Wikipedista:Frojta/sandbox

Bezpečnostní token (případně autentizační token, šifrovací token, USB token, často označovaný pouze jako token) je převážně fyzické zařízení, které usnadňuje uživatelům zabezpečených služeb ověření pro přístup a užívání.

Bezpečnostní tokeny se používají pro ověření identity uživatele elektronickou cestou (například přihlášení k bankovnímu účtu). Token se používá namísto hesla nebo jako doplněk k ověření, že uživatel je tím, za koho se vydává. Token je tedy elektronický klíč, který lze využít v mnoha aplikacích.

Podle potřeb může token nést šifrovací klíč, elektronický podpis nebo například biometrické údaje. Takové tokeny jsou většinou vybaveny USB konektorem pro připojení. Speciálních tokeny se připojují bezdrátově (například pomocí RFID nebo Bluetooth) a generované klíče jsou odesílány přímo do klientského systému. Některá provedení jsou odolná násilnému vniknutí, jsou vybaveny klávesnicí pro aktivaci kódem PIN, nebo pouhým tlačítkem pro vygenerování a vypsání číselného kódu na displej.

Typy hesel

Každý typ tokenu nese skrytou informaci, jež se využívá k ověření identity. S touto informací může být nakládáno 4 následujícími způsoby:

1. Statické heslo: Token obsahuje heslo, jež je fyzicky skryto, ale je přenášeno při každé autentizaci. Tento typ je málo odolný opakovaným útokům.
2. Synchronní dynamické heslo: Za použití časovače jsou procházeny kombinace kódů vygenerované šifrovacím algoritmem. Časovač tokenu a autentizačního serveru musí být synchronizovány.
3. Asynchronní heslo: Bez použití časovače je generováno jednorázové heslo podle šifrovacího algoritmu nebo podle Vernamovy šifry.
4. Challenge-response (výzva-odpověď): Tento typ využívá veřejný klíč, podle kterého je možné prokázat vlastnictví privátního klíče bez jeho vyzrazení. Autentizační server zašifruje veřejným klíčem výzvu (obvykle náhodné číslo nebo data s náhodnými částmi). Token dokáže vlastníka tím, že privátním klíčem dešifruje výzvu.

Časově synchronizovaná jednorázová hesla

Časově synchronizovaná jednorázová hesla se mění konstantně v předem daném intervalu, například jednou za minutu. Pro správné fungování musí mezi klientovým tokenem a autentizačním serverem existovat synchronizace. Pro nepřipojitelná zařízení je časová synchronizace provedena při výrobě, tedy před tím, než jsou tokeny distribuovány klientům. Ostatní typy tokenů (připojitelné) provádí synchronizaci vždy při připojení k systému.

Hlavním problémem časově synchronizovaných tokenů je, že mohou v průběhu doby přestat být synchronizovány. Některé systémy, jako například RSA SecurID, umožňují sesynchronizovat server s tokenem, například po zadání pár po sobě jdoucích kódů. Mnoho takovýchto zařízení nemá vyměnitelnou baterii a po nejvýše 5 letech je nutné zařízení vyměnit.

Jednorázová hesla vypočtená matematickým algoritmem

Další typ tokenu s jednorázovými hesly využívá komplexní matematický algoritmus ke generování sérií jednorázových hesel z tajného sdíleného klíče. Každé z hesel je unikátní a neuhádnutelné, i přesto, že jsou předchozí hesla známá. Open source algoritmus iniciativy OATH je standartizovaným, ostatní algoritmy jsou kryty Patentovým úřadem USA.

Slabiny

Nejjednodušším způsobem získání jedinečných kódů je odcizení nebo ztráta zařízení. Pravděpodobnost takové události může být snížena fyzickými způsoby, jako například uzamčením, uschováním apod. Ukradená zařízení často bývají bezcenná, jelikož k autentizaci bývá zapotřebí PIN či uživatelské jméno (často obojí). Obvykle se při autentizaci zadává PIN zároveň s kódem z tokenu.

Každý systém, do kterého se uživatelé mohou přihlašovat z nezabezpečeného připojení je náchylný k útokům. Nejběžnějším typem útoku je Man in the middle, kdy útočník odposlechne data odesílaná klientem do systému a poté, dokud je kód aktuální, odešle požadavek do systému a je autentizován.

Reference

V tomto článku byl použit překlad textu z článku Security token na anglické Wikipedii.