Токен безопасности

Токен безопасности — это периферийное устройство, используемое для получения доступа к ресурсу с электронным доступом. или вместо него Токен используется в дополнение к паролю . ^{[ 1 ]} Примеры токенов безопасности включают в себя беспроводные карты-ключи, используемые для открытия запертых дверей, банковский токен, используемый в качестве цифрового аутентификационного устройства для входа в онлайн-банкинг или подписания транзакций, таких как банковские переводы .

Токены безопасности могут использоваться для хранения такой информации, как пароли , криптографические ключи, используемые для создания цифровых подписей , или биометрические данные (например, отпечатки пальцев ). Некоторые конструкции имеют защищенную от несанкционированного доступа упаковку, в то время как другие могут включать небольшие клавиатуры , позволяющие вводить PIN-код , или простую кнопку для запуска процедуры генерации с некоторой возможностью отображения для отображения сгенерированного номера ключа. Подключенные токены используют различные интерфейсы, включая USB , связь ближнего радиуса действия (NFC), радиочастотную идентификацию (RFID) или Bluetooth . Некоторые токены имеют звуковые возможности, предназначенные для людей с нарушениями зрения.

Типы паролей

Все токены содержат некоторую секретную информацию, используемую для подтверждения личности. Существует четыре различных способа использования этой информации:

Токен статического пароля: Устройство содержит пароль, который физически скрыт (не виден владельцу), но передается при каждой аутентификации. Этот тип уязвим для атак повторного воспроизведения .

Токен синхронного динамического пароля: Таймер используется для переключения различных комбинаций, создаваемых криптографическим алгоритмом . Токен и сервер аутентификации должны иметь синхронизированные часы.

Токен асинхронного пароля: Одноразовый пароль генерируется без использования часов либо с помощью одноразового блокнота , либо с помощью криптографического алгоритма.

вызова-ответа Жетон: Используя криптографию с открытым ключом , можно доказать владение секретным ключом, не раскрывая его. Сервер аутентификации шифрует запрос (обычно случайное число или, по крайней мере, данные с некоторыми случайными частями) с помощью открытого ключа; устройство доказывает, что оно обладает копией соответствующего секретного ключа, предоставляя расшифрованный запрос.

Синхронизированные по времени одноразовые пароли постоянно меняются через заданный интервал времени; например, один раз в минуту. аутентификации должна существовать некоторая синхронизация Для этого между токеном клиента и сервером . Для отключенных токенов синхронизация времени выполняется до того, как токен будет передан клиенту . Другие типы токенов выполняют синхронизацию, когда токен вставляется в устройство ввода . Основная проблема с токенами, синхронизированными по времени, заключается в том, что со временем они могут стать несинхронизированными. ^{[ 2 ]} Однако некоторые такие системы, такие как SecurID от RSA , позволяют пользователю повторно синхронизировать сервер с токеном, иногда путем ввода нескольких последовательных паролей. Большинство из них также не могут иметь сменные батареи и служат только до 5 лет, прежде чем их придется заменить, поэтому возникают дополнительные расходы. ^{[ 3 ]} Другой тип одноразового пароля использует сложный математический алгоритм, такой как хеш-цепочка , для генерации серии одноразовых паролей из секретного общего ключа. Каждый пароль уникален, даже если известны предыдущие пароли. с открытым исходным кодом Алгоритм OATH стандартизирован; ^{[ нужна ссылка ]} остальные алгоритмы защищены патентами США . Каждый пароль явно непредсказуем и независим от предыдущих, поэтому злоумышленник не сможет угадать, каким может быть следующий пароль, даже зная все предыдущие пароли.

Физические типы

Токены могут содержать чипы с функциями от очень простых до очень сложных, включая несколько методов аутентификации.

Простейшие токены безопасности не требуют подключения к компьютеру . Токены имеют физический дисплей; аутентифицирующий пользователь просто вводит отображаемый номер для входа в систему. Другие токены подключаются к компьютеру с помощью беспроводных технологий, таких как Bluetooth . Эти токены передают последовательность ключей локальному клиенту или ближайшей точке доступа. ^{[ 4 ]}

Альтернативно, другая форма токена, широко доступная в течение многих лет, — это мобильное устройство, которое обменивается данными с использованием внеполосного канала (например, голоса, SMS или USSD ).

Другие жетоны подключаются к компьютеру и могут потребовать PIN-код. В зависимости от типа токена компьютера операционная система либо прочитает ключ из токена и выполнит над ним криптографическую операцию, либо попросит прошивку токена выполнить эту операцию. ^{[ нужна ссылка ]}

Соответствующее приложение — это аппаратный ключ , необходимый некоторым компьютерным программам для подтверждения права собственности на программное обеспечение . Ключ помещается в устройство ввода , и программное обеспечение обращается к устройству ввода-вывода, соответствующему чтобы авторизовать использование программного обеспечения соответствующего .

Коммерческие решения предоставляются различными поставщиками, каждый из которых имеет собственную (и часто запатентованную) реализацию различных используемых функций безопасности. Проекты токенов, соответствующие определенным стандартам безопасности, сертифицированы в США как соответствующие FIPS 140 . федеральному стандарту безопасности ^{[ 5 ]} Токены без какой-либо сертификации иногда рассматриваются как подозрительные, поскольку они часто не соответствуют принятым государственным или отраслевым стандартам безопасности, не прошли тщательное тестирование и, вероятно, не могут обеспечить тот же уровень криптографической безопасности, что и решения для токенов, которые уже прошли проверку. проекты, прошедшие независимую проверку сторонними агентствами. ^{[ нужна ссылка ]}

Отключенные токены

Отключенные токены не имеют ни физического, ни логического соединения с клиентским компьютером. Обычно они не требуют специального устройства ввода и вместо этого используют встроенный экран для отображения сгенерированных данных аутентификации, которые пользователь вводит вручную с помощью клавиатуры или клавиатуры . Отключенные токены — это наиболее распространенный тип токена безопасности, используемый (обычно в сочетании с паролем) при двухфакторной аутентификации для онлайн-идентификации. ^{[ 6 ]}

Подключенные токены

Подключенные токены — это токены, которые должны быть физически подключены к компьютеру, с помощью которого пользователь проходит аутентификацию. Токены этой категории автоматически передают информацию аутентификации на клиентский компьютер после установления физического соединения, что избавляет пользователя от необходимости вручную вводить информацию аутентификации. Однако для использования подключенного токена необходимо установить соответствующее устройство ввода. Наиболее распространенными типами физических токенов являются смарт-карты и USB-токены (также называемые ключами безопасности ), для которых требуется устройство чтения смарт-карт и USB-порт соответственно. ^{[ нужна ссылка ]} становятся все Токены FIDO2 , поддерживаемые группой открытых спецификаций FIDO Alliance, более популярными среди потребителей благодаря основной поддержке браузеров, начиная с 2015 года, а также поддерживаемым популярными веб-сайтами и сайтами социальных сетей. ^{[ нужна ссылка ]}

Старые токены PC Card предназначены для работы в основном с ноутбуками . Карты PC типа II предпочтительнее в качестве токена, поскольку они вдвое тоньше, чем карты типа III.

Порт аудиоразъема — относительно практичный метод установления соединения между мобильными устройствами, такими как iPhone , iPad и Android , и другими аксессуарами. ^{[ нужна ссылка ]} Самое известное устройство называется Square — устройство для чтения кредитных карт для iOS устройств и Android.

Некоторые используют интерфейс специального назначения (например, криптоключ зажигания США , используемый Агентством национальной безопасности ). Жетоны также можно использовать в качестве удостоверения личности с фотографией . Сотовые телефоны и КПК также могут служить маркерами безопасности при правильном программировании.

Смарт-карты

Многие подключенные токены используют технологию смарт-карт. Смарт-карты могут стоить очень дешево (около десяти центов). ^{[ нужна ссылка ]} и содержат проверенные механизмы безопасности (используемые финансовыми учреждениями, например банковские карты). Однако вычислительная производительность смарт-карт часто довольно ограничена из-за чрезвычайно низкого энергопотребления и требований к ультратонкому форм-фактору.

токены на основе смарт-карт USB- , содержащие внутри чип смарт-карты, обеспечивают функциональность как USB-токенов, так и смарт-карт. Они позволяют использовать широкий спектр решений безопасности и обеспечивают возможности и безопасность традиционной смарт-карты, не требуя уникального устройства ввода. С точки зрения операционной системы компьютера такой токен представляет собой устройство чтения смарт-карт, подключенное через USB, с одной несъемной смарт-картой. ^{[ 7 ]}

Бесконтактные токены

В отличие от подключенных токенов, бесконтактные токены образуют логическое соединение с клиентским компьютером, но не требуют физического соединения. Отсутствие необходимости физического контакта делает их более удобными, чем как подключенные, так и отключенные токены. В результате бесконтактные жетоны являются популярным выбором для систем бесключевого доступа и решений электронных платежей, таких как Mobil Speedpass , который использует RFID для передачи аутентификационной информации из токена связки ключей. ^{[ нужна ссылка ]} в отношении токенов RFID возникли различные проблемы безопасности . Однако после того, как исследователи из Университета Джонса Хопкинса и RSA Laboratories обнаружили, что RFID-метки можно легко взломать и клонировать, ^{[ 8 ]}

Еще одним недостатком является то, что бесконтактные жетоны имеют относительно короткое время автономной работы; обычно всего 5–6 лет, что мало по сравнению с USB- токенами, срок службы которых может превышать 10 лет. ^{[ нужна ссылка ]} Однако некоторые жетоны позволяют заменять батарейки, что снижает затраты.

Bluetooth-токены

Протоколы Bluetooth Low Energy обеспечивают длительный срок службы аккумулятора при беспроводной передаче.

Передача собственных идентификационных данных Bluetooth имеет самое низкое качество для поддержки аутентификации.
Двунаправленное соединение для обмена транзакционными данными служит для самых сложных процедур аутентификации.

Тем не менее, управление мощностью автоматической коробки передач пытается оценить радиальное расстояние. Выход доступен отдельно от стандартизированного алгоритма управления мощностью Bluetooth, чтобы обеспечить калибровку минимально необходимой мощности передачи. ^{[ 9 ]}

Токены Bluetooth часто комбинируются с токеном USB, поэтому работают как в подключенном, так и в отключенном состоянии. Аутентификация Bluetooth работает на расстоянии ближе 32 футов (9,8 метра). Если соединение Bluetooth не работает должным образом, токен можно вставить в USB- устройство ввода для работы.

Другая комбинация — использование смарт-карты для локального хранения больших объемов идентификационных данных и обработки информации. ^{[ 10 ]} Другой вариант — бесконтактный токен BLE, который сочетает в себе безопасное хранение и токенизированную выдачу учетных данных отпечатков пальцев. ^{[ 11 ]}

В режиме работы USB для подписания требуется уход за жетоном, пока он механически соединен с USB-разъемом. Преимуществом режима работы Bluetooth является возможность комбинирования подтверждения с показателями расстояния. Соответствующие продукты находятся в стадии разработки, следуя концепции электронного поводка.

NFC-токены

Токены ближней связи (NFC) в сочетании с токеном Bluetooth могут работать в нескольких режимах, работая при этом как в подключенном, так и в отключенном состоянии. Аутентификация NFC работает на расстоянии менее 1 фута (0,3 метра). ^{[ нужна ссылка ]} Протокол NFC обеспечивает связь со считывателем на коротких расстояниях, а соединение Bluetooth служит для передачи данных с помощью токена для обеспечения аутентификации. Кроме того, когда канал Bluetooth не подключен, токен может передавать локально сохраненную аутентификационную информацию в грубом позиционировании считывателю NFC и освобождает от точного позиционирования разъема. ^{[ нужна ссылка ]}

Программные токены единого входа

Некоторые типы решений единого входа (SSO), например корпоративный единый вход , используют токен для хранения программного обеспечения, которое обеспечивает простую аутентификацию и ввод пароля. Поскольку пароли хранятся в токене, пользователям не нужно запоминать свои пароли, и поэтому они могут выбирать более безопасные пароли или назначать более безопасные пароли. Обычно большинство токенов хранят криптографический хэш пароля, поэтому в случае компрометации токена пароль по-прежнему будет защищен. ^{[ нужна ссылка ]}

Программируемые токены

Программируемые токены продаются как «простая» замена мобильных приложений, таких как Google Authenticator (miniOTP). ^{[ 12 ]}). Их можно использовать как замену мобильных приложений, а также параллельно в качестве резервной копии.

Уязвимости

Потеря и кража

Самая простая уязвимость любого контейнера паролей — это кража или потеря устройства. Вероятность того, что это произойдет или произойдет неосознанно, можно уменьшить с помощью мер физической безопасности, таких как замки, электронный поводок или датчик тела и сигнализация. Украденные токены можно сделать бесполезными с помощью двухфакторной аутентификации . Обычно для аутентификации необходимо ввести личный идентификационный номер (ПИН-код) вместе с информацией, предоставляемой токеном, одновременно с выводом токена.

Атакующий

Любая система, которая позволяет пользователям проходить аутентификацию через ненадежную сеть (например, Интернет ), уязвима для атак «человек посередине» . В этом типе атаки злоумышленник действует как «посредник» между пользователем и легитимной системой, запрашивая вывод токена у законного пользователя, а затем передавая его самой системе аутентификации. Поскольку значение токена математически правильное, аутентификация проходит успешно и мошеннику предоставляется доступ. В 2006 году Ситибанк операции «человек посередине» стал жертвой атаки, когда его бизнес-пользователи, оснащенные аппаратными токенами, стали жертвами крупной украинской фишинговой . ^{[ 13 ]}^{[ 14 ]}

Нарушение кодов

В 2012 году исследовательская группа Prosecco в INRIA Paris-Rocquencourt разработала эффективный метод извлечения секретного ключа из нескольких PKCS #11 . криптографических устройств ^{[ 15 ]}^{[ 16 ]} Эти результаты задокументированы в Техническом отчете INRIA RR-7944, Hall ID-00691958, ^{[ 17 ]} и опубликовано на CRYPTO 2012. ^{[ 18 ]}

Цифровая подпись

, доверенная как обычная рукописная подпись, Цифровая подпись должна быть сделана с использованием закрытого ключа, известного только лицу, уполномоченному делать подпись. Токены, которые позволяют безопасно генерировать и хранить закрытые ключи, обеспечивают безопасные цифровые подписи, а также могут использоваться для аутентификации пользователя, поскольку закрытый ключ также служит доказательством личности пользователя.

Чтобы токены идентифицировали пользователя, все токены должны иметь уникальный номер. Не все подходы полностью квалифицируются как цифровые подписи согласно некоторым национальным законам. ^{[ нужна ссылка ]} Токены без встроенной клавиатуры или другого пользовательского интерфейса нельзя использовать в некоторых сценариях подписи , например, при подтверждении банковской транзакции на основе номера банковского счета, на который должны быть переведены средства.

См. также

Ссылки

^ Шинк, Марк; Вагнер, Александр; Унтерштейн, Флориан; Хейзль, Иоганн (9 июля 2021 г.). «Безопасность и доверие к токенам безопасности с открытым исходным кодом» . Транзакции IACR на криптографическом оборудовании и встроенных системах : 176–201. дои : 10.46586/tches.v2021.i3.176-201 . ISSN 2569-2925 . S2CID 235349083 .
^ РД, Токен2 (07.01.2019). «Дрейф времени: главный недостаток аппаратных токенов TOTP» . Середина . Проверено 21 ноября 2020 г. {{cite web}}: CS1 maint: числовые имена: список авторов ( ссылка )
^ «Дрейф времени в аппаратных токенах TOTP: объяснение и решение — Protectimus Solutions» . Протектимус . 03.06.2019 . Проверено 21 ноября 2020 г.
^ «2.3.3: Методы аутентификации — токены безопасности» . Инженерные библиотеки LibreTexts . 15 января 2021 г. Проверено 8 мая 2023 г.
^ Национальный институт стандартов и технологий (апрель 2019 г.). Требования безопасности к криптографическим модулям (PDF) (Отчет). Гейтерсбург, Мэриленд: Национальный институт стандартов и технологий. дои : 10.6028/nist.fips.140-3 .
^ де Борд, Дункан (28 июня 2007 г.). «Двухфакторная аутентификация» (PDF) . Сименс Инсайт Консалтинг. Архивировано из оригинала (PDF) 12 января 2012 г. Проверено 14 января 2009 г.
^ Спецификация интерфейсных устройств интегральных плат (карт), заархивировано 29 декабря 2005 г. на Wayback Machine , usb.org.
^ Биба, Эрин (14 февраля 2005 г.). «Представляет ли ваш ключ от машины угрозу безопасности?» . Мир ПК. Архивировано из оригинала 5 июня 2011 г. Проверено 14 января 2009 г.
^ «Способ управления выпуском устройства или услуги, приемопередающее устройство, выполненное в качестве ведущего, и система с таким устройством» . dpma.de. Проверено 16 апреля 2018 г.
^ «cgToken | сертификатгейт» . www.certgate.com . Архивировано из оригинала 9 октября 2013 г.
^ «Биометрический токен U2F OTP — HYPR» . Компания HYPR . Проверено 16 апреля 2018 г.
^ Программируемые аппаратные токены Token2 miniOTP
^ Лейден, Джон (13 июля 2006 г.). «Фишеры взламывают двухфакторную аутентификацию» . Регистр . Проверено 25 сентября 2018 г.
^ Кребс, Брайан (10 июля 2006 г.). «Citibank Phish подделывает двухфакторную аутентификацию» . Вашингтон Пост . Архивировано из оригинала 3 июля 2011 года . Проверено 25 сентября 2018 г.
^ Сенгупта, Сомини (25 июня 2012 г.). «Ученые-компьютерщики взломали ключ токена безопасности в рекордно короткие сроки» . Нью-Йорк Таймс . Проверено 25 июня 2012 г.
^ Овано, Нэнси (27 июня 2012 г.). «Команда Просекко демонтирует жетоны безопасности» . Физика.орг . Проверено 29 марта 2014 г.
^ "Просекко :: Публикации" . Проверено 29 марта 2014 г.
^ «Принятые доклады КРИПТО 2012» . Проверено 29 марта 2014 г.

Общие ссылки

Проверка личности в США (PIV)

Внешние ссылки

СМИ, связанные с токенами OTP, на Викискладе?
Инициатива OATH по открытой аутентификации. Архивировано 24 апреля 2019 г. на Wayback Machine.

[1] Шинк, Марк; Вагнер, Александр; Унтерштейн, Флориан; Хейзль, Иоганн (9 июля 2021 г.). «Безопасность и доверие к токенам безопасности с открытым исходным кодом» . Транзакции IACR на криптографическом оборудовании и встроенных системах : 176–201. дои : 10.46586/tches.v2021.i3.176-201 . ISSN 2569-2925 . S2CID 235349083 .

[2] РД, Токен2 (07.01.2019). «Дрейф времени: главный недостаток аппаратных токенов TOTP» . Середина . Проверено 21 ноября 2020 г. {{cite web}}: CS1 maint: числовые имена: список авторов ( ссылка )

[3] «Дрейф времени в аппаратных токенах TOTP: объяснение и решение — Protectimus Solutions» . Протектимус . 03.06.2019 . Проверено 21 ноября 2020 г.

[4] «2.3.3: Методы аутентификации — токены безопасности» . Инженерные библиотеки LibreTexts . 15 января 2021 г. Проверено 8 мая 2023 г.

[5] Национальный институт стандартов и технологий (апрель 2019 г.). Требования безопасности к криптографическим модулям (PDF) (Отчет). Гейтерсбург, Мэриленд: Национальный институт стандартов и технологий. дои : 10.6028/nist.fips.140-3 .

[6] де Борд, Дункан (28 июня 2007 г.). «Двухфакторная аутентификация» (PDF) . Сименс Инсайт Консалтинг. Архивировано из оригинала (PDF) 12 января 2012 г. Проверено 14 января 2009 г.

[noteusbSpec-7] Спецификация интерфейсных устройств интегральных плат (карт), заархивировано 29 декабря 2005 г. на Wayback Machine , usb.org.

[8] Биба, Эрин (14 февраля 2005 г.). «Представляет ли ваш ключ от машины угрозу безопасности?» . Мир ПК. Архивировано из оригинала 5 июня 2011 г. Проверено 14 января 2009 г.

[9] «Способ управления выпуском устройства или услуги, приемопередающее устройство, выполненное в качестве ведущего, и система с таким устройством» . dpma.de. Проверено 16 апреля 2018 г.

[10] «cgToken | сертификатгейт» . www.certgate.com . Архивировано из оригинала 9 октября 2013 г.

[11] «Биометрический токен U2F OTP — HYPR» . Компания HYPR . Проверено 16 апреля 2018 г.

[12] Программируемые аппаратные токены Token2 miniOTP

[13] Лейден, Джон (13 июля 2006 г.). «Фишеры взламывают двухфакторную аутентификацию» . Регистр . Проверено 25 сентября 2018 г.

[14] Кребс, Брайан (10 июля 2006 г.). «Citibank Phish подделывает двухфакторную аутентификацию» . Вашингтон Пост . Архивировано из оригинала 3 июля 2011 года . Проверено 25 сентября 2018 г.

[15] Сенгупта, Сомини (25 июня 2012 г.). «Ученые-компьютерщики взломали ключ токена безопасности в рекордно короткие сроки» . Нью-Йорк Таймс . Проверено 25 июня 2012 г.

[16] Овано, Нэнси (27 июня 2012 г.). «Команда Просекко демонтирует жетоны безопасности» . Физика.орг . Проверено 29 марта 2014 г.

[17] "Просекко :: Публикации" . Проверено 29 марта 2014 г.

[18] «Принятые доклады КРИПТО 2012» . Проверено 29 марта 2014 г.

[ 1 ]

[ 2 ]

[ 3 ]

[ 4 ]

[ 5 ]

[ 6 ]

[ 7 ]

[ 8 ]

[ 9 ]

[ 10 ]

[ 11 ]

[ 12 ]

[ 13 ]

[ 14 ]

[ 15 ]

[ 16 ]

[ 17 ]

[ 18 ]