Функциями смарт-карт обладают все современные модели eToken, за исключением eToken PASS и MobilePASS.
Функциями USB флэш-накопителей обладают комбинированные устройства eToken NG-FLASH и eToken NG-FLASH (Java).
Функциями OTP-токенов (устройств для генерации одноразовых паролей) обладают eToken NG-OTP, eToken NG-OTP (Java), eToken PASS и MobilePASS.
По видам обеспечения
Различные модели eToken являются аппаратными устройствами, за исключением программных средств eToken Virtual и MobilePASS.
По программно-аппаратным платформам [3]
eToken NG-Flash, eToken NG-OTP и eToken PRO созданы на основе операционной системы Siemens CardOS и микросхем Infineon.
eToken GT, eToken NG-Flash (Java), eToken NG-OTP (Java) и eToken PRO (Java) построены на платформе eToken Java (операционная система Athena OS755 и микросхема Atmel), в которой реализована технология Java Card с учётом стандарта Global Platform.
По форм-факторам [4]
Форм-фактор
Модели
Иллюстрация
USB-ключ
eToken GT
eToken NG-FLASH
eToken NG-FLASH (Java)
eToken PRO [5]
eToken PRO (Java) [5]
USB-ключ eToken PRO
USB-ключ с генератором одноразовых паролей
eToken NG-OTP
eToken NG-OTP (Java)
eToken NG-OTP
OTP-токен
eToken PASS
eToken PASS
смарт-карта
eToken PRO [5]
eToken PRO (Java) [5]
Смарт-карта eToken PRO
Среда функционирования
Программное обеспечение eToken PKI Client, обеспечивающее работу eToken с функциями смарт-карт, функционирует под управлением операционных систем:
Аппаратные OTP-токены eToken требуют для своей работы сервер управления TMS, функционирующий на платформе Microsoft Windows Server 2003 или 2008.
Программное средство eToken Virtual способно функционировать под управлением операционных систем:
Программное средство MobilePASS функционирует в следующей среде:
Приложения
Check Point VPN-1 SecuRemote и VPN-1 SecureClient
Check Point VPN-1 SecuRemote и VPN-1 SecureClient поддерживают аутентификацию, основанную на использовании сертификатов открытого ключа и закрытых ключей в памяти смарт-карт и их аналогов. При наличии на клиентском компьютере драйвера eToken [6] для установления VPN-соединения можно использовать eToken, в памяти которого имеется закрытый ключ и соответствующий ему сертификат открытого ключа, дающий владельцу право подключения.
eToken Network Logon
eToken Network Logon — разработанное компанией Aladdin Knowledge Systems приложение, позволяющее сохранять имя пользователя, пароль и имя домена Windows в памяти eToken и затем использовать eToken в процессе аутентификации. При назначении нового пароля и смене пароля может использоваться встроенный в eToken Network Logon датчик случайных чисел, в результате чего пользователь может даже не знать свой пароль и, следовательно, не иметь возможности входить в систему без eToken. Помимо аутентификации с использованием подставляемых из памяти eToken паролей, eToken Network Logon поддерживает имеющийся в Windows 2000-Server 2008 механизм аутентификации с использованием сертификатов открытого ключа и закрытых ключей в памяти смарт-карт и их аналогов.
eToken SafeData и «Крипто БД»
eToken SafeData [7] и «Крипто БД» — средства криптографической защиты информации (СКЗИ), разработанные российской компанией Aladdin. Они позволяют шифровать данные в отдельных колонках таблиц баз данных Oracle. При этом ключи шифрования хранятся в базе данных зашифрованными с использованием открытых ключей пользователей, а закрытые ключи пользователей хранятся в памяти eToken. В результате для обращения к зашифрованным данным пользователи должны задействовать свои eToken, в памяти которых хранятся закрытые ключи, соответствующие открытым ключам, с помощью которых зашифрованы ключи шифрования. Отличие eToken SafeData от «Крипто БД» состоит в используемых этими СКЗИ криптографических алгоритмах:
eToken SecurLogon для Oracle
eToken SecurLogon для Oracle — разработанное российской компанией Aladdin программное средство, в котором поддерживаемый в Oracle 8i Database Release 3 (8.1.7) Enterprise Edition и позднейших версиях СУБД Oracle механизм аутентификации с использованием сертификатов открытого ключа и закрытых ключей реализован с применением eToken в качестве ключевого носителя. Помимо отдельного продукта, eToken SecurLogon для Oracle представляет собой компонент средств криптографической защиты информации (СКЗИ) eToken SafeData и «Крипто БД», устанавливаемый на автоматизированном рабочем месте пользователей этих СКЗИ.
eToken SecurLogon для SAP R/3
eToken SecurLogon для SAP R/3 — разработанное компанией «АстроСофт» программное средство, позволяющее сохранять параметры подключения клиента к серверу приложений SAP R/3 в памяти eToken и в дальнейшем использовать eToken с сохранёнными реквизитами для аутентификации в системе SAP R/3.
eToken Single Sign-On
eToken Single Sign-On — разработанное компанией Aladdin Knowledge Systems приложение, позволяющее сохранять заполненные формы HTML и Windows в памяти eToken и затем автоматически подставлять в эти формы данные, сохранённые в памяти eToken. Благодаря этому eToken можно использовать как средство аутентификации во всех веб-приложениях, у которых интерфейс аутентификации представляет собой HTML-форму и во всех приложениях, у которых интерфейс аутентификации представляет собой диалоговое окно Windows. Работа c HTML-формами поддерживается только в Internet Explorer и Mozilla Firefox.
IBM Lotus Notes и Domino
Начиная с версии 6.0, IBM Lotus Notes и Domino поддерживают аутентификацию c использованием смарт-карт и их аналогов. При наличии на компьютере драйвера eToken [6] ID-файл, использующийся для аутентификации пользователя или сервера, может быть преобразован таким образом, чтобы его нельзя было применять, не подключая eToken и не вводя PIN-код.
При обращении к защищённому серверу Domino через веб-интерфейс по протоколу HTTPS eToken можно использовать для аутентификации клиента.
Помимо аутентификации, eToken можно использовать в Lotus Notes для подписи и расшифрования электронных писем.
Microsoft Windows
Аппаратные eToken с функциями смарт-карты можно использовать для интерактивной аутентификации в домене Windows 2000-Server 2008. При наличии на компьютере драйверов eToken [6] рабочий стол аутентификации позволяет не только вводить имя пользователя, пароль и имя домена, как обычно, после нажатия клавиш CTRL+ALT+DELETE, но и вместо нажатия этого сочетания клавиш подключать смарт-карту (eToken) и вводить PIN-код. Кроме того, начиная с Windows XP стало возможным использовать смарт-карты, в том числе eToken, для аутентификации при запуске приложений от имени другого пользователя.
Помимо использования eToken в качестве средства аутентификации, он ещё может использоваться для обеспечения безопасности рабочего места в отсутствие пользователя. Windows 2000–Server 2008 можно настроить таким образом, что компьютер будет блокироваться при отсоединении eToken.
Для использования eToken в качестве средства аутентификации в домене Windows необходим развёрнутый и специально для этого настроенный центр сертификации предприятия (Microsoft Enterprise CA). Средствами eToken генерируется ключевая пара, и центр сертификации выпускает для пользователя сертификат открытого ключа, в котором в политику использования закрытого ключа включён пункт «вход со смарт-картой». После этого администратор может распространить на пользователя объект политики безопасности, запрещающий вход в систему без смарт-карты, в результате чего пользователь не сможет входить в систему без использования eToken, в памяти которого хранится подготовленный сертификат открытого ключа и соответствующий ему закрытый ключ.
Novell Modular Authentication Service
Novell Modular Authentication Service (NMAS) — это компонент Novell eDirectory, обеспечивающий механизмы аутентификации в различных системах пользователей, зарегистрированных в этой службе каталогов. Начиная с версии 2.1, NMAS позволяет использовать eToken при аутентификации пользователей, на рабочих местах которых установлена операционная система Microsoft Windows 95 Service Release 2B, NT 4.0 SP 6a или позднейшие версии Windows.
Oracle Application Server
Oracle Application Server поддерживает механизм аутентификации с использованием сертификатов открытого ключа и закрытых ключей. Размещая закрытые ключи пользователей в памяти eToken, можно применять eToken для аутентификации пользователей в Oracle Application Server без использования eToken Single Sign-On.
Oracle E-Business Suite
Oracle E-Business Suite поддерживает интеграцию с механизмом аутентификации Oracle Application Server Single Sign-On. При использовании такой интеграции возможна аутентификация пользователей Oracle E-Business Suite на основе сертификатов открытого ключа и закрытых ключей в памяти eToken.
Если интеграция с Oracle Application Server Single Sign-On не задействуется, то решение по аутентификации пользователей в Oracle E-Business Suite строится следующим образом:
Token Management System
Token Management System (TMS) — разработанное компанией Aladdin Knowledge Systems приложение, позволяющее осуществлять учёт и управление жизненным циклом eToken в масштабах предприятия. TMS интегрируется с Active Directory, связывает учётные записи пользователей с выданными им eToken, а также с выпущенными сертификатами открытого ключа и иными реквизитами. Политики использования eToken назначаются и применяются точно так же, как политики безопасности в домене Windows. Разработчики различных поддерживающих eToken приложений могут создавать так называемые коннекторы TMS, благодаря которым использование eToken в их приложениях может управляться средствами TMS.
Конкурирующие продукты
В зависимости от набора своих функциональных возможностей, разные модели eToken конкурируют на рынке с продукцией различных производителей: ActivIdentity, Arcot, Entrust, Eutron, Feitian, Gemalto, Kobil Systems, MultiSoft, RSA Security (подразделение EMC), Vasco, Актив, БИФИТ, ОКБ САПР и других.
Модели eToken
Конкурирующие продукты
USB-ключи eToken GT, eToken PRO и eToken PRO (Java)
ActivIdentity ActivKey SIM USB Token, Entrust USB Tokens, Feitian ePass, Eutron CryptoIdentity, Kobil mIDentity, MS Key, Rutoken ЭЦП, Vasco Digipass Key 1, ПCКЗИ «Шипка», Kaztoken
Моделям eToken c функциями смарт-карт присущи недостатки, свойственные всем устройствам, в которых PIN-код вводится не с собственной клавиатуры устройства, а с клавиатуры терминала, к которому устройство подключено: с помощью троянской программы злоумышленник может перехватить PIN-код и произвести неоднократное несанкционированное подписывание или шифрование любой информации от имени владельца устройства. [9] [10]
Электронные ключи появились давно, но пока не сумели вытеснить стандартную идентификацию по логину и паролю. Это более чем странно. Учитывая, что современные USB-токены обеспечивают высокую степень защиты данных, практически неуязвимы для внешних атак и в достаточном количестве представлены на российском рынке.
Подавляющее большинство российских компаний по-прежнему использует традиционную пару «логин-пароль» для идентификации и разграничения доступа пользователя к корпоративным ресурсам. Однако этот способ давно устарел с точки зрения безопасности. При этом, постоянное увеличение сложности пароля (использование букв разного регистра, цифр, знаков препинания и служебных символов, длина минимум 8 символов) для повышения уровня безопасности нередко приводит к снижению комфортности контроля доступа для пользователя. Сложные пароли просто-напросто тяжелы для запоминания.
К проблемам парольной аутентификации можно отнести еще и легкость подбора по словарю (если паролем служит слово или фраза из какого-нибудь языка, даже при условии замены букв на спецсимволы, например, Р@ssw0rd). Также пароль может быть перехвачен или подсмотрен при его вводе. Проблемы аутентификации пользователей в информационной системе выявлены очень давно, и уже были предложены различные решения. Современная тенденция — использование двухфакторной аутентификации на основе USB-токенов. В России такие устройства занимают доминирующее положение по отношению к смарт-картам и автономным токенам в результате более позднего формирования рынка аппаратных устройств аутентификации и мощной маркетинговой политики компаний-производителей. Основными игроками на российском рынке USB-ключей (токенов) являются компании Aladdin, Rainbow Technologies, «Актив» (совместно с «Анкад»), RSA Security, а также Feitian Technologies.
USB-токены предназначены для работы в приложениях, к которым предъявляются повышенные требования с точки зрения защиты данных. Их можно назвать преемниками контактных смарт-карт, они практически повторяют их устройство, но не требуют специальных считывателей, что упрощает их внедрение и уменьшает стоимость. Таким образом, экономическое преимущество при использовании USB-токенов по сравнению со смарт-картами достигается тогда, когда за компьютером работает один пользователь. Если же необходимо, чтобы на одной машине работало несколько человек, то выгоднее приобрести один считыватель и несколько смарт-карт, так как стоимость самой карточки ниже цены токена. Отметим, что USB-токены, не основанные на архитектуре «смарт-карта + кард-ридер», например, ruToken, «Шипка», выполнены на серийном микроконтроллере и программно эмулируют функциональность смарт-карт. Это сильно снижает их безопасность. В частности, они используют внешний чип памяти со всеми вытекающими последствиями (у смарт-карточных токенов память находится внутри чипа смарт-карты, и атаковать ее очень сложно).
Таблица 1 Средняя стоимость внедрения систем контроля доступа
USB-токен — это симбиоз считывателя и смарт-карты, только в нем карта впаяна, и ее нельзя поменять. Процесс инсталляции аналогичен установке считывателя, а его подключение/извлечение аналогично подключению/извлечению карты из считывателя. Чтобы начать использовать USB-токен в приложениях, его необходимо отформатировать специальной утилитой. Не все приложения, которые работают с USB-токенами, будут поддерживать именно конкретную модель, это необходимо проверить. Зачастую выбор токена определяется не его качественными характеристиками, а возможностью работы с определенными приложениями или операционными системами. При покупке не стоит руководствоваться размерами памяти токена: маленький объем памяти смарт-карты здесь является преимуществом, поскольку это не позволит сотрудникам записывать другую конфиденциальную информацию с рабочего компьютера. При покупке комплекта программа + USB-токен надо убедиться, что вас обеспечат драйверами для USB-токена, и выяснить, каким образом будет произведено форматирование токена: самой программой или отдельной утилитой.
Файловая система токена разделяется между несколькими приложениями и службами. Пользователю не нужно знать множество паролей — их запоминает токен. Следует помнить лишь короткий PIN-код, удостоверяющий пользователя как владельца всех паролей, хранящихся в памяти ключа. После нескольких неудачных попыток ввода PIN-кода процессор «запирает» токен до вмешательства администратора безопасности, поскольку предполагается, что ключ был украден или потерян.
Для обеспечения строгой аутентификации необходимо гарантировать надежность и достоверность принципала (объекта аутентификации — отправителя или получателя), а потому должны использоваться надежные криптографические алгоритмы и продуманные схемы. Строгая аутентификация в данном контексте означает, что информация, непосредственно идентифицирующая пользователя, не выходит за пределы токена, а лишь участвует в криптографических вычислениях, результатом которых будут некоторые последовательности нулей и единиц, расшифровав которые, другой принципал абсолютно надежно, точно и достоверно определит отправителя. Именно поэтому важно покупать модели со встроенным генератором ключей, чтобы такая информация не попадала из токена в компьютер. Кроме того, все важные криптографические вычисления по проверке сертификатов должны быть реализованы аппаратно, что также исключает возможность компрометации на уровне компьютерных приложений.
Таблица 2 Основные характеристики наиболее популярных на российском рынке продуктов
Перечисленные в таблице 2 модели подходят для построения системы аутентификации на основе открытых ключей (PKI) с использованием сертификатов. Рассмотрим механизм такой аутентификации. Технология PKI построена на использовании двух математически связанных ключей — открытого и секретного (закрытого). С помощью открытого ключа сообщение шифруется, а с помощью секретного расшифровывается, при этом естественно, что, зная открытый ключ, нельзя получить закрытый. Такие криптографические преобразования реализовываются на основе RSA или DSA. Криптостойкость зашифрованных сообщений обеспечивается неразрешимостью за полиномиальное время двух математических задач: факторизации больших чисел на простые множители (RSA) и дискретного логарифмирования в простом конечном поле (DSA). Важнейшим плюсом, является то, что аутентификационная информация пользователя совсем не передается по сети, а лишь участвует в вычислениях, как на клиентской, так и на серверной стороне, что соответствует принципам строгой аутентификации. По такому принципу строится протокол аутентификации «запрос-ответ» (Handshake Authentication Protocol).
Заметим, что поддержка работы RSA и DSA, в том числе и аппаратная генерация их ключей, с размером ключа 2048 бит является хорошим гарантом безопасности, который в принципе не может быть обеспечен протоколами симметричного шифрования, — например, семейством алгоритмов DES. Обычно данные протоколы используются для шифрования трафика с использованием ключа, полученного после аутентификации принципала. Интересной особенностью продуктов ruToken является аппаратная реализация российского стандарта симметричного шифрования ГОСТ 28147-89, к числу достоинств которого можно отнести бесперспективность силовой атаки, эффективность реализации и высокое быстродействие на современных компьютерах.
Сегодня на российском рынке представлено множество USB-токенов с различным уровнем защиты
Компании-производители указывают огромное количество реализованных алгоритмов шифрования/хеширования в своих описаниях к продуктам, однако большинство из них — алгоритмы хеширования. Они представляют собой односторонние функции и используются для преобразования, например, PIN-кода или другой чувствительной информации для хранения в файловой системе токена, так как из хеша сложно восстановить PIN-код в понятном человеку виде. Таким образом, наличие большого числа алгоритмов хеширования не определяет «качество» токена. Хотя в некоторых случаях хеш-преобразования используются другими алгоритмами в качестве вспомогательных, поэтому стоит сразу определиться, поддержка каких алгоритмов вам нужна в работе информационной системы.
В ряде случаев необходима взаимная аутентификация — двусторонняя проверка подлинности участников информационного обмена (когда не только сервер проверяет подлинность пользователя, но и наоборот). Протоколы «запрос — ответ» идеально подходят для взаимной аутентификации с некоторым дополнением (такой протокол часто называют «рукопожатием»). Также, возможно, стоит обращать внимание на наличие государственного сертификата у того или иного продукта. Но, конечно, его отсутствие не говорит о несостоятельности решения. Все они выполнены в соответствии с международными требованиями и отвечают международным стандартам. Наличие сертификатов скорее привлекательно для госструктур, так как там обязательно использование только сертифицированных средств защиты информации. Возможно, иногда стоит купить более дешевое решение (например, ruToken), но которое будет способно в данном контексте обеспечить необходимый уровень безопасности. Именно поэтому так важна правильная оценка собственных потребностей перед внедрением системы аутентификации на основе USB-токенов.
Последнее, на что хотелось бы обратить внимание, это поддержка программного обеспечения и операционных систем, ведь зачастую инфраструктура PKI внедряется в сети, давно действующей, где уже сформировался круг необходимых приложений для поддержания бизнес-задач. Так, для работы в Linux-среде лучшими решениями будут ключи iKey и eToken PRO. В действительности стоит обращать внимание на совместимость предлагаемого производителем готового решения с другими продуктами, а также на решения под определенные платформы, что в конечном итоге лишь облегчит как внедрение токенов, так и их использование.
Основой ключа eToken PRO является микросхема смарт-карты Infineon семейства SLE66CX, работающая под управлением одной из версий операционной системы Siemens CardOS/M4. Она состоит из 16-ти битного процессора с набором инструкций ECO 2000, специальной памяти с кодом операционной системы (эта память доступна только для чтения), оперативной памяти для работы ОС, специальной памяти для хранения пользовательских данных (EEPROM, Electrically Erasable Programable Read Only Memory), аппаратного генератора случайных чисел и специального криптопроцессора, ускоряющего выполнение шифрования и расшифровывания информации. Фактически, данная микросхема обеспечивает всё необходимое для защиты информации. В частности, именно в ней на аппаратном уровне реализованы симметричные и асимметричные криптографические алгоритмы, генерация ключей шифрования, а также защищённое хранение информации пользователя.
PIN-код в ключах eToken PRO
В ключах eToken минимальная длина PIN-кода составляет 4 символа. Впрочем, сами разработчики, равно как и эксперты в области информационной безопасности, советуют применять пароли, состоящие не менее чем из 7 букв, цифр и специальных символов. Интересно, что качество PIN-кодов в пределах своей компании может легко обеспечить администратор безопасности. Для этого ему достаточно задать различные критерии: минимальное число символов в PIN-кодах, проверку их по словарю, обязательное использование двух регистров, цифр и спецсимволов, запрет на использование имён пользователей, номеров телефонов, машин и т.д.
У PIN-кодов в ключах eToken есть надёжная защита от атак с использованием методов полного перебора и подбора по словарю. Реализована она с помощью встроенного счетчика неправильного ввода. По умолчанию его значение равно 15 (администратор может изменить это значение). При каждом некорректном вводе пароля счётчик уменьшается на единицу. А как только пользователь использует правильный PIN-код, его значение опять вернётся к первоначальному. Таким образом, у злоумышленника есть только 15 (или любое другое определённое администратором число) попыток ввода PIN-кода. Так что угадать состоящий из 7 символов пароль просто-напросто невозможно.
Уровни доступа к памяти ключа eToken PRO
Следующий режим работы также относится к закрытым, то есть для его использования необходим ввод правильного пароля, который задаётся при форматировании токена. Его должен знать только администратор, поскольку при работе в этом режиме возможна разблокировка ключа, закрытого из-за многократного ввода неправильного PIN-кода пользователя.
Жизненный цикл ключа eToken PRO
Жизненный цикл ключей eToken PRO начинается на собственном заводе компании Aladdin со всеми параметрами, установленными по умолчанию. После приобретения токенов IT-служба компании инициализирует их. При этом производится форматирование, устанавливаются некоторые параметры, загружаются сертификаты организации. Далее все ключи передается ответственному за безопасность сотруднику. Он на каждом ключе задаёт пароль администратора и PIN-код пользователя, загружает в память сертификат и ключ человека. После этого токены передаются конечным пользователям. Последние могут постоянно работать с ним, менять свой PIN-код и т.д.
В случае если токен будет заблокирован из-за многократного неправильного ввода PIN-кода, он может быть передан либо офицеру безопасности для разблокирования, либо в IT-службу компании для переформатирования. Это зависит от политики организации в области информационной безопасности. В некоторых случаях разблокирование ключа оказывается вообще невозможно. Тогда токен подлежит списанию и утилизации. Это же происходит и при выходе его из строя в результате нарушений условий эксплуатации (падение с большой высоты, попадание в неблагоприятную внешнюю среду и т.п.).
