Криптография для масс-маркета: почему эксперты рекомендуют U2F-токены
Погружаясь в интернет, массовый пользователь уделяет недостаточно внимания своей информационной безопасности. Разные вендоры и сервис-провайдеры предлагают защитить свою информацию при помощи SMS, биометрии, U2F-токенов. Последние наиболее эффективны, уверенны эксперты.
Источник: CNews.ru. Криптография для масс-маркета: почему эксперты рекомендуют U2F-токены
Огромное количество людей по всему миру выбрали интернет как основное средство коммуникации. Парадоксально, но пользователи часто выкладывают в сети информацию, которой они ни за что не поделились бы в реальном мире: откровенные фотографии, сведения о банковских счетах, дорогих покупках, конфиденциальная переписка и т.д. Закономерно, что появились и охотники за этими персональными данными. В роли жертвы все чаще и чаще оказываются обычные граждане по всему миру, пренебрегающие элементарными средствами информационной безопасности.
«Бизнес, особенно это касается крупных компаний, тратит немалые средства на информационную безопасность, потому что понимает ценность той информации, которой владеет. В то же время, обычные пользователи — физические лица — остаются крайне уязвимыми, так как, кроме антивирусов, почти никакие средства персональной защиты на массовом рынке не представлены, — комментирует заместитель директора департамента информационной безопасности компании „РТС-Тендер“ Дмитрий Скрипкин. — По моему мнению, активное развитие социальных сетей и мессенджеров, должно-таки образумить людей и заставить уделить внимание защите своих аккаунтов в интернете».
Новая международная структура FIDO Alliance, объединившая ведущих мировых ИТ-вендоров, банки и представителей электронной торговли, начала разрабатывать стандарты строгой аутентификации для, так называемого, масс-маркета. В качестве второго фактора был выбран U2F-токен.
Безопасный выбор
Плюсы и минусы присущи всем технологиям безопасности. Важен их баланс. Токен (он же электронный ключ, криптографический токен) — это миниатюрный защищенный программно-аппаратный комплекс, предназначенный для идентификации его владельца, обеспечения безопасного удаленного доступа к информационным ресурсам, хранения информации и т.д. В корпоративном секторе они давно нашли свое применение.
Альтернативой аппаратным средствам могут быть различные технологии, например, биометрия. Достаточно часто можно встретить как внешние, так и встроенные в смартфон сканеры отпечатков пальцев. Кто-то использует для аутентификации голос, радужную оболочку глаз, рисунок вен ладони. Особенно биометрический метод популярен у производителей мобильных устройств.
Существуют и технологии, которые привлекают третьи доверенные стороны (сервисы) для надежной аутентификации. Например, это может быть SMSс одноразовым кодом для ввода в браузер с клавиатуры.
У всех технологий есть свои минусы. Например, у обычных брелоков (которые генерируют и отображают на экране некий секретный одноразовый пароль) и SMS есть несколько родовых болезней. В первую очередь, это необходимость использования клавиатуры компьютера для ввода цифр и текста, сгенерированного брелоком или присланного в SMS. Именно здесь пользовательские учетные данные может поджидать вредоносное ПО, способное перехватить и скомпрометировать их. И не всегда антивирус способен предотвратить кражу, он тоже не всесилен. Например, если между разъемами клавиатуры и компьютера инсайдерами установлены перехватывающие устройства — снифферы.
Злоумышленники уже научились перехватывать SMS, скрывать их от пользователя и имитировать. Поэтому в качестве серьезного второго фактора аутентификации их рассматривать не рекомендуется.
Что касается биометрии, то ее плюсы очевидны — отпечаток пальца, скажем, потерять нельзя, он всегда с собой. Но подделать этот отпечаток, как и SMS, особенного труда не стоит.
Ключевая пара, как гарантия стандарта U2F
В результате глубокого анализа массы различных факторов и технологических ограничений, экспертами FIDO Alliance в качестве физического носителя второго фактора аутентификации был выбран именно U2F-токен. Практически это выглядит так: в процессе аутентификации пользователя, помимо проверки имени пользователя и пароля, целевой сайт убеждается в наличии у пользователя U2F-токена путем проверки электронной подписи, созданной этим устройством.
«По факту, U2F-токен — это персональное „мобильное“ устройство, позволяющее защитить доступ к своим данным в сети, одно из самых простых и доступных решений для пользователя. К тому же, если такое устройство оснащено технологией на основе NFC или Bluetooth, оно может стать универсальным решением как для „десктопных“ решений, так и для мобильных девайсов, которые в последнее время набирают все большую популярность», — добавляет Дмитрий Скрипкин.
Пользователь может применять один и тот же U2F-токен для доступа к различным веб-ресурсам — в этом смысле его можно сравнить со связкой ключей к различным сайтам. Когда пользователь сайта регистрирует токен для своей учетной записи, на нем создается ключевая пара, которая используется для взаимодействия только с этим сайтом.
«Стандартами FIDO заложено, что проверяющая сторона может определить основные характеристики используемого клиентом U2F-токена — например, кто является его производителем, как именно в нем реализована функциональность электронной подписи — аппаратно или программно. Это позволяет, скажем, поставщику финансовых услуг принять решение о поддержке аппаратных U2F-токенов только определенного производителя. Дополнительной гарантией надежности и защищенности U2F-токенов должны стать различные сертификации с привлечением третьих сторон», — поясняет Анатолий Лебедев, доцент кафедры информационной безопасности МГТУ им. Н.Э. Баумана.
Протокол U2F позволяет воспользоваться браузером или любым другим приложением, поддерживающим его, для обмена данными с U2F-токеном пользователя с целью обеспечения строгой аутентификации. Регистрация U2F-токена и аутентификация с его помощью осуществляется пользователем из среды браузера, никакого дополнительного ПО не требуется. При этом само устройство определяется компьютером или мобильным устройством, как стандартная клавиатура, что не требует никаких дополнительных драйверов и делает технологию по-настоящему универсальной.
U2F-токен стал высокотехнологичным устройством
U2F-токен может быть выполнен в различных вариантах, как то: USB-брелок, NFC-устройство, устройство Bluetooth LE. Настоятельно рекомендуется обеспечивать безопасность аппаратными средствами, однако это не является необходимым требованием стандарта. Кроме того, протокол U2F предоставляет аттестационный механизм, который позволяет проверяющей онлайн-службе идентифицировать основные характеристики U2F-токена и на основе этих данных в зависимости от установленной политики разрешить или запретить обмен данными с ним.
Российская компания «Аладдин Р.Д.» выпускает U2F-токены по требованиям этого стандарта с 2015 года. Устройства изготавливаются на собственном производстве — это позволяет полностью исключить вероятность аппаратных «закладок».
«Как говорится, не было бы счастья, да несчастье помогло, — вспоминает Антон Крячков, руководитель направления управления знаниями компании „Аладдин Р.Д.“. — Некоторые из клиентов нашей компании, помимо токенов JaCarta, использовали в своей работе также и U2F-токены, произведенные шведской компанией Yubico. Нас уже давно спрашивали, почему мы не сделаем такие же устройства. Точкой принятия решения стал день, когда мы узнали, что во исполнение санкций прекратились поставки на российский рынок U2F-токенов этого известного бренда. Мы поняли, что это шанс для нашей компании, возможность помочь пользователям и углубились в изучение спецификаций U2F, написание программного кода и так далее. И вот, пожалуйста, продукт мирового уровня под брендом JaCarta производится у нас в стране и использует полностью отечественное ПО».
Конечно же, опыт Yubico было бы глупо не использовать. Поэтому в токене применяются отлично зарекомендовавшие себя по банковским, смарт- и SIM-картам защищенные микроконтроллеры производства компании NXP Semiconductors N. V. с использованием операционной системы Java Card Open Platform (JCOP).
JCOP — это операционная система для смарт-карт с виртуальной машиной Java Card для систем сильной идентификации личности и платежных систем. Первоначально JCOP была разработана корпорацией IBM, затем получила широкую поддержку альянса Globa lPlatform, международной организации гражданской авиации ICAO. Благодаря открытой архитектуре сторонним разработчикам предоставляется возможность писать свои криптографические приложения (апплеты) в соответствии с национальными стандартами, чем не преминули воспользоваться программисты «Аладдин Р.Д.».
Таким образом, развитие технологий производства компонентов для смарт-карт и универсального ПО для их работы позволило FIDO Alliance рекомендовать всем пользователям сети интернет для надежной двухфакторной аутентификации технологию U2F-токенов, избавленной от множества недостатков иных технологий на базе биометрии и т.д. А дополнительную гарантию безопасности привнесли отечественные разработчики и производители программно-аппаратных устройств, полностью совместимых с международным стандартом U2F.
Автор: Татьяна Ведешкина
Источник: CNews.Ru