Перепрограммируеммые OTP токены – будущее двухфакторной аутентификации

После того, как у пользователей Google и других ресурсов, поддерживающих технологию U2F, появилась возможность использовать аппаратные токены для защиты своих аккаунтов, вышло много статей о том, что аппаратные токены гораздо надежней программных или SMS. С этим трудно не согласиться. Давайте вспомним почему.

Почему аппаратные токены лучше

1. Злоумышленник может перехватить GSM сигнал, по которому передается SMS с одноразовым паролем.
2. Недавно обнаруженные вирусы, такие как Android.Bankosy или Acecard, способны перехватывать одноразовые пароли, передаваемые посредством не только SMS, но и голосовых звонков.
3. Одноразовый пароль, сгенерированный программным токеном, также может быть перехвачен, если смартфон жертвы будет заражен вирусом.
4. Смартфон может разрядиться в самый неподходящий момент, или вы можете оказаться вне зоны доступа сети.
   

В свою очередь, OTP пароли, сгенерированные при помощи аппаратных токенов, перехватить невозможно, так как аппаратные токены не подключаются к какой-либо сети (GSM, Internet) или компьютеру, если речь не идет об USB-токенах.

Почему перепрошиваемые аппаратные токены надежней обычных

При генерации одноразового пароля учитывается два основных параметра: секретный ключ + точное время (алгоритм TOTP) / счетчик событий (алгоритм HOTP) / случайное значение (алгоритм OCRA). Главная секретная составляющая этой схемы, без которой злоумышленник не может воссоздать одноразовый пароль – это секретный ключ. Потому основная задача компаний, предоставляющих услуги строгой аутентификации, и компаний, пользующихся этими услугами, - не допустить того, чтобы секретные ключи стали известны посторонним лицам.

Но секретные ключи вшиваются в токены еще на заводе-производителе. И до того, как токен попадет к конечному потребителю, он пройдет через руки внушительного числа людей. Таким образом, нельзя исключать вероятность того, что на одном из этапов производства секретные ключи могут быть скомпрометированы недобросовестным работником компании. То есть небольшой риск того, что секретный ключ токена, которым пользуетесь вы, ваши подчиненные или ваши клиенты, все же остается.

Решить эту проблему помогают перепрошиваемые бесконтактные аппаратные токены, которые появились на рынке 2FA совсем недавно. Выход подобных токенов был анонсирован компанией Protectimus .


Эти OTP токены выполнены в 2-х форм-факторах: обычная банковская карта ISO/IEC 7810 ID-1 (85.6 x 53.98 x 0.76 mm) Protectimus SLIM и мини карта Protectimus SLIM mini размером 64 x 38 mm. Они используют в своей работе алгоритм генерации одноразовых паролей TOTP. Но самое главное – эти OTP токены поддерживают технологию NFC и могут быть легко перепрошити при помощи специального приложения на обычном смартфоне. Это же приложение позволяет увидеть всю информацию о токене, а также выставить интервал времени, в течение которого одноразовый пароль будет оставаться валидным - 30 или 60 секунд.

Приобретая перепрошиваемые токены, заказчик получает возможность изменить вшитые еще на заводе секретные ключи на новые, известные только ему. Тем самым исключается любая возможность того, что секретные ключи этих токенов попадут в руки злоумышленников.

Такие OTP токены также подойдут для систем двухуровневой аутентификации реализованных на основе Google Authenticator. Секретные ключи в подобных решениях генерирует сама система, потому подключить к ней обычные аппаратные токены невозможно. Но вшить секретный ключ, сгенерированный системой в перепрошиваемый токен Protectimus серии SLIM с поддержкой NFC возможно.

Если система двухуровневой аутентификации реализована на основе Google Authenticator и секретные ключи генерируются самой системой, но есть желание использовать аппаратные токены, в этом случае также можно воспользоваться перепрошиваемыми токенами.

Использование перепрошиваемых токенов решает и еще одну проблему. Раньше один токен мог использоваться только на одном ресурсе. Если пользователь по какой-либо причине отказывался от ресурса, то его токен оставался бесполезным, его можно было просто выбросить. А стоимость одного аппаратного токена может доходить до $60 и больше. Перепрошиваемые токены можно использовать повторно. Достаточно лишь вшить в токен новый секретный ключ.

Перепрошиваемые токены для аутентификации в Google и других системах

Перепрошиваемые аппаратные токены отлично подходят для аутентификации на большинстве популярных ресурсов – Amazon, Bitbucket, Dropbox, Electronic Arts, Facebook, GitHub, Google Apps, KeePass, Kickstarter, Microsoft account, Salesforce.com, Teamviewer, VK, War Thunder и множестве других. Пользователь сможет легко вшить в OTP токен Protectimus с поддержкой NFC любой секретный ключ, который выдаст ему ресурс. С обычными аппаратными токенами проделать такое не получится.

Следует отметить также, что большинству пользователей Google, Facebook, Twitter, Dropbox и других подобных систем токены в виде смарт-карт покажутся более удобными. И причина довольно проста – такие токены не нужно подключать к USB. Многие привыкли заходить в сеть с планшета или смартфона, где попросту нет USB-разъема. Отличным выходом для таких пользователей станет аппаратный OTP токен карта.

Перепрошиваемые OTP токены открывают новые возможности, ранее недоступные в индустрии двухфакторной аутентификации. Такие токены более выгодны для компаний и более удобны для индивидуальных пользователей. Их можно подключить практически к любой системе строгой аутентификации, их можно использовать повторно без особого труда, они станут выгодным и удобным решением, как для компаний, так и для индивидуальных пользователей.