Войти
A Маркер безопасности - это периферийное устройство, используемое для получения доступа к ресурсам с ограниченным электронным доступом. Маркер используется в дополнение к паролю или вместо него. Он действует как электронный ключ для доступа к чему-либо. Примеры включают беспроводную карточку-ключ, открывающую запертую дверь, или в случае, когда клиент пытается получить доступ к своему банковскому счету в Интернете, использование токена, предоставленного банком, может доказать, что клиент является тем, кем он себя называет..
Некоторые токены могут хранить криптографические ключи, которые могут использоваться для создания цифровой подписи или биометрических данных, таких как отпечаток пальца. подробности. Некоторые могут также хранить пароли. Некоторые конструкции включают в себя упаковку , защищенную от несанкционированного доступа, в то время как другие могут включать небольшие клавиатуры, позволяющие вводить PIN-код или простую кнопку для запуска процедуры генерации с некоторой возможностью отображения для отображения сгенерированного номера ключа. Подключенные токены используют различные интерфейсы, включая USB, связь ближнего поля (NFC), радиочастотную идентификацию (RFID) или Bluetooth. Некоторые жетоны имеют звуковую функцию, предназначенную для людей с нарушениями зрения.
Все токены содержат некоторую секретную информацию, которая используется для подтвердить личность. Существует четыре различных способа использования этой информации:
токен асинхронного пароля для онлайн-банкинга. Синхронизированные по времени одноразовые пароли постоянно меняются с заданным интервалом времени; например, раз в минуту. Для этого должна существовать какая-то синхронизация между токеном клиента и сервером аутентификации . Для отключенных токенов эта синхронизация времени выполняется до того, как токен будет передан клиенту . Другие типы маркеров выполняют синхронизацию, когда маркер вставляется во входное устройство . Основная проблема с токенами, синхронизированными по времени, заключается в том, что со временем они могут стать несинхронизированными. Однако некоторые такие системы, такие как RSA SecurID, позволяют пользователю повторно синхронизировать сервер с токеном, иногда путем ввода нескольких последовательных кодов доступа. У большинства из них также нет сменных батареек, и их срок службы составляет не более 5 лет, прежде чем их придется заменять, поэтому это требует дополнительных затрат.
Другой тип одноразового пароля использует сложный математический алгоритм, такой как цепочка хэшей, чтобы сгенерировать серию одноразовых паролей из секретного общего ключа. Каждый пароль невозможно узнать, даже если известны предыдущие пароли. Алгоритм OAuth с открытым исходным кодом стандартизирован; другие алгоритмы защищены патентами США . Каждый пароль очевидно непредсказуем и не зависит от предыдущих, поэтому злоумышленник не сможет угадать, каким может быть следующий пароль, даже зная все предыдущие пароли.
Токены могут содержать микросхемы с функциями, варьирующимися от очень простых до очень сложных, включая несколько методов аутентификации.
Простейшие токены безопасности не требуют подключения к компьютеру. У токенов есть физический дисплей; аутентифицирующий пользователь просто вводит отображаемый номер для входа в систему. Другие токены подключаются к компьютеру с помощью беспроводных технологий, таких как Bluetooth. Эти токены передают последовательность ключей локальному клиенту или ближайшей точке доступа.
В качестве альтернативы, другая форма токена, которая была широко доступна в течение многих лет, - это мобильное устройство, которое обменивается данными с использованием внеполосного канала (например, голос, SMS или USSD ).
Остальные токены подключаются к компьютеру и могут потребовать PIN-код. В зависимости от типа токена, компьютер компьютер OS либо считывает ключ с токена и выполняет с ним криптографическую операцию, либо запрашивает микропрограмму токена для выполнения этой операции.
Связанное приложение - это аппаратный ключ, необходимый некоторым компьютерным программам для подтверждения права собственности на программное обеспечение. Ключ помещается во входное устройство , и программное обеспечение обращается к устройству ввода-вывода, о котором идет речь, чтобы разрешить использование программное обеспечение под вопросом.
Коммерческие решения предоставляются множеством поставщиков, каждый из которых имеет собственную запатентованную (и часто запатентованную) реализацию различных используемых функций безопасности. Дизайн токенов, отвечающий определенным стандартам безопасности, сертифицирован в США как соответствующий FIPS 140, федеральному стандарту безопасности. Токены без какой-либо сертификации иногда рассматриваются как подозрительные, поскольку они часто не соответствуют принятым государственным или отраслевым стандартам безопасности, не прошли тщательное тестирование и, вероятно, не могут обеспечить такой же уровень криптографической безопасности, как решения с использованием токенов, которые имели свои разрабатывает независимо от сторонних агентств.
Отключенные токены. Номер необходимо вручную скопировать в поле PASSCODE. Отключенные токены не имеют ни физического, ни логического подключения к клиентскому компьютеру. Обычно они не требуют специального устройства ввода и вместо этого используют встроенный экран для отображения сгенерированных данных аутентификации, которые пользователь вводит вручную с помощью клавиатуры или клавиатуры. Отключенные токены являются наиболее распространенным типом токенов безопасности, используемых (обычно в сочетании с паролем) в двухфакторной аутентификации для онлайн-идентификации.
Подключенные токены - это токены, которые должны быть физически подключен к компьютеру, на котором выполняется аутентификация пользователя. Токены в этой категории автоматически передают информацию аутентификации на клиентский компьютер после установления физического соединения, избавляя пользователя от необходимости вручную вводить информацию аутентификации. Однако для использования подключенного токена необходимо установить соответствующее устройство ввода. Наиболее распространенными типами физических токенов являются смарт-карты и USB-токены, для которых требуется устройство чтения смарт-карт и порт USB соответственно. Все чаще токены Universal 2nd Factor (U2F), поддерживаемые открытой группой спецификаций FIDO Alliance, становятся популярными среди потребителей с основной поддержкой браузеров, начиная с 2015 года, и поддерживаются популярными веб-сайтами и социальными сетями. места.
Старые токены PC card предназначены для работы в основном с ноутбуками. Карты ПК типа II предпочтительнее использовать в качестве жетона, так как они вдвое меньше, чем карты типа III.
Порт аудиоразъема - относительно практичный метод установления соединения между мобильными устройствами, такими как iPhone, iPad и Android, и другими аксессуарами. Наиболее известное устройство называется Square, устройство для чтения кредитных карт для iPhone и Android.
Некоторые используют специальный интерфейс (например, криптографический ключ зажигания, развернутый в США Агентством национальной безопасности ). Жетоны также можно использовать в качестве удостоверения личности с фотографией . Сотовые телефоны и КПК также могут служить маркерами безопасности при правильном программировании.
Многие подключенные жетоны используют технологию смарт-карт. Смарт-карты могут быть очень дешевыми (около десяти центов) и содержать проверенные механизмы безопасности (используемые финансовыми учреждениями, например, банковские карты). Однако вычислительная производительность смарт-карт часто довольно ограничена из-за чрезвычайно низкого энергопотребления и требований ультратонкого форм-фактора.
Жетоны на основе смарт-карт USB, которые содержат чип смарт-карты внутри, обеспечивают функциональность как USB-токенов, так и смарт-карт. Они позволяют использовать широкий спектр решений безопасности и обеспечивают возможности и безопасность традиционной смарт-карты, не требуя уникального устройства ввода. С точки зрения компьютерной операционной системы такой токен представляет собой подключенное через USB устройство чтения смарт-карт с одной несъемной смарт-картой.
В отличие от подключенных токенов, бесконтактные токены образуют логическое соединение с клиентским компьютером, но не требуют физического соединения. Отсутствие необходимости в физическом контакте делает их более удобными, чем подключенные и отключенные токены. В результате бесконтактные токены являются популярным выбором для систем бесключевого доступа и решений для электронных платежей, таких как Mobil Speedpass, в котором используется RFID для передачи информации аутентификации с токена цепочки для ключей. Однако после того, как исследователи из Университета Джона Хопкинса и RSA Laboratories обнаружили, что RFID-метки можно легко взломать и клонировать, были высказаны различные опасения по поводу безопасности токенов RFID.
Еще одним недостатком является то, что бесконтактные токены имеют относительно короткое время автономной работы; обычно всего 5–6 лет, что мало по сравнению с токенами USB, срок службы которых может превышать 10 лет. Однако некоторые жетоны позволяют заменять батареи, что снижает затраты.
Протоколы Bluetooth с низким энергопотреблением служат для продления срока службы батареи беспроводной передачи.
Однако автоматическое управление мощностью передачи препятствует попытки оценки радиального расстояния. Уход доступен помимо стандартизированного алгоритма управления мощностью Bluetooth, чтобы обеспечить калибровку минимально необходимой мощности передачи.
Токены Bluetooth часто комбинируются с токеном USB, что позволяет работать как в подключенном, так и в отключенном состоянии. Аутентификация Bluetooth работает на расстоянии более 32 футов (10 метров). Если соединение Bluetooth не работает должным образом, токен может быть вставлен в устройство ввода USB для работы.
Другая комбинация - с смарт-картой для локального хранения больших объемов идентификационных данных, а также обработки информации. Другой - бесконтактный токен BLE, который сочетает в себе безопасное хранилище и токенизированную выдачу учетных данных по отпечатку пальца.
В режиме работы USB для выхода из системы требуется уход за токеном при механическом подключении к USB-штекеру. Преимущество режима работы Bluetooth - возможность комбинировать подписку с показателями расстояния. Соответствующие продукты находятся в стадии разработки, следуя концепции электронного поводка.
Токены ближней связи (NFC) в сочетании с токеном Bluetooth могут работать в нескольких режимах, таким образом работая как в подключенном, так и в отключенном состоянии. Аутентификация NFC работает на расстоянии менее 1 фута (0,3 метра). Протокол NFC обеспечивает связь с считывателем на короткие расстояния, в то время как соединение Bluetooth служит для передачи данных с помощью токена для аутентификации. Также, когда канал Bluetooth не подключен, токен может передавать локально сохраненную информацию аутентификации в грубом расположении для считывателя NFC и избавляет от необходимости точного позиционирования на разъем.
Некоторые типы решений единого входа (SSO), такие как корпоративный единый вход, используют токен для хранения программного обеспечения, которое обеспечивает беспрепятственную аутентификацию и заполнение пароля. Поскольку пароли хранятся на токене, пользователям не нужно запоминать свои пароли и, следовательно, они могут выбирать более безопасные пароли или назначать более безопасные пароли. Обычно в большинстве токенов хранится криптографический хэш пароля, поэтому, если токен скомпрометирован, пароль по-прежнему защищен.
Программируемые токены продаются как «вставная» замена мобильные приложения, такие как Google Authenticator (miniOTP). Их можно использовать в качестве замены мобильного приложения, а также параллельно в качестве резервного.
Любые средства и меры защиты данных могут быть преодолены. Это также относится к токенам безопасности. Основная угроза - неосторожная операция. Пользователи должны знать о постоянных возможностях угроз.
Самая простая уязвимость любого контейнера паролей - это кража или потеря устройства. Вероятность того, что это произойдет или произойдет неожиданно, можно уменьшить с помощью физических мер безопасности, таких как замки, электронный поводок или датчик тела и сигнализация. Украденные токены можно сделать бесполезными с помощью двухфакторной аутентификации. Обычно для аутентификации необходимо ввести личный идентификационный номер (PIN) вместе с информацией, предоставляемой токеном, одновременно с выводом токена.
Любая система, позволяющая пользователям проходить аутентификацию через ненадежную сеть (например, Интернет), уязвима для атак типа «злоумышленник в середине». В этом типе атаки мошенник действует как «посредник» между пользователем и легитимной системой, запрашивая вывод токена от легитимного пользователя и затем отправляя его самой системе аутентификации. Поскольку значение токена является математически правильным, аутентификация проходит успешно и мошеннику предоставляется доступ. Ситибанк попал в заголовки новостей в 2006 году, когда его бизнес-пользователи, оснащенные аппаратными токенами, стали жертвами крупной украинской атаки типа «злоумышленник посередине» фишинг.
В 2012 году исследовательская группа Prosecco в INRIA Paris-Rocquencourt разработала эффективный метод извлечения секретного ключа из нескольких криптографических устройств PKCS # 11, включая SecurID 800. Эти результаты были задокументированы в техническом отчете INRIA RR-7944, ID hal-00691958, и опубликованы на CRYPTO 2012.
Доверяется как обычная собственноручная подпись, цифровая подпись должна быть сделано с помощью закрытого ключа, известного только лицу, уполномоченному делать подпись. Токены, которые обеспечивают безопасную встроенную генерацию и хранение закрытых ключей, позволяют использовать безопасные цифровые подписи, а также могут использоваться для аутентификации пользователя, поскольку закрытый ключ также служит доказательством личности пользователя.
Чтобы токены могли идентифицировать пользователя, все токены должны иметь какой-то уникальный номер. Не все подходы полностью квалифицируются как цифровые подписи согласно некоторым национальным законам. Жетоны без встроенной клавиатуры или другого пользовательского интерфейса нельзя использовать в некоторых сценариях подписания, таких как подтверждение банковской транзакции на основе номера банковского счета, на который должны быть переведены средства. к.
 | На Викискладе есть носители, относящиеся к OTP токены. |
