Маркер безопасности - Security token

А маркер безопасности это периферийное устройство используется для получения доступа к ресурсу с ограниченным электронным доступом. Маркер используется в дополнение или вместо пароль. Он действует как электронный ключ для доступа к чему-либо. Примеры включают беспроводной ключ-карта открытие запертой двери или в случае, если клиент пытается получить доступ к своему банковскому счету в Интернете, использование предоставленного банком токена может доказать, что клиент является тем, кем он себя называет.

Некоторые токены могут хранить криптографические ключи который может быть использован для создания цифровой подписи, или же биометрический данные, такие как отпечаток пальца Детали. Некоторые могут также хранить пароли.[1] Некоторые конструкции включают устойчивый к взлому упаковка, в то время как другие могут включать небольшие клавиатуры, чтобы позволить ШТЫРЬ или простая кнопка для запуска процедуры генерации с возможностью отображения сгенерированного ключевого числа. Подключенные токены используют различные интерфейсы, включая USB, связь ближнего поля (NFC), определение радиочастоты (RFID) или Bluetooth. Некоторые жетоны имеют возможность воспроизведения звука, предназначенную для людей с ослабленным зрением.

Типы паролей

Все токены содержат некоторую секретную информацию, которая используется для подтверждения личности. Есть четыре различных способа использования этой информации:

Токен асинхронного пароля для онлайн-банкинга.
Токен статического пароля
Устройство содержит пароль, который физически скрыт (невидим для владельца), но передается при каждой аутентификации. Этот тип уязвим для повторные атаки.
Токен синхронного динамического пароля
Таймер используется для переключения различных комбинаций, производимых криптографический алгоритм. Токен и сервер аутентификации должны иметь синхронизированные часы.
Токен асинхронного пароля
А одноразовый пароль генерируется без использования часов, либо из одноразовый блокнот или криптографический алгоритм.
Ответ на вызов жетон
С помощью криптография с открытым ключом, можно доказать владение закрытым ключом, не раскрывая его. Сервер аутентификации шифрует запрос (обычно случайное число или, по крайней мере, данные с некоторыми случайными частями) с помощью открытого ключа; устройство доказывает, что обладает копией совпадающего закрытого ключа, предоставляя расшифрованный запрос.

Одноразовые пароли

Основная статья: Одноразовый пароль

Синхронизированные по времени одноразовые пароли постоянно меняются через заданный интервал времени; например, раз в минуту. Для этого должна существовать какая-то синхронизация между клиент токен и аутентификация сервер. Для отключенных токенов эта временная синхронизация выполняется до того, как токен будет распределен между клиент. Другие типы токенов выполняют синхронизацию, когда токен вставляется в Устройство ввода. Основная проблема с токенами, синхронизированными по времени, заключается в том, что они могут со временем стать несинхронизированными.[2] Однако некоторые такие системы, такие как RSA SecurID, позволяют пользователю повторно синхронизировать сервер с токеном, иногда путем ввода нескольких последовательных кодов доступа. У большинства из них также нет сменных батарей, и их срок службы составляет не более 5 лет, прежде чем их придется заменять, поэтому это требует дополнительных затрат.[3]

Другой тип одноразового пароля использует сложный математический алгоритм, такой как цепочка хеширования, чтобы сгенерировать серию одноразовых паролей из секретного общего ключа. Каждый пароль невозможно угадать, даже если известны предыдущие пароли. Открытый исходный код OAuth алгоритм стандартизирован; другие алгоритмы покрываются США патенты. Каждый пароль является непредсказуемым и независимым от предыдущих, поэтому злоумышленник не сможет угадать, каким может быть следующий пароль, даже зная все предыдущие пароли.

Физические типы

Токены могут содержать чипсы с функциями, варьирующимися от очень простых до очень сложных, включая несколько методов аутентификации.

Простейшие токены безопасности не требуют подключения к компьютер. У токенов есть физический дисплей; аутентифицирующий пользователь просто вводит отображаемый номер для входа в систему. Другие токены подключаются к компьютеру с помощью беспроводных технологий, таких как Bluetooth. Эти токены передают последовательность ключей локальному клиенту или ближайшей точке доступа.

В качестве альтернативы, другая форма токена, широко доступная в течение многих лет, - это мобильное устройство, которое обменивается данными с использованием внеполосного канала (например, голоса, SMS, или же USSD ).

Другие токены подключаются к компьютеру и могут потребовать PIN-код. В зависимости от типа токена компьютер Операционные системы затем либо прочитает ключ из токена и выполнит с ним криптографическую операцию, либо попросит микропрограмму токена выполнить эту операцию.

Связанное приложение - это оборудование ключ требуется некоторыми компьютерными программами для подтверждения права собственности на программного обеспечения. Ключ помещается в Устройство ввода и программного обеспечения получает доступ к Устройство ввода / вывода под вопросом разрешить использование программного обеспечения обсуждаемый.

Коммерческие решения предоставляются различными поставщиками, каждый из которых имеет собственную запатентованную (и часто запатентованную) реализацию различных функций безопасности. Дизайн токенов, отвечающий определенным стандартам безопасности, сертифицирован в США как соответствующий FIPS 140, федеральный стандарт безопасности. Токены без какой-либо сертификации иногда рассматриваются как подозрительные, поскольку они часто не соответствуют принятым государственным или отраслевым стандартам безопасности, не прошли тщательное тестирование и, вероятно, не могут обеспечить такой же уровень криптографической безопасности, как решения с использованием токенов, которые проекты, прошедшие независимую проверку сторонними агентствами.[нужна цитата ]

Отключенные токены

Отключенный токен. Номер необходимо скопировать в PASSCODE поле вручную.

Отключенные токены не имеют ни физического, ни логического подключения к клиентскому компьютеру. Обычно они не требуют специального устройства ввода, а вместо этого используют встроенный экран для отображения сгенерированных данных аутентификации, которые пользователь вводит вручную с клавиатуры или клавиатуры. Отключенные токены являются наиболее распространенным типом токенов безопасности, используемых (обычно в сочетании с паролем) в двухфакторной аутентификации для онлайн-идентификации.[4]

Подключенные токены

Подключенные токены - это токены, которые должны быть физически подключены к компьютеру, на котором выполняется аутентификация пользователя. Токены в этой категории автоматически передают информацию для аутентификации на клиентский компьютер после установления физического соединения, избавляя пользователя от необходимости вручную вводить информацию для аутентификации. Однако для использования подключенного токена необходимо установить соответствующее устройство ввода. Наиболее распространенные типы физических жетонов: смарт-карты и USB-токены, для которых требуется устройство чтения смарт-карт и порт USB соответственно. Все чаще Универсальный 2-й фактор (U2F) токены, поддерживаемые группой открытых спецификаций ФИДО Альянс стали популярными среди потребителей благодаря стандартной поддержке браузеров, начиная с 2015 года, и поддерживаются популярными веб-сайтами и сайтами социальных сетей.

Старшая Карта ПК токены предназначены для работы в первую очередь с ноутбуки. Карты ПК типа II предпочтительнее использовать в качестве жетона, так как они вдвое меньше, чем карты типа III.

Порт аудиоразъема - относительно практичный способ установить соединение между мобильными устройствами, такими как iPhone, iPad и Android, а также другими аксессуарами. Самое известное устройство называется Квадрат, устройство чтения кредитных карт для iPhone и Android.

Некоторые используют специальный интерфейс (например, крипто ключ зажигания развернут в США Национальное Агенство Безопасности ). Жетоны также можно использовать как фото Удостоверение личности. Сотовые телефоны и КПК также могут служить токенами безопасности при правильном программировании.

Смарт-карты

Основная статья: Интеллектуальная карточка

Многие подключенные токены используют технологию смарт-карт. Смарт-карты могут быть очень дешевыми (около десяти центов)[нужна цитата ] и содержат проверенные механизмы безопасности (используемые финансовыми учреждениями, например банковские карты). Однако вычислительная производительность смарт-карт часто довольно ограничена из-за чрезвычайно низкого энергопотребления и требований ультратонкого форм-фактора.

На основе смарт-карты USB токены, содержащие интеллектуальная карточка Чип внутри обеспечивает функциональность как USB-токенов, так и смарт-карт. Они позволяют использовать широкий спектр решений безопасности и обеспечивают возможности и безопасность традиционной смарт-карты, не требуя уникального устройства ввода. От операционная система компьютера С точки зрения компании, такой токен представляет собой подключаемое через USB устройство чтения смарт-карт с одной несъемной смарт-картой.[5]

Бесконтактные токены

В отличие от подключенных токенов, бесконтактные токены образуют логическое соединение с клиентским компьютером, но не требуют физического соединения. Отсутствие необходимости в физическом контакте делает их более удобными, чем подключенные и отключенные токены. В результате бесконтактные токены - популярный выбор для вход без ключа системы и электронные платежные решения, такие как Mobil Speedpass, который использует RFID для передачи информации аутентификации с токена связки ключей. Тем не менее, были высказаны различные опасения по поводу безопасности токенов RFID после того, как исследователи из Университет Джона Хопкинса и RSA Laboratories обнаружил, что RFID-метки можно легко взломать и клонировать.[6]

Еще одним недостатком является то, что бесконтактные токены имеют относительно короткое время автономной работы; обычно всего 5–6 лет, что мало по сравнению с USB токены со сроком службы более 10 лет.[нужна цитата ] Однако некоторые жетоны позволяют заменять батареи, что снижает затраты.

Токены Bluetooth

В Bluetooth Протоколы с низким энергопотреблением служат для увеличения срока службы батареи беспроводной передачи.

  • Передача собственных идентификационных данных Bluetooth - это самое низкое качество для поддержки аутентификации.
  • Двунаправленное соединение для обмена транзакционными данными служит для самых сложных процедур аутентификации.

Однако управление мощностью автоматической трансмиссии препятствует попыткам оценки радиального расстояния. Уход доступен помимо стандартизированного алгоритма управления мощностью Bluetooth, чтобы обеспечить калибровку минимально необходимой мощности передачи.[7]

Токены Bluetooth часто сочетаются с токеном USB, что позволяет работать как в подключенном, так и в отключенном состоянии. Аутентификация Bluetooth работает на расстоянии более 32 футов (10 метров). Если соединение Bluetooth не работает должным образом, токен может быть вставлен в USB Устройство ввода функционировать.

Другая комбинация с интеллектуальная карточка для локального хранения больших объемов идентификационных данных, а также для обработки информации.[8] Другой - бесконтактный токен BLE, который сочетает в себе безопасное хранилище и токенизированную выдачу учетных данных отпечатков пальцев.[9]

В режиме работы USB для подписи требуется уход за токеном, который механически подключен к USB-разъему. Преимущество режима работы Bluetooth - возможность комбинировать подписку с показателями расстояния. Соответствующие продукты находятся в стадии разработки по концепции электронного поводка.

Токены NFC

Связь ближнего поля (NFC) токены в сочетании с токеном Bluetooth могут работать в нескольких режимах, таким образом работая как в подключенном, так и в отключенном состоянии. Аутентификация NFC работает на расстоянии менее 1 фута (0,3 метра). Протокол NFC обеспечивает связь с считывателем на короткие расстояния, в то время как соединение Bluetooth служит для передачи данных с помощью токена для аутентификации. Кроме того, когда канал Bluetooth не подключен, маркер может передавать локально сохраненную информацию аутентификации в грубом расположении считывателю NFC и избавляет от необходимости точного размещения на разъеме.[нужна цитата ]

Программные токены единого входа

Некоторые виды Единая точка входа (SSO) решения, например единый вход на предприятии, используйте токен для хранения программного обеспечения, обеспечивающего беспрепятственную аутентификацию и заполнение пароля. Поскольку пароли хранятся на токене, пользователям не нужно запоминать свои пароли и, следовательно, они могут выбирать более безопасные пароли или назначать более безопасные пароли. Обычно в большинстве токенов хранится криптографический хэш пароля, поэтому, если токен скомпрометирован, пароль по-прежнему защищен.[нужна цитата ]

Программируемые токены

Программируемые токены продаются как «прямая» замена мобильных приложений, таких как Google Authenticator (miniOTP[10]). Их можно использовать в качестве замены мобильного приложения, а также параллельно в качестве резервного.

Уязвимости

Любые средства и меры защиты данных могут быть преодолены. Это также относится к токенам безопасности. Основная угроза - неосторожная операция. Пользователи должны знать о постоянных возможностях угроз.

Утрата и кража

Самая простая уязвимость любого контейнера паролей - это кража или потеря устройства. Вероятность того, что это произойдет или произойдет неожиданно, можно уменьшить с помощью физических мер безопасности, таких как замки, электронный поводок или датчик тела и сигнализация. Украденные жетоны можно сделать бесполезными, используя двухфакторная аутентификация. Обычно для проверки подлинности персональный идентификационный номер (PIN) необходимо ввести вместе с информацией, предоставленной токеном, одновременно с выводом токена.

Атакующий

Любая система, которая позволяет пользователям проходить аутентификацию через ненадежную сеть (например, Интернет), уязвима для атак типа «злоумышленник в середине». В этом типе атаки мошенник действует как «посредник» между пользователем и легитимной системой, запрашивая вывод токена от легитимного пользователя и затем отправляя его самой системе аутентификации. Поскольку значение токена является математически правильным, аутентификация проходит успешно и мошеннику предоставляется доступ. Ситибанк попал в заголовки новостей в 2006 году, когда его бизнес-пользователи, оснащенные аппаратными токенами, стали жертвами крупного украинского посредника. фишинг атака.[11][12]

Нарушение кодов

В 2012 году исследовательская группа Просекко в INRIA Paris-Rocquencourt разработала эффективный метод извлечения секретного ключа из нескольких PKCS # 11 криптографические устройства, включая SecurID 800.[13][14] Эти результаты были задокументированы в техническом отчете INRIA RR-7944, ID hal-00691958,[15] и опубликовано на CRYPTO 2012.[16]

Цифровой подписи

Цифровая подпись, считающаяся обычной собственноручной подписью, должна быть сделана с помощью закрытого ключа, известного только лицу, уполномоченному на ее изготовление. Токены, которые обеспечивают безопасную встроенную генерацию и хранение закрытых ключей, позволяют использовать безопасные цифровые подписи, а также могут использоваться для аутентификации пользователя, поскольку закрытый ключ также служит доказательством личности пользователя.

Чтобы токены могли идентифицировать пользователя, все токены должны иметь уникальный номер. Не все подходы полностью можно квалифицировать как цифровые подписи в соответствии с некоторыми национальными законами.[нужна цитата ] Жетоны без встроенной клавиатуры или другой пользовательский интерфейс не может использоваться в некоторых подписание сценарии, такие как подтверждение банковской транзакции на основе номера банковского счета, на который должны быть переведены средства.

Смотрите также

Рекомендации

  1. ^ «OnlyKey Hardware Password Manager - один PIN-код, который нужно запомнить». OnlyKey. Получено 16 апреля 2018.
  2. ^ RD, Token2 (07.01.2019). «Дрейф времени: главный недостаток аппаратных токенов TOTP». Середина. Получено 2020-11-21.
  3. ^ «Дрейф времени в аппаратных токенах TOTP объяснен и решен - решения Protectimus». Protectimus. 2019-06-03. Получено 2020-11-21.
  4. ^ де Борд, Дункан (28 июня 2007 г.). «Двухфакторная аутентификация» (PDF). Siemens Insight Consulting. Архивировано из оригинал (PDF) на 2012-01-12. Получено 2009-01-14.
  5. ^ Спецификация для устройств интерфейса карт на интегральных схемах В архиве 2005-12-29 в Wayback Machine, usb.org
  6. ^ Биба, Эрин (14 февраля 2005 г.). "Ваш ключ от машины представляет угрозу безопасности?". Компьютерный мир. Получено 2009-01-14.
  7. ^ "Verfahren zum Steuern der Freigabe einer Einrichtung oder eines Dienstes, как Master ausgebildete Sendeempfangseinrichtung sowie System mit derartiger Einrichtung". dpma.de. Получено 16 апреля 2018.
  8. ^ [1]
  9. ^ «Биометрический U2F OTP Token - HYPR». HYPR Corp. Получено 16 апреля 2018.
  10. ^ Программируемые аппаратные токены Токен2 miniOTP
  11. ^ Лейден, Джон (13 июля 2006 г.). «Фишеры используют двухфакторную аутентификацию». Реестр. Получено 2018-09-25.
  12. ^ Кребс, Брайан (10 июля 2006 г.). "Citibank Phish Spoofs 2-факторная аутентификация". Вашингтон Пост. Получено 2018-09-25.
  13. ^ Сенгупта, Сомини (25 июня 2012 г.). "Компьютерные ученые взломали ключ токена безопасности в рекордно короткие сроки". Нью-Йорк Таймс. Получено 2012-06-25.
  14. ^ Овано, Нэнси (27.06.2012). «Команда Просекко разбирает жетоны безопасности». Phys.org. Получено 2014-03-29.
  15. ^ "Просекко :: Публикации". Получено 2014-03-29.
  16. ^ «Принятые статьи CRYPTO 2012». Получено 2014-03-29.
Общие ссылки

внешняя ссылка