנון בקרת כניסה פשוט ובלתי תלוי באחרים. אפשר שכל הכניסות ידווחו למרכז בקרה ראשי שיכול גם לשלוח להם עדכונים. חלק מהחברות דוחפות לכיוון של תקשורת ב"פרוטוקול אינטרנט", IP ויש הרבה גישות שונות לארכיטקטורה הכוללת.

מערכות לקריאה או אימות של אמצעי הכניסה למערכת או למקוםעריכה

נהוג לחלק את מערכות הקריאה לשלוש משפחות:

  • קוראים פשוטים - מכשירים שבאופן מקומי יודעים לזהות את אמצעי ההזדהות, אין להם זיכרון או יכולת עיבוד והם לא "מדווחים" למרכז בקרה.
  • קוראים "חכמים למחצה" - מכשירים שמתקשרים עם מרכז בקרה. מרכז הבקרה יכול לעדכן לקורא את רשימות מורשי הכניסה, הקורא מדווח אירועים למרכז הבקרה וכדומה.
  • קוראים חכמים - כאלו שיש להן מעבד מחשב משל עצמם, זיכרון מקומי והם, בנוסף, מדווחים למרכז בקרה ויכולים לקבל ממנו עדכונים.

לקוראים רבים יש נורית משוב. יש קוראים המצוידים בשעון מקומי שמאפשר להם לשמור "לוגים". קיימים קוראים שבצמוד להם יש מערכת אינטרקום (מיקרופון, רמקול, תקשורת מתאימה) המאפשרת לדבר עם מישהו במרכז הבקרה.

חלוקה נוספת של הקוראים - היא פשוט לפי התכונה שבאמצעותה מתבצעת ההזדהות.

סיכוני אבטחהעריכה

הדרך הפשוטה לעקיפת בקרת גישה, היא כניסה "זריזה" בצמוד למישהו שנכנס לפניך, אם או בלי עזרתו של הנכנס ראשון. דרך התמודדות אפשרית עם תופעה זו היא על ידי יצירת "תא יחיד" כמו מה שממומש, למשל, במחסום דלת מסתובבת.

דרך נוספת לעקיפת בקרת גישה, היא על ידי חסימת היכולת של המחסום הפיזי להיסגר עד הסוף, "לשים רגל בדלת". במערכות מודרניות נוהג להתקין מערכת אזעקה המופעלת אם הדלת נשארת פתוחה יותר מזמן מוגדר מראש.

נושא שלישי המהווה סיכון הוא תפקוד המערכת בזמן אסונות טבע כמו שרפה או הצפה. המענה העיקרי לסוגיה זו הוא תכנון מראש ותרגול חרומים מסוגים שונים.

דרך פריצה נוספת היא פריצה בכוח על ידי עקירת משקוף הדלת.

פעמים רבות, ניתן לשבש את אמצעי ההזדהות - כמו למשל, לשכפל את המספר הסידורי של כרטיס כניסה מגנטי "להקפיץ" באחד את המספר הסידורי שלו ואז להיכנס "בצורה חוקית".

במערכות עם בקרה מרכזית ו"רשימות מורשי כניסה" - אפשר לבצע תקיפות סייבר שתכליתן להכניס לרשימת מורשי הכניסה את הפורץ המיועד וכדומה.

במערכות בקרת גישה הכוללות מנעול מכני לגיבוי, אפשר להיעזר בסוג של "מפתח מסטר" שעלול לאפשר כניסה לכל הדלתות, ללא צורך באמצעי הזדהות.

העיקרון של "גישה על בסיס הצורך לדעת" - מידורעריכה

אבטחת מחשבים ורשתות מיחשובעריכה

קיימות שתי גישות עקרוניות לבקרת גישה בתחום המיחשוב:

  • גישה מבוססת על אמצעים הנמצאים בידי המשתמש.
  • גישה המבוססת על "רשימות מורשי גישה".

במודל הראשון, המשתמש מחזיק באמצעי שאינו ניתן לזיוף ואמצעי זה שהוא שמאפשר את הגישה למערכת (או לאפליקציה) שלגביה מפעילים את בקרת הגישה. גישה זו דומה, בעולם הפיזי, למצב בו הכניסה סגורה בדלת נעולה ולמשתמש יש את המפתחות הפיזיים לפתיחתה. בגישה זו, העברת ההרשאה מתבצעת על ידי העברת האמצעי בתווך מאובטח.

במודל "רשימת מורשים", הגישה ניתנת למשתמשים שזהותם מופיעה ברשימה. שינויים בזכויות הגישה מתבצעים על ידי עדכון רשימת המורשים. בגישה זו יש חשיבות רבה לגורם שמוסמך לאשר את רשימות המשתמשים ולעדכנן.

בשני המודלים, יש אפשרות לתת הרשאות קבוצתיות במספר מנגנונים שונים. אחת הדרכים הנפוצות לניהול בקרת גישה ברשתות מחשבים גדולות היא גישת Active Directory של חברת מיקרוסופט.

מערכות בקרת גישה מספקות את השירותים החיוניים ובכלל זה הרשאות, הזדהות ואימות, אישורי גישה ושיוך משתמשים לפעילויות (אחריותיות)

  • הרשאות - פרוט של מה כל משתמש מוסמך לעשות.
  • הזדהות ואימות - מנגנונים שנועדו להבטיח שרק משתמשים לגיטימיים יכולים לבצע "לוג־אין" לתוך המערכת או האפליקציה
  • אישורי גישה - מתייחס לניהול דינמי של שיוך משאבים למשתמשים כך שהמשתמשים יוכלו לגשת רק למשאבים המסוימים שאליהם יש להם הרשאה.
  • שיוך (אחריותיות) - מנגנונים המבטיחים שניתן יהיה לשחזר אירועים שונים במערכת - כולל שיוך של כל פעולה או אירוע למשתמש שעשה את הפעולה ("לוגים").

מודלים של בקרת גישהעריכה

ניתן לאכוף בקרת גישה באמצעות סוגים רבים של בקרות, לדוגמה:

  • בקרת גישה מבוססת תכונות: כלומר, ההרשאות ניתנות לפי תכונות של המשתמשים או המשאב אליו רוצים לגשת.
  • בקרת גישה מבוססת היררכיית מידע (סווג ומידור): בגישה זו, ה"בעלים" של כל קובץ (לדוגמה), מגדיר מה הסווג שלו והאדמיניסטרטור אוכף מדיניות ולפיה רק לאנשים שיש להם סווג "סודי" נניח, מותר לגשת לקבצים שה"בעלים" שלהם סווגו אותם ככאלה.
  • בקרת גישה מבוססת התנהגות או היסטוריית שימוש: בגישה זו מביאים בחשבון את ההיסטוריה של המשתמש ומבטלים לו את ההרשאות במקרים שהוא הפסיק להשתמש בהן לאורך זמן גדול מידי, או, כאשר מופיעות "התנהגויות לא הגיוניות" כמו למשל ניסיונות כניסה חוזרים ונשנים עם סיסמה שגויה, פנייה לקבצים בקצב לא אנושי (מספר רב של פעמים בשנייה) וכיוצא באלו.
  • בקרת גישה מבוססת הזדהות משתמשים: גישה ולפיה מתן ההרשאות הוא אישי לכל משתמש
  • בקרת גישה מבוססת שיוך ארגוני
  • בקרת גישה מבוססת תפקיד. לדוגמה - אין סיבה שלאיש כוח אדם תהיה גישה ליכולת ניהול רכיבי תקשורת ברשת.
  • בקרת גישה מבוססת חוקים. לדוגמה - לסטודנטים בשנה א' באוניברסיטה גדולה, ניתן להגביל את הגישה למחשבי המעבדות רק לשעות מסוימות, בימים שבהם האוניברסיטה פתוחה וכדומה.

קישורים חיצונייםעריכה

  מדיה וקבצים בנושא בקרת גישה בוויקישיתוף