Токен безопасности — это периферийное устройство , используемое для получения доступа к ресурсу с электронным доступом. Токен используется в дополнение к паролю или вместо него . [1] Примерами токенов безопасности являются беспроводные карты-ключи , используемые для открытия запертых дверей, банковский токен, используемый в качестве цифрового аутентификационного устройства для входа в онлайн-банкинг или подписания транзакции, например банковского перевода .
Токены безопасности могут использоваться для хранения такой информации, как пароли , криптографические ключи, используемые для создания цифровых подписей , или биометрические данные (например, отпечатки пальцев ). Некоторые конструкции включают в себя защищенную от несанкционированного доступа упаковку, в то время как другие могут включать небольшие клавиатуры , позволяющие вводить PIN-код , или простую кнопку для запуска процедуры генерации с некоторой возможностью отображения для отображения сгенерированного номера ключа. Подключенные токены используют различные интерфейсы, включая USB , связь ближнего радиуса действия (NFC), радиочастотную идентификацию (RFID) или Bluetooth . Некоторые токены имеют звуковые возможности, предназначенные для людей с нарушениями зрения.
Все токены содержат некоторую секретную информацию, которая используется для подтверждения личности. Существует четыре различных способа использования этой информации:
Синхронизированные по времени одноразовые пароли постоянно меняются через заданный интервал времени; например, один раз в минуту. Для этого между токеном клиента и сервером аутентификации должна существовать некоторая синхронизация . Для отключенных токенов синхронизация времени выполняется до того, как токен будет передан клиенту . Другие типы токенов выполняют синхронизацию, когда токен вставляется в устройство ввода . Основная проблема с токенами, синхронизированными по времени, заключается в том, что со временем они могут стать несинхронизированными. [2] Однако некоторые такие системы, такие как SecurID от RSA , позволяют пользователю повторно синхронизировать сервер с токеном, иногда путем ввода нескольких последовательных паролей. Большинство из них также не могут иметь сменные батареи и служат только до 5 лет, прежде чем их придется заменить, поэтому возникают дополнительные расходы. [3] Другой тип одноразового пароля использует сложный математический алгоритм, такой как хеш-цепочка , для генерации серии одноразовых паролей из секретного общего ключа. Каждый пароль уникален, даже если известны предыдущие пароли. Алгоритм OATH с открытым исходным кодом стандартизирован; [ нужна цитация ] другие алгоритмы защищены патентами США . Каждый пароль явно непредсказуем и независим от предыдущих, поэтому злоумышленник не сможет угадать, каким может быть следующий пароль, даже зная все предыдущие пароли.
Токены могут содержать чипы с функциями от очень простых до очень сложных, включая несколько методов аутентификации.
Простейшие токены безопасности не требуют подключения к компьютеру . Токены имеют физический дисплей; аутентифицирующий пользователь просто вводит отображаемый номер для входа в систему. Другие токены подключаются к компьютеру с помощью беспроводных технологий, таких как Bluetooth . Эти токены передают последовательность ключей локальному клиенту или ближайшей точке доступа. [4]
Альтернативно, другая форма токена, широко доступная в течение многих лет, — это мобильное устройство, которое обменивается данными с использованием внеполосного канала (например, голоса, SMS или USSD ).
Другие жетоны подключаются к компьютеру и могут потребовать PIN-код. В зависимости от типа токена операционная система компьютера либо прочитает ключ из токена и выполнит над ним криптографическую операцию, либо попросит прошивку токена выполнить эту операцию. [ нужна цитата ]
Соответствующее приложение — это аппаратный ключ , необходимый некоторым компьютерным программам для подтверждения права собственности на программное обеспечение . Ключ помещается в устройство ввода , и программное обеспечение обращается к соответствующему устройству ввода-вывода , чтобы авторизовать использование соответствующего программного обеспечения .
Коммерческие решения предоставляются различными поставщиками, каждый из которых имеет собственную (и часто запатентованную) реализацию различных используемых функций безопасности. Проекты токенов, соответствующие определенным стандартам безопасности, сертифицированы в США как соответствующие федеральному стандарту безопасности FIPS 140 . [ нужна ссылка ] Токены без какой-либо сертификации иногда рассматриваются как подозрительные, поскольку они часто не соответствуют принятым государственным или отраслевым стандартам безопасности, не прошли тщательное тестирование и, вероятно, не могут обеспечить тот же уровень криптографической безопасности, что и решения для токенов. проекты которых прошли независимую проверку сторонними агентствами. [ нужна цитата ]
Отключенные токены не имеют ни физического, ни логического соединения с клиентским компьютером. Обычно они не требуют специального устройства ввода и вместо этого используют встроенный экран для отображения сгенерированных данных аутентификации, которые пользователь вводит вручную самостоятельно с помощью клавиатуры или клавиатуры . Отключенные токены — это наиболее распространенный тип токена безопасности, используемый (обычно в сочетании с паролем) при двухфакторной аутентификации для онлайн-идентификации. [5]
Подключенные токены — это токены, которые должны быть физически подключены к компьютеру, с помощью которого пользователь проходит аутентификацию. Токены этой категории автоматически передают информацию аутентификации на клиентский компьютер после установления физического соединения, что избавляет пользователя от необходимости вручную вводить информацию аутентификации. Однако для использования подключенного токена необходимо установить соответствующее устройство ввода. Наиболее распространенными типами физических токенов являются смарт-карты и USB-токены (также называемые ключами безопасности ), для которых требуется устройство чтения смарт-карт и USB-порт соответственно. [ нужна цитация ] Токены FIDO2 , поддерживаемые группой открытых спецификаций FIDO Alliance , становятся все более популярными среди потребителей благодаря основной поддержке браузеров, начиная с 2015 года, а также поддерживаемым популярными веб-сайтами и сайтами социальных сетей. [ нужна цитата ]
Старые токены PC Card предназначены для работы в основном с ноутбуками . Карты PC типа II предпочтительнее в качестве токена, поскольку они вдвое тоньше, чем карты типа III.
Порт аудиоразъема — относительно практичный метод установления соединения между мобильными устройствами, такими как iPhone , iPad и Android , и другими аксессуарами. [ нужна цитация ] Самое известное устройство называется Square , устройство для чтения кредитных карт для устройств iOS и Android.
Некоторые используют интерфейс специального назначения (например, криптоключ зажигания , используемый Агентством национальной безопасности США ). Жетоны также можно использовать в качестве удостоверения личности с фотографией . Сотовые телефоны и КПК также могут служить маркерами безопасности при правильном программировании.
Многие подключенные токены используют технологию смарт-карт. Смарт-карты могут быть очень дешевыми (около десяти центов) [ нужна ссылка ] и содержать проверенные механизмы безопасности (которые используются финансовыми учреждениями, например, банковские карты). Однако вычислительная производительность смарт-карт часто довольно ограничена из-за крайне низкого энергопотребления и требований к ультратонкому форм-фактору.
USB -токены на основе смарт-карт , содержащие внутри чип смарт-карты , обеспечивают функциональность как USB-токенов, так и смарт-карт. Они позволяют использовать широкий спектр решений безопасности и обеспечивают возможности и безопасность традиционной смарт-карты, не требуя уникального устройства ввода. С точки зрения операционной системы компьютера такой токен представляет собой устройство чтения смарт-карт, подключенное через USB, с одной несъемной смарт-картой. [6]
В отличие от подключенных токенов, бесконтактные токены образуют логическое соединение с клиентским компьютером, но не требуют физического соединения. Отсутствие необходимости физического контакта делает их более удобными, чем как подключенные, так и отключенные токены. В результате бесконтактные жетоны являются популярным выбором для систем бесключевого доступа и решений электронных платежей, таких как Mobil Speedpass , который использует RFID для передачи аутентификационной информации из токена связки ключей. [ нужна цитация ] Тем не менее, возникли различные проблемы с безопасностью RFID-токенов после того, как исследователи из Университета Джонса Хопкинса и RSA Laboratories обнаружили, что RFID-метки можно легко взломать и клонировать. [7]
Еще одним недостатком является то, что бесконтактные жетоны имеют относительно короткое время автономной работы; обычно всего 5–6 лет, что мало по сравнению с USB- токенами, срок службы которых может превышать 10 лет. [ нужна цитация ] Однако некоторые жетоны позволяют заменять батарейки, что снижает затраты.
Протоколы Bluetooth Low Energy обеспечивают длительный срок службы аккумулятора при беспроводной передаче.
Тем не менее, управление мощностью автоматической коробки передач пытается оценить радиальное расстояние. Выход доступен отдельно от стандартизированного алгоритма управления мощностью Bluetooth, чтобы обеспечить калибровку минимально необходимой мощности передачи. [8]
Токены Bluetooth часто комбинируются с токеном USB, поэтому работают как в подключенном, так и в отключенном состоянии. Аутентификация Bluetooth работает на расстоянии ближе 32 футов (9,8 метра). Если соединение Bluetooth не работает должным образом, токен можно вставить в USB- устройство ввода для работы.
Другая комбинация — использование смарт-карты для локального хранения больших объемов идентификационных данных и обработки информации. [9] Другой вариант — бесконтактный токен BLE, который сочетает в себе безопасное хранение и токенизированную выдачу учетных данных отпечатков пальцев. [10]
В режиме работы USB для подписания требуется уход за жетоном, пока он механически соединен с USB-разъемом. Преимуществом режима работы Bluetooth является возможность комбинирования подтверждения с показателями расстояния. Соответствующие продукты находятся в стадии разработки, следуя концепции электронного поводка.
Токены ближней связи (NFC) в сочетании с токеном Bluetooth могут работать в нескольких режимах, работая при этом как в подключенном, так и в отключенном состоянии. Аутентификация NFC работает на расстоянии менее 1 фута (0,3 метра). [ нужна цитация ] Протокол NFC обеспечивает связь с считывателем на коротких расстояниях, а соединение Bluetooth служит для предоставления данных с помощью токена для включения аутентификации. Кроме того, когда канал Bluetooth не подключен, токен может передавать локально сохраненную аутентификационную информацию в грубом позиционировании считывателю NFC и освобождает от точного позиционирования разъема. [ нужна цитата ]
Некоторые типы решений единого входа (SSO), например корпоративный единый вход , используют токен для хранения программного обеспечения, которое обеспечивает простую аутентификацию и ввод пароля. Поскольку пароли хранятся в токене, пользователям не нужно запоминать свои пароли, и поэтому они могут выбирать более безопасные пароли или назначать более безопасные пароли. Обычно большинство токенов хранят криптографический хэш пароля, поэтому в случае компрометации токена пароль по-прежнему будет защищен. [ нужна цитата ]
Программируемые токены продаются как «прямая» замена мобильных приложений, таких как Google Authenticator (miniOTP [11] ). Их можно использовать как замену мобильных приложений, а также параллельно в качестве резервной копии.
Самая простая уязвимость любого контейнера паролей — это кража или потеря устройства. Вероятность того, что это произойдет или произойдет неосознанно, можно уменьшить с помощью мер физической безопасности, таких как замки, электронный поводок или датчик тела и сигнализация. Украденные токены можно сделать бесполезными с помощью двухфакторной аутентификации . Обычно для аутентификации необходимо ввести личный идентификационный номер (ПИН-код) вместе с информацией, предоставляемой токеном, одновременно с выводом токена.
Любая система, которая позволяет пользователям проходить аутентификацию через ненадежную сеть (например, Интернет ), уязвима для атак «человек посередине» . В этом типе атаки злоумышленник действует как «посредник» между пользователем и легитимной системой, запрашивая вывод токена у законного пользователя, а затем передавая его самой системе аутентификации. Поскольку значение токена математически правильное, аутентификация проходит успешно и мошеннику предоставляется доступ. В 2006 году Ситибанк стал жертвой атаки, когда его бизнес-пользователи, оснащенные аппаратными токенами, стали жертвами крупной украинской фишинговой операции «человек посередине» . [12] [13]
В 2012 году исследовательская группа Prosecco в INRIA Paris-Rocquencourt разработала эффективный метод извлечения секретного ключа из нескольких криптографических устройств PKCS #11 . [14] [15] Эти результаты были задокументированы в техническом отчете INRIA RR-7944, ID hal-00691958, [16] и опубликованы на CRYPTO 2012. [17]
Цифровая подпись , доверенная как обычная рукописная подпись, должна быть сделана с использованием закрытого ключа, известного только лицу, уполномоченному делать подпись. Токены, которые обеспечивают безопасное встроенное создание и хранение закрытых ключей, обеспечивают безопасные цифровые подписи, а также могут использоваться для аутентификации пользователя, поскольку закрытый ключ также служит доказательством личности пользователя.
Чтобы токены идентифицировали пользователя, все токены должны иметь уникальный номер. Не все подходы полностью квалифицируются как цифровые подписи согласно некоторым национальным законам. [ нужна цитация ] Токены без встроенной клавиатуры или другого пользовательского интерфейса не могут использоваться в некоторых сценариях подписи , например, при подтверждении банковской транзакции на основе номера банковского счета, на который должны быть переведены средства.
{{cite web}}: CS1 maint: числовые имена: список авторов ( ссылка )
СМИ, связанные с токенами OTP, на Викискладе?