Программный токен - Software token

А программный токен (a.k.a. мягкий токен) является частью двухфакторная аутентификация устройство безопасности, которое может использоваться для авторизации использования компьютерных служб. Программные токены хранятся на электронном устройстве общего назначения, таком как настольный компьютер, ноутбук, КПК, или же мобильный телефон и может быть продублирован. (Контрастность аппаратные токены, где учетные данные хранятся на выделенном аппаратном устройстве и, следовательно, не могут быть дублированы (отсутствие физического вторжения в устройство).

Поскольку программные токены - это нечто, чего физически не имеется, они подвергаются уникальным угрозам, основанным на дублировании базового криптографического материала, например: компьютерные вирусы и программного обеспечения атаки. И аппаратные, и программные токены уязвимы для ботов. Атаки посредника, или просто фишинг нападения, в которых одноразовый пароль предоставленный токеном, запрашивается, а затем своевременно передается на настоящий веб-сайт. У программных токенов есть преимущества: нет физического токена для переноски, они не содержат батареи которые закончатся, и они дешевле аппаратных токенов.[1]

Архитектура безопасности

Программные токены бывают двух основных архитектур: поделился секретом и криптография с открытым ключом.

Для общего секрета администратор обычно генерирует конфигурационный файл для каждого конечного пользователя. Файл будет содержать имя пользователя, персональный идентификационный номер, а секрет. Этот файл конфигурации предоставляется пользователю.

Архитектура общего секрета потенциально уязвима в ряде областей. Файл конфигурации может быть скомпрометирован в случае его кражи и копирования токена. С помощью программных токенов, зависящих от времени, можно одалживать КПК или ноутбука, установите часы вперед и сгенерируйте коды, которые будут действительны в будущем. Любой программный токен, который использует общие секреты и хранит ПИН-код вместе с общим секретом в программном клиенте, может быть украден и подвергнут офлайн-атакам. Общие секретные токены могут быть трудными для распространения, поскольку каждый токен, по сути, представляет собой отдельную часть программного обеспечения. Каждый пользователь должен получить копию секрета, что может создать временные ограничения.

Некоторые новые программные токены полагаются на криптография с открытым ключом, или асимметричная криптография. Этот архитектура устраняет некоторые из традиционных недостатков программных токенов, но не влияет на их основную слабость (способность дублировать). ПИН-код может храниться при удаленной аутентификации сервер вместо того, чтобы использовать токен-клиент, сделать украденный программный токен бесполезным, если также не известен PIN-код. Однако в случае заражения вирусом криптографический материал может быть продублирован, а затем PIN-код может быть записан (с помощью кейлоггинга или аналогичного метода) при следующей аутентификации пользователя. Если есть попытки угадать PIN-код, его можно обнаружить и зарегистрировать на сервере аутентификации, который может отключить токен. Использование асимметричной криптографии также упрощает реализацию, поскольку клиент токена может генерировать свою собственную пару ключей и обмениваться открытыми ключами с сервером.

Смотрите также

Рекомендации

  1. ^ Новости SecurityPro Надежная аутентификация Проверено 3 апреля 2007 г.

внешняя ссылка