Токены от Aladdin'а. Часть 1
Май, 2006
В большинстве компаний для аутентификации пользователей по-прежнему используется парольная защита, надёжность которой невелика. Альтернатива — имущественная аутентификация (предъявление выданного администратором устройства), но остаётся риск кражи, шантажа или утери “метки”. Оптимальные устройства для неё — токены с защищённой памятью, доступ к которой ограничен. Разберёмся, как устроен токен, на примере одного из лидеров рынка — eToken PRO компании Aladdin Knowledge Systems.
Форм-факторы. eToken PRO — серия из смарт-карты (нужен PC/SC-совместимый ридер) и аппаратного USB-ключа. На самом деле это одно устройство в двух форм-факторах: USB-токен — миниатюрный ридер, в который “зашит” чип смарт-карты. Ключ и смарт-карта полностью взаимозаменяемы и работают с любым ПО со встроенной поддержкой защищённых носителей Aladdin.
Аппаратная архитектура. Основа — микросхема смарт-карты Infineon SLE66CX под управлением Siemens CardOS/M4: 16-битный процессор (инструкции ECO 2000), память с кодом ОС (только чтение), ОЗУ, EEPROM для пользовательских данных, аппаратный генератор случайных чисел и криптопроцессор, ускоряющий шифрование. На аппаратном уровне реализованы симметричные и асимметричные криптоалгоритмы, генерация ключей шифрования и защищённое хранение информации. В смарт-карте микросхема размещается на пластике, обмен с компьютером берёт на себя ридер; в USB-ключе добавляется защищённый микроконтроллер с коммуникационными функциями (по функциональности — как PC/SC-ридер), разъём USB, светодиод режима работы и герметичный полупрозрачный корпус, который невозможно вскрыть без следов.
PIN-код. PIN превращает имущественную аутентификацию в многофакторную: нужно не только обладать устройством, но и знать ключевую информацию. Минимальная длина — 4 символа, но разработчики и эксперты советуют не менее 7 букв, цифр и спецсимволов; администратор безопасности может задать критерии качества (минимум символов, проверка по словарю, два регистра, запрет имён пользователей, телефонов и т.п.). Защита от перебора и подбора по словарю — встроенный счётчик неправильного ввода (по умолчанию 15, значение настраивается): при каждом некорректном вводе он уменьшается, при правильном — восстанавливается. По достижении нуля ключ блокируется: разблокировать может только администратор своим паролем, либо полное переформатирование с уничтожением пользовательской информации.
Уровни доступа к памяти — четыре режима:
- гостевой — без PIN: только открытая информация (ID смарт-карты, сведения о ключе, открытые файлы и каталоги) и только чтение;
- пользовательский — после ввода PIN, установленного администратором: чтение и запись открытой и закрытой информации (режим обычных пользователей);
- администраторский — пароль, задаваемый при форматировании, знает только администратор: в этом режиме возможна разблокировка ключа после многократного неверного PIN;
- специальный — для повторной инициализации (форматирования) с потерей всех данных; при первой инициализации задаётся отдельный PIN.
Жизненный цикл. Завод Aladdin (параметры по умолчанию) → IT-служба компании (инициализация, форматирование, загрузка сертификатов организации) → ответственный за безопасность (пароль администратора, PIN пользователя, загрузка сертификата и ключа человека) → конечный пользователь (постоянная работа, смена своего PIN). При блокировке — разблокировка офицером безопасности или переформатирование IT-службой (по политике организации); в некоторых случаях разблокировка невозможна — списание и утилизация, как и при выходе из строя из-за нарушений эксплуатации.
Сертифицированная модель. Отличается предустановленными по требованиям ФСТЭК (Гостехкомиссии) режимами настройки безопасности: наличием пароля администратора и более жёсткими критериями к качеству PIN. Может выпускаться со встроенными радиометками (RFID) для корпоративных систем физического доступа — одно устройство решает две задачи.
Это краткая аннотация статьи, полную версию читайте в первоисточнике.
Первоисточник: Infobez, май 2006
Эксперт: Редакционный эксперт