Sicherheitstoken

Ein mit einem Laptop angeschlossener GolDkey Security -Token

A Sicherheitstoken ist ein peripheres Gerät Wird verwendet, um Zugriff auf eine elektronisch umgestellte Ressource zu erhalten. Das Token wird zusätzlich zu oder anstelle von a verwendet Passwort. Es wirkt wie ein elektronischer Schlüssel, um auf etwas zuzugreifen. Beispiele sind eine drahtlose Schlüsselkarte Öffnen einer verschlossenen Tür oder im Falle eines Kunden, der versucht, online auf sein Bankkonto zuzugreifen, kann die Verwendung eines von einem Bank geplanten Tokens beweisen, dass der Kunde, der er behauptet, zu sein.

Einige Token können aufbewahren Kryptografische Schlüssel Das kann verwendet werden, um a zu generieren Digitale Unterschrift, oder Biometrisch Daten, wie z. Fingerabdruck Einzelheiten. Einige können auch speichern Passwörter.[1] Einige Designs enthalten manipulationssicher Verpackung, während andere kleine Tastaturen enthalten, um einen Einstieg von a zu ermöglichen STIFT oder eine einfache Taste, um eine generierende Routine mit einer Anzeigefunktion zu starten, um eine generierte Schlüsselnummer anzuzeigen. Verbundene Token verwenden eine Vielzahl von Schnittstellen einschließlich USB, Near Field Communication (NFC), Radiofrequenz-Identifikation (Rfid) oder Bluetooth. Einige Token verfügen über eine Audio-Fähigkeit, die für sehbehinderte Menschen ausgelegt ist.

Passworttypen

Alle Token enthalten einige geheime Informationen, die verwendet werden, um die Identität zu beweisen. Es gibt vier verschiedene Möglichkeiten, wie diese Informationen verwendet werden können:

Asynchrones Passwort -Token für HSBC Online Banking.
Statische Passwort -Token
Das Gerät enthält ein Passwort, das physisch versteckt ist (für den Besitzer nicht sichtbar), aber für jede Authentifizierung übertragen wird. Dieser Typ ist anfällig für Wiederholungsangriffe.
Synchrones dynamisches Passwort -Token
Ein Timer wird verwendet, um sich durch verschiedene von a erzeugte Kombinationen zu drehen Kryptografischer Algorithmus. Der Token und der Authentifizierungsserver müssen synchronisierte Uhren haben.
Asynchrones Passwort -Token
A einmaliges Passwort wird ohne die Verwendung einer Uhr erzeugt, entweder von a einmalige Pad oder kryptografischer Algorithmus.
Challenge -Reaktion Zeichen
Verwendung öffentliche SchlüsselkryptographieEs ist möglich, den Besitz eines privaten Schlüssels zu beweisen, ohne diesen Schlüssel zu enthüllen. Der Authentifizierungsserver verschlüsselt eine Herausforderung (normalerweise eine Zufallszahl oder zumindest Daten mit einigen zufälligen Teilen) mit einem öffentlichen Schlüssel; Das Gerät besitzt eine Kopie des passenden privaten Schlüssels, indem es die entschlüsselte Herausforderung bereitstellt.

Zeitsynchronisierte einmalige Kennwörter ändern sich ständig in einem festgelegten Zeitintervall. z. B. einmal pro Minute. Um dies zu tun, muss eine Art Synchronisation zwischen dem bestehen Klient's Token und die Authentifizierung Server. Bei getrennten Token erfolgt diese Zeitsynchronisation, bevor der Token an die verteilt ist Klient. Andere Token -Typen führen die Synchronisation durch, wenn das Token in eine eingefügt wird Eingabegerät. Das Hauptproblem bei zeitsynchronisierten Token ist, dass sie im Laufe der Zeit nicht synchronisiert werden können.[2] Einige solche Systeme wie RSAs SecuridErmöglichen Sie dem Benutzer, den Server mit dem Token neu zu synchronisieren, manchmal indem Sie mehrere aufeinanderfolgende Passcodes eingeben. Die meisten können auch keine austauschbaren Batterien haben und dauern nur bis zu 5 Jahre, bevor sie ersetzt werden müssen - daher sind zusätzliche Kosten vorliegen.[3] Eine andere Art von einmaligem Passwort verwendet einen komplexen mathematischen Algorithmus, wie z. Hash -Kette, um eine Reihe von einmaligen Passwörtern aus einem geheimen gemeinsamen Schlüssel zu generieren. Jedes Passwort ist unbeholfen, auch wenn frühere Passwörter bekannt sind. Die Open-Source EID Der Algorithmus ist standardisiert; Andere Algorithmen werden von uns abgedeckt Patente. Jedes Passwort ist beobachtbar unvorhersehbar und unabhängig von früheren, wobei ein Gegner nicht erraten kann, was das nächste Passwort sein kann, auch mit Kenntnis aller vorherigen Passwörter.

Physische Typen

Token können enthalten Chips mit Funktionen, die von sehr einfach bis sehr komplex variieren, einschließlich mehrerer Authentifizierungsmethoden.

Die einfachsten Sicherheitstoken benötigen keine Verbindung zu a Computer. Die Token haben eine physische Anzeige; Der authentifizierende Benutzer gibt einfach die angezeigte Nummer ein, um sich anzumelden. Andere Token stellen mithilfe von drahtlosen Techniken wie drahtlose Techniken eine Verbindung zum Computer her, wie z. B. Bluetooth. Diese Token übertragen eine Schlüsselsequenz auf den lokalen Client oder an einen nahe gelegenen Zugangspunkt.

Alternativ ist eine andere Form von Token, die seit vielen Jahren weit verbreitet ist SMS, oder USSD).

Noch andere Token stecken in den Computer ein und erfordern möglicherweise a STIFT. Abhängig von der Art des Tokens die Computer OS Lesen Sie dann entweder den Schlüssel vom Token und führen Sie einen kryptografischen Betrieb aus oder bitten Sie die Firmware des Tokens, diesen Vorgang auszuführen.

Eine verwandte Anwendung ist die Hardware Dongle erforderlich von einigen Computerprogrammen, um das Eigentum an der Software. Der Dongle wird in einen platziert Eingabegerät und die Software Zugriff auf die E/A -Gerät fraglich zu autorisieren die Verwendung der Verwendung der Software fraglich.

Kommerzielle Lösungen werden von einer Vielzahl von Anbietern bereitgestellt, die jeweils ihre eigene proprietäre (und häufig patentierte) Implementierung von unterschiedlichen Sicherheitsmerkmalen haben. Token Designs, die bestimmte Sicherheitsstandards erfüllen FIPS 140, ein föderaler Sicherheitsstandard. Token ohne jegliche Zertifizierung werden manchmal als verdächtig angesehen, da sie häufig nicht akzeptierte staatliche oder Branchensicherheitsstandards entsprechen, nicht durch strenge Tests durchgeführt wurden und wahrscheinlich nicht das gleiche Maß an kryptografischer Sicherheit bieten können wie Token -Lösungen, die ihre hatten Entwürfe von Drittanbietern unabhängig voneinander geprüft.

Getrennte Token

Ein getrennter Token. Die Nummer muss in die kopiert werden Passcode Feld von Hand.

Trennungspunkte haben weder eine physische noch logische Verbindung zum Kundencomputer. In der Regel benötigen sie kein spezielles Eingabegerät und verwenden stattdessen einen integrierten Bildschirm, um die generierten Authentifizierungsdaten anzuzeigen, die der Benutzer über eine Tastatur oder eine Tastatur manuell eingibt. Unschreibliche Token sind die am häufigsten verwendete Art von Sicherheitstypen (normalerweise in Kombination mit einem Passwort) in der Zwei-Faktor-Authentifizierung zur Online-Identifizierung.[4]

Verbundene Token

Angeschlossene Token sind Token, die physisch mit dem Computer verbunden sein müssen, mit dem der Benutzer authentifiziert. Token in dieser Kategorie übertragen die Authentifizierungsinformationen automatisch an den Client -Computer, sobald eine physische Verbindung hergestellt wurde, sodass der Benutzer die Authentifizierungsinformationen manuell eingeben muss. Um ein angeschlossenes Token zu verwenden, muss jedoch das entsprechende Eingabergerät installiert werden. Die häufigsten Arten von physikalischen Token sind Smartcards und USB -Token (auch genannt Sicherheitsschlüssel), die einen Smart Card -Leser und einen USB -Anschluss erfordern. Zunehmend, Fido2 Token, unterstützt von der offenen Spezifikationsgruppe Fido Alliance sind für Verbraucher mit dem Mainstream -Browser -Support ab 2015 beliebt geworden und werden von beliebten Websites und Social -Media -Websites unterstützt.

Älter PC -Karte Token werden dazu gebracht, hauptsächlich mit zu arbeiten Laptops. PC -Karten vom Typ II werden als Token bevorzugt, da es halb so dick ist wie Typ III.

Der Audio -Jack -Port ist eine relativ praktische Methode, um eine Verbindung zwischen mobilen Geräten wie iPhone, iPad und Android und anderen Zubehör herzustellen. Das bekannteste Gerät heißt Quadrat, ein Kreditkartenleser für iOS- und Android -Geräte.

Einige verwenden eine spezielle Zweckschnittstelle (z. B. die Krypto -Zündschlüssel von den Vereinigten Staaten eingesetzt Nationale Sicherheitsbehörde). Token können auch als Foto verwendet werden Ausweis. Handys und PDAs kann auch als Sicherheitstoken mit ordnungsgemäßer Programmierung dienen.

Smartcards

Viele verbundene Token verwenden die Smart Card -Technologie. Smartcards können sehr günstig sein (rund zehn Cent) und enthält bewährte Sicherheitsmechanismen (wie von Finanzinstituten wie Bargeldkarten verwendet). Die rechnerische Leistung von Smartcards ist jedoch aufgrund des extrem geringen Stromverbrauchs und des ultradünnen Formfaktoranforderungen jedoch oft begrenzt.

Smart-Card-basiert USB Token, die a enthalten Chipkarte Chip Inside bietet die Funktionalität sowohl von USB -Token als auch von Smartcards. Sie ermöglichen eine breite Palette von Sicherheitslösungen und bieten die Fähigkeiten und Sicherheit einer herkömmlichen Smartcard, ohne ein einzigartiges Eingabegerät zu benötigen. Von dem ComputerbetriebssystemSichtweise ein solcher Token ist ein USB-vernetzter Smart Card-Leser mit einer nicht-frequenten Smartcard.[5]

Kontaktlose Token

Im Gegensatz zu angeschlossenen Token bilden kontaktlose Token eine logische Verbindung zum Client -Computer, benötigen jedoch keine physische Verbindung. Das Fehlen der Notwendigkeit eines physischen Kontakts macht sie bequemer als sowohl verbundene als auch getrennte Token. Infolgedessen sind kontaktlose Token eine beliebte Wahl für Schlüsselloser Eintrag Systeme und elektronische Zahlungslösungen wie z. Mobile Speedpass, was verwendet Rfid Übertragung von Authentifizierungsinformationen von einem Schlüsselbund -Token. Es wurden jedoch verschiedene Sicherheitsbedenken hinsichtlich RFID -Token nach Forschern bei geäußert Johns Hopkins Universität und RSA -Labors entdeckte, dass RFID -Tags leicht geknackt und geklont werden konnten.[6]

Ein weiterer Nachteil ist, dass kontaktlose Token ein relativ kurzes Batterieleben haben. normalerweise nur 5 bis 6 Jahre, was im Vergleich zu niedrig ist USB Token, die möglicherweise mehr als 10 Jahre dauern. Einige Token erlauben jedoch, dass die Batterien geändert werden, wodurch die Kosten gesenkt werden.

Bluetooth -Token

Das Bluetooth Protokolle mit geringer Energie dienen für einen lang anhaltenden Batterie -Lebenszyklus des drahtlosen Getriebes.

  • Die Übertragung von inhärenten Bluetooth -Identitätsdaten ist die niedrigste Qualität für die Unterstützung der Authentifizierung.
  • Eine bidirektionale Verbindung für den Transaktionsdaten -Austausch dient für die anspruchsvollsten Authentifizierungsverfahren.

Die Automatikübertragungssteuerung steuert jedoch zu Versuchen nach Schätzungen der radialen Entfernung. Die Flucht ist außer dem standardisierten Bluetooth -Stromversabtungsalgorithmus erhältlich, um eine Kalibrierung für minimal erforderliche Übertragungsleistung bereitzustellen.[7]

Bluetooth -Token werden häufig mit einem USB -Token kombiniert und arbeiten somit sowohl in einem vernetzten als auch in einem getrennten Zustand. Die Bluetooth -Authentifizierung funktioniert bei näher als 10 Metern. Wenn die Bluetooth -Verbindung nicht ordnungsgemäß betrieben wird, kann das Token in a eingefügt werden USB Eingabegerät Funktionieren.

Eine andere Kombination ist mit Chipkarte So speichern Sie auch lokal größere Mengen an Identitätsdaten und Prozessinformationen.[8] Ein weiteres ist ein kontaktloses BLE -Token, das sichere Speicher- und Token -Freisetzung von Fingerabdruckanmeldeinformationen kombiniert.[9]

Im USB-Betriebsmodus erfordert die Anmeldung die Pflege des Tokens, während er mechanisch an den USB-Stecker gekoppelt ist. Der Vorteil des Bluetooth-Betriebsmodus ist die Möglichkeit, die Abteilung mit Entfernungsmetriken zu kombinieren. Die jeweiligen Produkte sind nach den Konzepten der elektronischen Leine vorbereitet.

NFC -Token

Near Field Communication (NFC) Token in Kombination mit einem Bluetooth -Token kann in mehreren Modi betrieben werden und arbeiten somit sowohl in einem verbundenen als auch in einem getrennten Zustand. Die NFC -Authentifizierung funktioniert bei näher als 1 Fuß (0,3 Metern). Das NFC -Protokoll brücken kurze Entfernungen zum Leser, während die Bluetooth -Verbindung mit dem Token für die Datenversorgung dient, um die Authentifizierung zu ermöglichen. Auch wenn die Bluetooth -Verbindung nicht angeschlossen ist, kann das Token die lokal gespeicherten Authentifizierungsinformationen in der groben Positionierung zum NFC -Leser bedienen und entlastet von der genauen Positionierung zu einem Stecker.

Single Sign-On-Software-Token

Einige Arten von Einmalige Anmeldung (SSO) Lösungen wie Enterprise Single Sign-OnVerwenden Sie das Token, um Software zu speichern, die eine nahtlose Authentifizierung und Kennwortfüllung ermöglicht. Da die Passwörter am Token gespeichert sind, müssen Benutzer sich nicht an ihre Passwörter erinnern und daher sicherere Passwörter auswählen oder sicherere Passwörter zugewiesen haben. Normalerweise speichern die meisten Token einen kryptografischen Hash des Passworts, sodass das Passwort immer noch geschützt ist, wenn das Token gefährdet ist.

Programmierbare Token

Programmierbare Token werden als "Drop-In" -Tersatz mobiler Anwendungen wie z. B. vermarktet Google Authenticator (Miniotp[10]). Sie können als Ersatz für mobile Apps sowie parallel als Backup verwendet werden.

Schwachstellen

Verlust und Diebstahl

Die einfachste Sicherheitsanfälligkeit bei jedem Passwortcontainer ist Diebstahl oder Verlust des Geräts. Die Wahrscheinlichkeit, dass dies geschieht oder nicht bewusst ist, können durch physikalische Sicherheitsmaßnahmen wie Schlösser, elektronische Leine oder Körpersensor und Alarm reduziert werden. Gestohlene Token können durch Verwendung nutzlos gemacht werden Zwei-Faktor-Authentifizierung. Häufig, um sich zu authentifizieren, a persönliche Identifikationsnummer (PIN) muss zusammen mit den Informationen, die vom Token zur gleichen Zeit wie die Ausgabe des Tokens bereitgestellt werden, eingegeben werden.

Angreifen

Jedes System, das es Benutzern ermöglicht, über ein nicht vertrauenswürdiges Netzwerk (z. B. das Internet) zu authentifizieren, ist anfällig für Angriffe des Menschen in den Mitte. Bei dieser Art von Angriff fungiert ein Betrüger als "Go-Tween" des Benutzer und des legitimen Systems, das die Token-Ausgabe des legitimen Benutzers angestrahlt und dann das Authentifizierungssystem selbst versorgt. Da der Token -Wert mathematisch korrekt ist, ist die Authentifizierung erfolgreich und dem Betrüger wird der Zugang gewährt. Die Citibank machte 2006 Headline-Nachrichten, als seine Geschäftsanwender von Hardware-geklärt wurden. Phishing Attacke.[11][12]

Verstoß gegen Codes

Im Jahr 2012 entwickelte das Prosecco-Forschungsteam von INRIA Paris-Rocquencourt eine effiziente Methode, um den geheimen Schlüssel aus mehreren zu extrahieren PKCS #11 kryptografische Geräte, einschließlich der Securid 800.[13][14] Diese Ergebnisse wurden im technischen Bericht von INRIA RR-7944, ID HAL-00691958, dokumentiert,[15] und veröffentlicht bei Crypto 2012.[16]

Digitale Unterschrift

Die digitale Signatur muss als regelmäßige handgeschriebene Signatur vertraut und mit einem privaten Schlüssel erfolgen, der nur der Person bekannt ist, die zur Ermittlung der Unterschrift bekannt ist. Token, mit denen sich die sichere Erzeugung und Speicherung von privaten Schlüssel in den Bord ermöglichen, ermöglichen sichere digitale Signaturen und können auch für die Benutzerauthentifizierung verwendet werden, da der private Schlüssel auch als Beweis für die Identität des Benutzers dient.

Damit Token den Benutzer identifiziert, müssen alle Token eine einzigartige Zahl haben. Nicht alle Ansätze qualifizieren sich vollständig als digitale Signaturen Nach einigen nationalen Gesetzen. Token ohne Tastatur oder einen anderen in der Bordtaste Benutzeroberfläche kann in einigen nicht verwendet werden Unterzeichnung Szenarien wie die Bestätigung einer Bankgeschäfte basierend auf der Bankkontonummer, auf die die Mittel übertragen werden sollen.

Siehe auch

Verweise

  1. ^ "Nur Keey -Hardware -Passwort -Manager - eine Pin, an die Sie sich erinnern können". Nur Key. Abgerufen 16. April 2018.
  2. ^ RD, Token2 (2019-01-07). "Zeitdrift: Ein großer Nachteil von TOTP -Hardware -Token". Mittel. Abgerufen 2020-11-21.
  3. ^ "Zeitdrift in TOTP -Hardware -Token erklärt und gelöst - Protectimus -Lösungen". Protecus Timus. 2019-06-03. Abgerufen 2020-11-21.
  4. ^ De Borde, Duncan (2007-06-28). "Zwei-Faktor-Authentifizierung" (PDF). Siemens Insight Consulting. Archiviert von das Original (PDF) Am 2012-01-12. Abgerufen 2009-01-14.
  5. ^ Spezifikation für Kartenkarten -Schnittstellengeräte für integrierte Schaltungen Archiviert 2005-12-29 bei der Wayback -Maschine, USB.org
  6. ^ Biba, Erin (2005-02-14). "Steckt Ihr Auto ein Sicherheitsrisiko?". PC Welt. Abgerufen 2009-01-14.
  7. ^ "Verfahre Zum Steuern der Friigabe Einer Einrichtung Oder Einer Dienstes, Als Master Ausgebildete Sendeempfangseinrichtung Sowie -System mit Derartiger Einrichtung". dpma.de. Abgerufen 16. April 2018.
  8. ^ "CGToken | certgate". www.certgate.com. Archiviert von das Original Am 2013-10-09.
  9. ^ "Biometrisches U2F OTP Token - HYPR". HYPR Corp. Abgerufen 16. April 2018.
  10. ^ Programmierbare Hardware -Token Token2 Miniotp
  11. ^ Leyden, John (2006-07-13). "Phishers reißen in die Zwei-Faktor-Authentifizierung". Das Register. Abgerufen 2018-09-25.
  12. ^ Krebs, Brian (10. Juli 2006). "Citibank Phish Parods 2-Faktor-Authentifizierung". Die Washington Post. Abgerufen 2018-09-25.
  13. ^ Sengupta, Somini (2012-06-25). "Informatiker brechen den Sicherheits -Token -Schlüssel in Rekordzeit". New York Times. Abgerufen 2012-06-25.
  14. ^ Owano, Nancy (2012-06-27). "Team Prosecco ist die Sicherheitstoken ab". Phys.org. Abgerufen 2014-03-29.
  15. ^ "Prosecco :: Publikationen". Abgerufen 2014-03-29.
  16. ^ "Akzeptierte Papiere Crypto 2012". Abgerufen 2014-03-29.
Allgemeine Referenzen

Externe Links