Поделиться
USB-токены: правила выбора
Электронные ключи появились давно, но пока не сумели вытеснить стандартную процедуру идентификации по логину и паролю. Это более чем странно, учитывая, что современные USB-токены обеспечивают высокую степень защиты данных, практически неуязвимы перед внешними атаками и в достаточном количестве представлены на российском рынке. Главное, не ошибиться с выбором.Для обеспечения строгой аутентификации необходимо гарантировать надежность и достоверность принципала (объекта аутентификации - отправитель или получатель), А потому должны использоваться надежные криптографические алгоритмы и продуманные схемы аутентификации. Строгая аутентификация в данном контексте означает, что информация, непосредственно аутентифицирующая пользователя, не выходит за пределы токена, а лишь участвует в криптографических вычислениях, результатом которых будут некоторые последовательности нулей и единиц, расшифровав которые другой принципал абсолютно надежно, точно и достоверно определит отправителя. Именно, поэтому важно покупать модели со встроенным генератором ключей, чтобы такая важная информации не попадала из токена в компьютер. Кроме того, все важные криптографические вычисления по проверке сертификатов должны быть реализованы аппаратно, что также исключает возможность компрометации на уровне компьютерных приложений.
Основные характеристики предлагаемых на рынке продуктов
| Изделие | Емкость памяти, кб | Разрядность серийного номера | Поддерживаемые ОС | Алгоритмы шифрования/ хеширования |
| Rainbow Technologies, iKey 2032 | 32 | 64 | Windows 95, 98, NT, сертифицирован к 2000, XP, 2003, Windows 95, 98, NT, сертифицирован к 2000, XP, 2003, RedHat Linux, Mandrake, SuSe (сертифицирован ФСТЭК России) | MD5, RSA 1024/2048, DSA, DES, 3DES, RC2, RC4, SHA-1 |
| Rainbow Technologies, iKey 3000 | 32 | 64 | Windows 95, 98, ME,NT, 20003, сертифицирован к 2000, XP, RedHat Linux, Mandrake, SuSe | MD5, RSA 1024/2048, DSA, DES, 3DES, RC2, RC4, SHA-1 |
| Aladdin Knowledge Systems, eToken Pro | 16/32 | 32 | Windows 95, 98, ME,NT, 20003, Linux, DOS (сертифицирован ФСТЭК России) | RSA/1024, DSA, DES (ECB, CBC), 3DES (CBC), SHA-1, MAC, iMAC, MAC3, iMAC3 |
| "Актив" совместно с "Анкад", ruToken | 8-128 | 32 | Windows 98/ME/2000/XP/2003 | ГОСТ 28147-89 аппаратно, другие - программно |
| Feitian Technologies, ePass2000 | 16/32 | 64 | Windows 98/ME/2000/XP/2003, Linux and MACOS 8/9, OS X | RSA, DES, 3DES |
Источник: CNews Analytics, 2006
Перечисленные в таблице модели подходят для построения системы аутентификации на основе открытых ключей (PKI) с использованием сертификатов. Рассмотрим механизм такой аутентификации. Технология PKI построена на использовании двух математически связанных ключей – открытого и секретного (закрытого). С помощью открытого ключа сообщение шифруется, а с помощью секретного расшифровывается, при этом естественно, зная открытый ключ, нельзя получить закрытый. Такие криптографические преобразования реализовываются на основе RSA или DSA. Криптостойкость зашифрованных сообщений обеспечивается неразрешимостью за полиномиальное время двух математических задач: факторизации больших чисел на простые множители (RSA) и дискретного логарифмирования в простом конечном поле (DSA). Важнейшим плюсом, является то, что аутентификационная информация пользователя совсем не передается по сети, а лишь участвует в вычислениях, как на клиентской, так и на серверной стороне, что соответствует принципам строгой аутентификации. По такому принципу строится протокол аутентификации "запрос-ответ" (Handshake Authentication Protocol).Заметим, что поддержка работы RSA и DSA, в том числе и аппаратная генерация их ключей, с размером ключа 2048 бит является хорошим гарантом безопасности, который в принципе не может быть обеспечен протоколами симметричного шифрования – например, семейство алгоритмов DES. Обычно данные протоколы используются для шифрования трафика с использованием ключа, полученного после аутентификации принципала. Интересной особенностью продуктов ruToken является аппаратная реализация российского стандарта симметричного шифрования ГОСТ 28147-89, к числу достоинств которого можно отнести бесперспективность силовой атаки, эффективность реализации и высокое быстродействие на современных компьютерах.
Компании-производители указывают огромное количество реализованных алгоритмов шифрования/хеширования в своих описаниях к продуктам, однако, большинство из них - алгоритмы хеширования. Они представляют собой односторонние функции и используются для преобразования, например, PIN-кода или другой чувствительной информации для хранения в файловой системе токена, так как из хеша сложно восстановить PIN-код в понятном человеку виде. Таким образом, наличие большого числа алгоритмов хеширования не определяет "качество" токена. Хотя в некоторых случаях хеш-преобразования используются другими алгоритмами в качестве вспомогательных, поэтому стоит сразу определиться, поддержка каких алгоритмов вам необходима в работе информационной системы.
В ряде случаев необходима взаимная аутентификация – взаимная проверка подлинности участников информационного обмена (когда не только сервер проверяет подлинность пользователя, но и наоборот). Протоколы "запрос – ответ" идеально подходят для взаимной аутентификации с некоторым дополнением (такой протокол часто называют "рукопожатием").
Также, возможно, стоит обращать внимание на наличие государственного сертификата у того или иного продукта. Но, конечно, его отсутствие не говорит о несостоятельности продукта. Все они выполнены в соответствии с международными требованиями и отвечают международным стандартам. Наличие сертификатов скорее привлекательно для госструктур, так как там обязательно использование только лишь сертифицированных средств защиты информации. Возможно, иногда стоит купить более дешевое решение (например, ruToken), но которое будет способно в данном контексте обеспечить необходимый уровень безопасности. Именно поэтому так важна правильная оценка собственных потребностей перед внедрением системы аутентификации на основе USB-токенов.
Базовые возможности токенов:
- Авторизация пользователей в Microsoft-сетях: вход в домен по предъявлению токена, подключение к терминальному серверу по предъявлению токена, блокирование сессии пользователя после отсоединения токена.
- Безопасное использование электронной почты: электронная цифровая подпись почтовых сообщений, шифрование почтовых сообщений.
- Защищенный удаленный доступ к корпоративным ресурсам: безопасное подключение к сетям VPN, безопасная связь с защищенными web-ресурсами.
- Использование токена в качестве хранилища различных сертификатов и паролей.
Последнее на что хотелось обратить внимание, это на поддержку программного обеспечения и операционных систем, ведь зачастую, инфраструктура PKI внедряется в сети, давно действующей, где уже сформировался круг необходимых приложений для поддержания бизнес-задач. Так, для работы в Linux-среде лучшими решениями будут ключи iKey и eToken Pro. В действительности стоит обращать внимание на совместимость предлагаемого производителем готового решения с другими продуктами, а также на решения под определенные платформы, что в конечном итоге лишь облегчит как внедрение токенов, так и их использование.
Юрий Сергеев / CNews
Поделиться
Короткая ссылка
