Токен безопасности — это периферийное устройство, используемое для получения доступа к ограниченному электронным способом ресурсу. Токен используется в дополнение к паролю или вместо него . [1] Примерами токенов безопасности являются беспроводные ключи-карты, используемые для открытия запертых дверей, банковский токен, используемый в качестве цифрового аутентификатора для входа в онлайн-банкинг или подписания транзакций, таких как банковские переводы .
Токены безопасности могут использоваться для хранения информации, такой как пароли , криптографические ключи, используемые для генерации цифровых подписей , или биометрические данные (например, отпечатки пальцев ). Некоторые конструкции включают в себя упаковку, устойчивую к взлому , в то время как другие могут включать в себя небольшие клавиатуры, позволяющие вводить PIN-код или простую кнопку для запуска процедуры генерации с некоторыми возможностями отображения для отображения сгенерированного номера ключа. Подключенные токены используют различные интерфейсы, включая USB , связь ближнего поля (NFC), радиочастотную идентификацию (RFID) или Bluetooth . Некоторые токены имеют аудиовозможности, предназначенные для людей с нарушениями зрения.
Все токены содержат некоторую секретную информацию, используемую для подтверждения личности. Существует четыре различных способа использования этой информации:
Синхронизированные по времени одноразовые пароли постоянно меняются с заданным интервалом времени; например, раз в минуту. Для этого должна существовать какая-то синхронизация между токеном клиента и сервером аутентификации . Для отключенных токенов эта синхронизация по времени выполняется до того, как токен будет передан клиенту . Другие типы токенов выполняют синхронизацию, когда токен вставляется в устройство ввода . Основная проблема с синхронизированными по времени токенами заключается в том, что со временем они могут стать несинхронизированными. [2] Однако некоторые такие системы, такие как SecurID от RSA , позволяют пользователю повторно синхронизировать сервер с токеном, иногда вводя несколько последовательных паролей. Большинство из них также не могут иметь сменные батареи и служат только до 5 лет, прежде чем их придется заменить, поэтому возникают дополнительные расходы. [3] Другой тип одноразового пароля использует сложный математический алгоритм, такой как цепочка хэшей , для генерации серии одноразовых паролей из секретного общего ключа. Каждый пароль уникален, даже если известны предыдущие пароли. Алгоритм OATH с открытым исходным кодом стандартизирован; [ требуется ссылка ] другие алгоритмы защищены патентами США . Каждый пароль является непредсказуемым и независимым от предыдущих, в результате чего злоумышленник не сможет угадать, каким может быть следующий пароль, даже зная все предыдущие пароли.
Токены могут содержать чипы с функциями от очень простых до очень сложных, включая несколько методов аутентификации.
Простейшие токены безопасности не требуют подключения к компьютеру . Токены имеют физический дисплей; аутентифицирующий пользователь просто вводит отображаемый номер для входа в систему. Другие токены подключаются к компьютеру с помощью беспроводных технологий, таких как Bluetooth . Эти токены передают последовательность ключей локальному клиенту или ближайшей точке доступа. [4]
Альтернативой является еще одна форма токена, которая широко доступна уже много лет — это мобильное устройство, которое осуществляет связь с использованием внеполосного канала (например, голосовой связи, SMS или USSD ).
Другие токены подключаются к компьютеру и могут потребовать PIN-код. В зависимости от типа токена, операционная система компьютера затем либо считывает ключ с токена и выполняет криптографическую операцию над ним, либо просит прошивку токена выполнить эту операцию. [ необходима цитата ]
Связанное приложение — это аппаратный ключ, требуемый некоторыми компьютерными программами для подтверждения права собственности на программное обеспечение . Ключ помещается в устройство ввода , и программное обеспечение получает доступ к соответствующему устройству ввода-вывода для авторизации использования соответствующего программного обеспечения .
Коммерческие решения предоставляются различными поставщиками, каждый из которых имеет собственную (и часто запатентованную) реализацию различных используемых функций безопасности. Проекты токенов, соответствующие определенным стандартам безопасности, сертифицированы в Соединенных Штатах как соответствующие FIPS 140 , федеральному стандарту безопасности. [5] Токены без какой-либо сертификации иногда рассматриваются как подозрительные, поскольку они часто не соответствуют принятым государственным или отраслевым стандартам безопасности, не прошли тщательное тестирование и, вероятно, не могут обеспечить тот же уровень криптографической безопасности, что и решения токенов, проекты которых прошли независимую проверку сторонними агентствами. [ требуется цитата ]
Отключенные токены не имеют ни физического, ни логического соединения с клиентским компьютером. Обычно им не требуется специальное устройство ввода, а вместо этого они используют встроенный экран для отображения сгенерированных данных аутентификации, которые пользователь вводит вручную с помощью клавиатуры или кнопочной панели . Отключенные токены являются наиболее распространенным типом токенов безопасности, используемых (обычно в сочетании с паролем) в двухфакторной аутентификации для онлайн-идентификации. [6]
Подключенные токены — это токены, которые должны быть физически подключены к компьютеру, с помощью которого пользователь проходит аутентификацию. Токены этой категории автоматически передают информацию об аутентификации на клиентский компьютер после установления физического соединения, устраняя необходимость для пользователя вручную вводить информацию об аутентификации. Однако для использования подключенного токена необходимо установить соответствующее устройство ввода. Наиболее распространенными типами физических токенов являются смарт-карты и USB-токены (также называемые ключами безопасности ), для которых требуется считыватель смарт-карт и USB-порт соответственно. Все чаще токены FIDO2 , поддерживаемые группой открытых спецификаций FIDO Alliance, становятся популярными среди потребителей с поддержкой основных браузеров, начиная с 2015 года, и поддерживаются популярными веб-сайтами и сайтами социальных сетей. [ необходима цитата ]
Старые токены PC Card предназначены в основном для работы с ноутбуками . Карты PC Card типа II предпочтительны в качестве токена, поскольку они вдвое тоньше, чем тип III.
Порт аудиоразъема — это относительно практичный метод установления соединения между мобильными устройствами, такими как iPhone , iPad и Android , а также другими аксессуарами. [ требуется ссылка ] Наиболее известное устройство называется Square , это считыватель кредитных карт для устройств iOS и Android.
Некоторые используют интерфейс специального назначения (например, криптографический ключ зажигания , используемый Агентством национальной безопасности США ). Токены также могут использоваться в качестве удостоверения личности с фотографией . Мобильные телефоны и КПК также могут служить токенами безопасности при правильном программировании.
Многие подключенные токены используют технологию смарт-карт. Смарт-карты могут быть очень дешевыми (около десяти центов) [ нужна цитата ] и содержать проверенные механизмы безопасности (которые используются финансовыми учреждениями, например, карты для наличных). Однако вычислительная производительность смарт-карт часто довольно ограничена из-за крайне низкого энергопотребления и требований к ультратонкому форм-фактору.
USB -токены на основе смарт-карт , содержащие внутри чип смарт-карты, обеспечивают функциональность как USB-токенов, так и смарт-карт. Они обеспечивают широкий спектр решений безопасности и предоставляют возможности и безопасность традиционной смарт-карты, не требуя уникального устройства ввода. С точки зрения операционной системы компьютера такой токен представляет собой USB-подключенный считыватель смарт-карт с одной несъемной смарт-картой. [7]
В отличие от подключенных токенов, бесконтактные токены образуют логическое соединение с клиентским компьютером, но не требуют физического соединения. Отсутствие необходимости в физическом контакте делает их более удобными, чем подключенные и отключенные токены. В результате бесконтактные токены являются популярным выбором для систем бесключевого доступа и электронных платежных решений, таких как Mobil Speedpass , который использует RFID для передачи информации об аутентификации с токена-брелка. [ необходима цитата ] Однако возникли различные проблемы безопасности, связанные с RFID-токенами, после того как исследователи из Университета Джонса Хопкинса и RSA Laboratories обнаружили, что RFID-метки можно легко взломать и клонировать. [8]
Другим недостатком является то, что у бесконтактных токенов относительно короткий срок службы батареи; обычно всего 5–6 лет, что немного по сравнению с USB- токенами, срок службы которых может превышать 10 лет. [ необходима цитата ] Однако некоторые токены допускают замену батарей, что снижает затраты.
Протоколы Bluetooth Low Energy обеспечивают длительный срок службы батареи при беспроводной передаче данных.
Хотя автоматическое управление мощностью передачи пытается оценить радиальное расстояние. Выход доступен отдельно от стандартизированного алгоритма управления мощностью Bluetooth, чтобы обеспечить калибровку минимально необходимой мощности передачи. [9]
Bluetooth-токены часто объединяются с USB-токеном, таким образом, работая как в подключенном, так и в отключенном состоянии. Аутентификация Bluetooth работает на расстоянии менее 32 футов (9,8 метров). Если соединение Bluetooth не работает должным образом, токен можно вставить в устройство ввода USB для работы.
Другая комбинация — это смарт-карта для локального хранения больших объемов идентификационных данных, а также обработки информации. [10] Другая комбинация — бесконтактный токен BLE, который сочетает в себе безопасное хранение и токенизированную выдачу учетных данных отпечатков пальцев. [11]
В режиме работы USB sign-off требует ухода за жетоном, механически соединенным с USB-разъемом. Преимущество режима работы Bluetooth заключается в возможности объединения sign-off с показателями расстояния. Соответствующие продукты находятся в стадии подготовки, следуя концепциям электронного поводка.
Токены ближнего поля связи (NFC) в сочетании с токеном Bluetooth могут работать в нескольких режимах, таким образом, работая как в подключенном, так и в отключенном состоянии. Аутентификация NFC работает на расстоянии менее 1 фута (0,3 метра). [ необходима цитата ] Протокол NFC соединяет короткие расстояния со считывателем, в то время как соединение Bluetooth служит для предоставления данных с токеном для включения аутентификации. Кроме того, когда соединение Bluetooth не подключено, токен может предоставлять локально сохраненную информацию об аутентификации в грубом позиционировании для считывателя NFC и избавляет от точного позиционирования на разъеме. [ необходима цитата ]
Некоторые типы решений единого входа (SSO), такие как единый вход предприятия , используют токен для хранения программного обеспечения, которое обеспечивает бесшовную аутентификацию и заполнение паролей. Поскольку пароли хранятся на токене, пользователям не нужно запоминать свои пароли, и поэтому они могут выбирать более безопасные пароли или назначать более безопасные пароли. Обычно большинство токенов хранят криптографический хэш пароля, так что если токен будет скомпрометирован, пароль все равно будет защищен. [ необходима цитата ]
Программируемые токены позиционируются как «встроенная» замена мобильных приложений, таких как Google Authenticator (miniOTP [12] ). Их можно использовать как замену мобильного приложения, а также параллельно в качестве резервного.
Самая простая уязвимость любого контейнера паролей — кража или потеря устройства. Вероятность того, что это произойдет или произойдет непреднамеренно, можно снизить с помощью физических мер безопасности, таких как замки, электронный поводок или датчик тела и сигнализация. Украденные токены можно сделать бесполезными, используя двухфакторную аутентификацию . Обычно для аутентификации необходимо ввести персональный идентификационный номер (ПИН-код) вместе с информацией, предоставленной токеном, одновременно с выводом токена.
Любая система, которая позволяет пользователям проходить аутентификацию через ненадежную сеть (например, Интернет ), уязвима для атак типа «человек посередине ». В этом типе атак злоумышленник выступает в качестве «посредника» между пользователем и законной системой, запрашивая вывод токена у законного пользователя, а затем предоставляя его самой системе аутентификации. Поскольку значение токена математически верно, аутентификация проходит успешно, и мошеннику предоставляется доступ. В 2006 году Citibank стал жертвой атаки, когда его бизнес-пользователи, оснащенные аппаратными токенами, стали жертвами крупной украинской фишинговой операции типа «человек посередине». [13] [14]
В 2012 году исследовательская группа Prosecco в INRIA Paris-Rocquencourt разработала эффективный метод извлечения секретного ключа из нескольких криптографических устройств PKCS #11 . [15] [16] Эти результаты были задокументированы в техническом отчете INRIA RR-7944, идентификатор hal-00691958, [17] и опубликованы на CRYPTO 2012. [18]
Доверенная как обычная рукописная подпись, цифровая подпись должна быть сделана с помощью закрытого ключа, известного только лицу, уполномоченному делать подпись. Токены, которые позволяют безопасно генерировать и хранить закрытые ключи на борту, позволяют создавать защищенные цифровые подписи, а также могут использоваться для аутентификации пользователя, поскольку закрытый ключ также служит доказательством личности пользователя.
Для идентификации пользователя токенами все токены должны иметь какой-то уникальный номер. Не все подходы полностью соответствуют требованиям цифровых подписей в соответствии с некоторыми национальными законами. [ необходима цитата ] Токены без встроенной клавиатуры или другого пользовательского интерфейса не могут использоваться в некоторых сценариях подписи , например, для подтверждения банковской транзакции на основе номера банковского счета, на который должны быть переведены средства.
{{cite web}}: CS1 maint: numeric names: authors list (link)
Медиа, связанные с токенами OTP на Wikimedia Commons