Token bezpieczeństwa — Security token

Tokenu zabezpieczeń to urządzenie peryferyjne stosowane do uzyskania dostępu do ograniczonej elektronicznie zasobu. Token jest używany dodatkowo lub zamiast hasła . Działa jak elektroniczny klucz, aby uzyskać dostęp do czegoś. Przykłady obejmują bezprzewodowy keycard otwierając zamknięte drzwi, albo w przypadku klient próbuje uzyskać dostęp do swojego konta bankowego on-line, korzystanie z banku, pod warunkiem tokena może udowodnić, że klient, który się podaje.

Niektóre tokeny mogą przechowywać klucze kryptograficzne, których można użyć do wygenerowania podpisu cyfrowego lub danych biometrycznych , takich jak szczegóły odcisków palców . Niektóre mogą również przechowywać hasła . Niektóre projekty zawierają opakowania odporne na manipulacje , podczas gdy inne mogą zawierać małe klawiatury umożliwiające wprowadzenie kodu PIN lub prosty przycisk do rozpoczęcia procedury generowania z możliwością wyświetlania wygenerowanego numeru klucza. Połączone tokeny korzystają z różnych interfejsów, w tym USB , komunikacji bliskiego zasięgu (NFC), identyfikacji radiowej (RFID) lub Bluetooth . Niektóre tokeny mają funkcję audio przeznaczoną dla osób z dysfunkcją wzroku.

Rodzaje haseł

Wszystkie tokeny zawierają pewne tajne informacje, które służą do potwierdzania tożsamości. Istnieją cztery różne sposoby wykorzystania tych informacji:

Asynchroniczny token hasła do bankowości internetowej.
Statyczny token hasła
Urządzenie zawiera hasło, które jest fizycznie ukryte (niewidoczne dla posiadacza), ale które jest przesyłane przy każdym uwierzytelnieniu. Ten typ jest podatny na powtarzające się ataki .
Synchroniczny dynamiczny token hasła
Zegar jest używany do obracania różnych kombinacji generowanych przez algorytm kryptograficzny . Token i serwer uwierzytelniania muszą mieć zsynchronizowane zegary.
Asynchroniczny token hasła
Jednorazowe hasło jest generowane bez użycia zegarem, albo z opuszki jednorazowej lub algorytmu kryptograficznego.
Token odpowiedzi na wyzwanie
Za pomocą kryptografii klucza publicznego można udowodnić posiadanie klucza prywatnego bez ujawniania go. Serwer uwierzytelniania szyfruje wyzwanie (zazwyczaj losową liczbę lub przynajmniej dane z losowymi częściami) za pomocą klucza publicznego; urządzenie udowodni, że posiada kopię pasującego klucza prywatnego, dostarczając odszyfrowane wyzwanie.

Zsynchronizowane czasowo hasła jednorazowe zmieniają się stale w ustalonych odstępach czasu; np. raz na minutę. Aby to zrobić, musi istnieć jakiś rodzaj synchronizacji między tokenem klienta a serwerem uwierzytelniającym . W przypadku odłączonych tokenów ta synchronizacja czasu jest wykonywana przed dystrybucją tokenu do client . Inne typy tokenów wykonują synchronizację, gdy token jest wstawiany do urządzenia wejściowego . Głównym problemem związanym z tokenami zsynchronizowanymi w czasie jest to, że z czasem mogą one stać się niezsynchronizowane. Jednak niektóre takie systemy, takie jak SecurID firmy RSA , pozwalają użytkownikowi na ponowną synchronizację serwera z tokenem, czasami poprzez wprowadzenie kilku kolejnych haseł. Większość z nich również nie może mieć wymiennych baterii i działa tylko do 5 lat, zanim będzie musiała zostać wymieniona – więc wiąże się to z dodatkowym kosztem.

Inny typ hasła jednorazowego wykorzystuje złożony algorytm matematyczny, taki jak łańcuch skrótów , do generowania serii haseł jednorazowych z tajnego klucza współdzielonego. Każde hasło jest niemożliwe do odgadnięcia, nawet jeśli znane są poprzednie hasła. Algorytm OATH typu open source jest ustandaryzowany; inne algorytmy objęte są patentami amerykańskimi . Każde hasło jest zauważalnie nieprzewidywalne i niezależne od poprzednich, przez co przeciwnik nie byłby w stanie odgadnąć, jakie może być następne hasło, nawet znając wszystkie poprzednie hasła.

Typy fizyczne

Tokeny mogą zawierać chipy o funkcjach od bardzo prostych do bardzo złożonych, w tym wiele metod uwierzytelniania.

Najprostsze tokeny zabezpieczające nie wymagają połączenia z komputerem . Żetony mają fizyczny wyświetlacz; uwierzytelniający użytkownik po prostu wpisuje wyświetlony numer, aby się zalogować. Inne tokeny łączą się z komputerem za pomocą technik bezprzewodowych, takich jak Bluetooth . Te tokeny przekazują sekwencję kluczy do lokalnego klienta lub do pobliskiego punktu dostępu.

Alternatywnie, inną formą tokena, która jest powszechnie dostępna od wielu lat, jest urządzenie mobilne, które komunikuje się za pomocą kanału pozapasmowego (takiego jak głos, SMS lub USSD ).

Jeszcze inne tokeny są podłączane do komputera i mogą wymagać kodu PIN . W zależności od typu tokena system operacyjny komputera odczyta klucz z tokena i wykona na nim operację kryptograficzną lub poprosi oprogramowanie układowe tokena o wykonanie tej operacji.

Powiązana aplikacja to sprzętowy klucz sprzętowy wymagany przez niektóre programy komputerowe w celu udowodnienia własności oprogramowania . Klucz sprzętowy jest umieszczany w urządzeniu wejściowym, a oprogramowanie uzyskuje dostęp do danego urządzenia we /wy, aby autoryzować korzystanie z danego oprogramowania .

Rozwiązania komercyjne są dostarczane przez różnych dostawców, z których każdy posiada własne (i często opatentowane) implementacje różnie stosowanych funkcji bezpieczeństwa. Projekty tokenów spełniające określone standardy bezpieczeństwa są certyfikowane w Stanach Zjednoczonych jako zgodne z FIPS 140 , federalnym standardem bezpieczeństwa. Tokeny bez jakiejkolwiek certyfikacji są czasami postrzegane jako podejrzane, ponieważ często nie spełniają przyjętych standardów bezpieczeństwa rządowych lub branżowych, nie zostały poddane rygorystycznym testom i prawdopodobnie nie mogą zapewnić takiego samego poziomu bezpieczeństwa kryptograficznego jak rozwiązania tokenowe, które projekty niezależnie kontrolowane przez agencje zewnętrzne.

Odłączone tokeny

Odłączony token. Numer należy wpisać ręcznie w pole PASSCODE .

Odłączone tokeny nie mają ani fizycznego, ani logicznego połączenia z komputerem klienckim. Zazwyczaj nie wymagają specjalnego urządzenia wejściowego, a zamiast tego wykorzystują wbudowany ekran do wyświetlania wygenerowanych danych uwierzytelniających, które użytkownik wprowadza ręcznie za pomocą klawiatury lub klawiatury. Tokeny odłączone są najczęściej używanym rodzajem tokenów zabezpieczających (zwykle w połączeniu z hasłem) w uwierzytelnianiu dwuskładnikowym w celu identyfikacji online.

Połączone tokeny

Połączone tokeny to tokeny, które muszą być fizycznie połączone z komputerem, na którym uwierzytelnia się użytkownik. Tokeny w tej kategorii automatycznie przesyłają informacje uwierzytelniające do komputera klienckiego po nawiązaniu fizycznego połączenia, eliminując potrzebę ręcznego wprowadzania informacji uwierzytelniających przez użytkownika. Aby jednak korzystać z podłączonego tokena, należy zainstalować odpowiednie urządzenie wejściowe. Najpopularniejszymi typami tokenów fizycznych są karty inteligentne i tokeny USB, które wymagają odpowiednio czytnika kart inteligentnych i portu USB. Coraz częściej tokeny FIDO2 , obsługiwane przez grupę FIDO Alliance o otwartej specyfikacji, stały się popularne wśród konsumentów dzięki obsłudze głównych przeglądarek począwszy od 2015 roku i obsługiwane przez popularne strony internetowe i serwisy społecznościowe.

Starsze tokeny kart PC są przeznaczone głównie do pracy z laptopami . Karty PC typu II są preferowane jako żetony, ponieważ są o połowę cieńsze niż karty typu III.

Port audio jack to stosunkowo praktyczna metoda nawiązywania połączenia między urządzeniami mobilnymi, takimi jak iPhone, iPad i Android, a innymi akcesoriami. Najbardziej znanym urządzeniem jest Square , czytnik kart kredytowych dla urządzeń z systemem iOS i Android.

Niektórzy używają interfejsu specjalnego przeznaczenia (np. klucza zapłonu kryptograficznego wdrożonego przez Narodową Agencję Bezpieczeństwa Stanów Zjednoczonych ). Tokeny mogą być również wykorzystywane jako dowód osobisty ze zdjęciem . Telefony komórkowe i PDA mogą również służyć jako tokeny bezpieczeństwa z odpowiednim oprogramowaniem.

Karty inteligentne

Główny artykuł: Karta inteligentna

Wiele połączonych tokenów korzysta z technologii kart inteligentnych. Karty inteligentne mogą być bardzo tanie (około dziesięciu centów) i zawierać sprawdzone mechanizmy bezpieczeństwa (stosowane przez instytucje finansowe, np. karty płatnicze). Jednak wydajność obliczeniowa kart inteligentnych jest często raczej ograniczona ze względu na ekstremalnie niskie zużycie energii i ultracienkie wymagania dotyczące współczynnika kształtu.

Tokeny USB oparte na kartach inteligentnych, które zawierają chip karty inteligentnej, zapewniają funkcjonalność zarówno tokenów USB, jak i kart inteligentnych. Umożliwiają szeroki zakres rozwiązań zabezpieczających oraz zapewniają możliwości i bezpieczeństwo tradycyjnej karty inteligentnej bez konieczności stosowania unikalnego urządzenia wejściowego. Z punktu widzenia systemu operacyjnego komputera taki token jest czytnikiem kart inteligentnych podłączonym do portu USB, w którym znajduje się jedna niewymienna karta inteligentna.

Tokeny zbliżeniowe

W przeciwieństwie do tokenów połączonych tokeny zbliżeniowe tworzą logiczne połączenie z komputerem klienckim, ale nie wymagają połączenia fizycznego. Brak potrzeby kontaktu fizycznego sprawia, że ​​są one wygodniejsze niż tokeny połączone i odłączone. W rezultacie tokeny zbliżeniowe są popularnym wyborem dla systemów dostępu bezkluczykowego i elektronicznych rozwiązań płatniczych, takich jak Mobil Speedpass , który wykorzystuje RFID do przesyłania informacji uwierzytelniających z tokena pęku kluczy. Pojawiły się jednak różne obawy dotyczące bezpieczeństwa tokenów RFID po tym, jak naukowcy z Johns Hopkins University i RSA Laboratories odkryli, że tagi RFID można łatwo złamać i sklonować.

Kolejną wadą jest to, że tokeny zbliżeniowe mają stosunkowo krótką żywotność baterii; zwykle tylko 5–6 lat, co jest niską wartością w porównaniu z tokenami USB, które mogą trwać dłużej niż 10 lat. Niektóre tokeny pozwalają jednak na wymianę baterii, co zmniejsza koszty.

Tokeny Bluetooth

W Bluetooth protokoły niskoenergetycznych służyć za długotrwały cykl życia baterii transmisji bezprzewodowej.

  • Transmisja nieodłącznych danych tożsamości Bluetooth jest najniższą jakością obsługi uwierzytelniania.
  • Dwukierunkowe połączenie do wymiany danych transakcyjnych służy do najbardziej wyrafinowanych procedur uwierzytelniania.

Jednak sterowanie mocą automatycznej skrzyni biegów antagonizuje próby oszacowania promieniowej odległości. Ucieczka jest dostępna oprócz standardowego algorytmu sterowania mocą Bluetooth, aby zapewnić kalibrację przy minimalnej wymaganej mocy transmisji.

Tokeny Bluetooth są często łączone z tokenem USB, dzięki czemu działają zarówno w stanie podłączonym, jak i rozłączonym. Uwierzytelnianie Bluetooth działa, gdy jest bliżej niż 32 stopy (10 metrów). Gdy łącze Bluetooth nie działa prawidłowo, token można włożyć do urządzenia wejściowego USB , aby mogło działać.

Inną kombinacją jest karta inteligentna do przechowywania lokalnie większych ilości danych dotyczących tożsamości oraz informacji o przetwarzaniu. Innym jest zbliżeniowy token BLE, który łączy bezpieczne przechowywanie i tokenizowane uwalnianie poświadczeń odcisków palców.

W trybie pracy USB wyrejestrowanie wymaga dbałości o token przy mechanicznym sprzężeniu z wtykiem USB. Zaletą trybu pracy Bluetooth jest możliwość połączenia podpisu z miernikami odległości. Odpowiednie produkty są w przygotowaniu, zgodnie z koncepcjami elektronicznej smyczy.

Tokeny NFC

Tokeny komunikacji bliskiego pola (NFC) w połączeniu z tokenem Bluetooth mogą działać w kilku trybach, dzięki czemu działają zarówno w stanie połączonym, jak i rozłączonym. Uwierzytelnianie NFC działa, gdy jest bliżej niż 1 stopa (0,3 metra). Protokół NFC pokonuje krótkie odległości do czytnika, podczas gdy połączenie Bluetooth służy do dostarczania danych z tokenem w celu umożliwienia uwierzytelniania. Również wtedy, gdy łącze Bluetooth nie jest połączone, token może podawać lokalnie przechowywane informacje uwierzytelniające w zgrubnym pozycjonowaniu do czytnika NFC i zwalniając z dokładnego pozycjonowania do złącza.

Tokeny oprogramowania do jednokrotnego logowania

Niektóre rodzaje Single Sign-On (SSO) rozwiązań, jak przedsiębiorstwa single sign-on , użyj token do przechowywania oprogramowania, które pozwala na bezproblemową i napełniania uwierzytelniania hasłem. Ponieważ hasła są przechowywane w tokenie, użytkownicy nie muszą pamiętać swoich haseł i dlatego mogą wybierać bezpieczniejsze hasła lub mieć przypisane bezpieczniejsze hasła. Zwykle większość tokenów przechowuje skrót kryptograficzny hasła, dzięki czemu w przypadku złamania tokenu hasło jest nadal chronione.

Programowalne tokeny

Programowalne tokeny są sprzedawane jako „wstawiany” zamiennik aplikacji mobilnych, takich jak Google Authenticator (miniOTP). Mogą być używane jako zamiennik aplikacji mobilnej, a także równolegle jako kopia zapasowa.

Luki

Wszelkie środki i środki zabezpieczające dane mogą zostać przezwyciężone. Dotyczy to również tokenów bezpieczeństwa. Głównym zagrożeniem jest nieostrożna operacja. Użytkownicy powinni być świadomi stałych opcji zagrożeń.

Utrata i kradzież

Najprostszą luką w zabezpieczeniach dowolnego kontenera haseł jest kradzież lub utrata urządzenia. Szanse na to, że tak się stanie, lub stanie się nieświadome, można zmniejszyć za pomocą fizycznych środków bezpieczeństwa, takich jak zamki, elektroniczna smycz lub czujnik ciała i alarm. Skradzione tokeny mogą stać się bezużyteczne przy użyciu uwierzytelniania dwuskładnikowego . Zazwyczaj w celu uwierzytelnienia należy wprowadzić osobisty numer identyfikacyjny (PIN) wraz z informacjami dostarczonymi przez token w tym samym czasie, co wyjście tokena.

Napadający

Każdy system, który umożliwia użytkownikom uwierzytelnianie się za pośrednictwem niezaufanej sieci (takiej jak Internet), jest podatny na ataki typu man-in-the-middle. W tego typu ataku oszust działa jako „pośrednik” użytkownika i legalnego systemu, pozyskując tokeny wyjściowe od uprawnionego użytkownika, a następnie dostarczając je samemu systemowi uwierzytelniania. Ponieważ wartość tokena jest matematycznie poprawna, uwierzytelnianie się powiedzie i oszust uzyskuje dostęp. Citibank trafił na czołówki gazet w 2006 roku, kiedy jego użytkownicy biznesowi wyposażeni w sprzętowe tokeny padli ofiarą dużego ataku phishingowego typu „ man-in-the-middle” z siedzibą na Ukrainie .

Naruszenie kodów

W 2012 roku zespół badawczy Prosecco w INRIA Paris-Rocquencourt opracował skuteczną metodę wydobywania tajnego klucza z kilku urządzeń kryptograficznych PKCS #11 , w tym SecurID 800. Wyniki te zostały udokumentowane w raporcie technicznym INRIA RR-7944, ID hal-00691958 i opublikowany na CRYPTO 2012.

Podpis cyfrowy

Zaufany jako zwykły podpis odręczny, podpis cyfrowy musi być złożony kluczem prywatnym znanym tylko osobie upoważnionej do składania podpisu. Tokeny, które umożliwiają bezpieczne generowanie i przechowywanie kluczy prywatnych na pokładzie, umożliwiają bezpieczne podpisy cyfrowe i mogą być również używane do uwierzytelniania użytkowników, ponieważ klucz prywatny służy również jako dowód tożsamości użytkownika.

Aby tokeny identyfikowały użytkownika, wszystkie tokeny muszą mieć jakiś unikalny numer. Nie wszystkie podejścia w pełni kwalifikują się jako podpisy cyfrowe zgodnie z niektórymi przepisami krajowymi. Tokenów bez wbudowanej klawiatury lub innego interfejsu użytkownika nie można używać w niektórych scenariuszach podpisywania , takich jak potwierdzanie transakcji bankowej na podstawie numeru rachunku bankowego, na który mają zostać przelane środki.

Zobacz też

Bibliografia

Ogólne odniesienia

Zewnętrzne linki