Токены от Aladdin'а. Часть 2

В прошлый раз мы с вами, уважаемые читатели, начали рассмотрение линейки аппаратных USB-ключей с защищенной памятью, разработанных известной в области информационной безопасности компанией Aladdin Knowledge Systems. Эти устройства являются надежным средством для аутентификации пользователей, а также могут использоваться для решения других задач. В первой части статьи речь шла только об одной модели ключа - eToken PRO. Ну а сегодня мы поговорим о другом устройстве - eToken R2, а также выясним, чем он отличается от первого.

Область применения ключа eToken R2

Сразу же стоит отметить, что ключ eToken R2, несмотря на внешнее сходство, довольно сильно отличается от устройства eToken PRO. Фактически, по своей функциональности он является аналогом обычной смарт-карты. Он может использоваться для аутентификации в информационных системах, использующих метод "запрос-ответ" (Challenge Response), для защиты доступа к веб-приложениям и порталам, в унаследованных приложениях для замены парольной аутентификации на более качественную двухфакторную. Впрочем, стоит отметить, что сами разработчики предупреждают о большей надежности eToken PRO и его модификаций. Так что рассматриваемый ключ можно использовать для аутентификации в уже работающих приложениях, в которых отсутствует поддержка нового устройства, а также для индивидуального использования с меньшими требованиями к надежности, но с большими к стоимости оборудования.

Аппаратная архитектура ключа eToken R2

Основным компонентом аппаратного ключа eToken R2 является специальный защищенный микроконтроллер. А его основой в свою очередь является специальный центральный процессор, который осуществляет все преобразования данных. Помимо него в микросхеме есть специальный чип, реализующий интерфейс USB и отвечающий за связь устройства с компьютером, модуль памяти, содержащей программу логики работы процессора и конфигурационные данные (Firmware Memory) и модуль оперативной памяти, необходимый для работы процессора. Фактически, микроконтроллер выполняет всю "работу" ключа.

Самое главное, что есть в микроконтроллере - это аппаратная реализация алгоритма шифрования DESX (усиленный вариант DES, поддерживаемый инструментарием RSA Security) с ключом 120 бит. Это, конечно же, не самая надежная криптографическая технология. Тем не менее, с поставленными задачами она справляется довольно неплохо. Для создания ключей шифрования используется генерации псевдослучайных чисел с помощью алгоритма DESX. Причем эти ключи никогда не покидают пределов микроконтроллера, всегда оставаясь "внутри" устройства. Аппаратная реализация криптографического алгоритма позволяет eToken R2 шифровать не только пользовательские данные, но и весь трафик между собой и компьютером.

Помимо этого рассматриваемое устройство оборудовано специальной энергонезависимой электрически программируемой памяти (EEPROM, Electrically Erasable Programable Read Only Memory). В данный момент во все выпускаемые ключи eToken R2 вставляются модули объемом 16 или 32 килобайта. Эта память нужна для хранения всей пользовательской информации. Причем данные в нее записываются только в зашифрованном с помощью алгоритма DESX виде. Это обеспечивает надежное их хранение и защиту от несанкционированного доступа.

Все описанные выше компоненты аппаратного ключа являются внутренними. Помимо них архитектура устройства дополняется еще и внешними элементами. Это разъем USB с помощью которого осуществляется соединение устройства с компьютером, светодиод, загорающийся при подключении, и герметичный влагонепроницаемый полупрозрачный пластиковый корпус, не поддающийся необнаруживаемому вскрытию.

PIN-код в ключах eToken R2

Для того чтобы получить доступ к защищенной памяти ключа eToken R2 пользователь после подключения устройства к компьютеру должен ввести правильный PIN-код (Personal Identification Number). При этом процесс аутентификации человека организован таким образом, что ключевая информация никогда не передается в открытом виде. На практике это выглядит это так. В памяти ключа хранится не сам PIN-код, а его хэш длиной 16 байт, полученный с помощью алгоритма DESX. После подключения устройства оно генерирует запрос и посылает его компьютеру. Последний хэширует введенную пользователем строку и пересылает ее обратно. В том случае, если оба значения совпадают, аутентификация считается пройденной. Иначе же система откажет пользователю в доступе к защищенной памяти.

В качестве PIN-кода могут использоваться строки, состоящие из любых четырех или более символов. Сразу стоит отметить, что сами разработчики рекомендуют своим клиентам применять пароли длиной минимум в семь байтов. Причем состоять они должны из символов всех трех возможных наборов (буквы, цифры, специальные символы). Только такой подход позволяет создавать действительно надежные PIN-коды, способные противостоять различным атакам. Кстати, если речь идет о компании, то офицер безопасности или любой другой сотрудник, отвечающий за защиту данных (например, системный администратор), может установить критерии качества паролей, которые будут применять пользователи. Для этого может использоваться запрет на использование старых PIN-кодов, ограничение на их длину, проверка по словарю, требование на обязательное использование двух регистров, цифр и спецсимволов, запрет на использование имен пользователей, номеров телефонов, машин и т.д.

Причем с PIN-кодами от ключей eToken R2 следует обращаться очень и очень осторожно. Дело в том, что в этих устройствах отсутствует многоуровневый доступ. То есть PIN-код для каждого ключа единственный. И если пользователь забудет его, то воспользоваться токеном он уже никогда не сможет. Наверное, именно поэтому в рассматриваемом устройстве отсутствует счетчик неправильно введенных PIN-кодов и, соответственно, его блокировка в случае слишком большого количество неверных попыток ввода пароля. Это позволяет пользователю, частично забывшему свой PIN-код, со временем все-таки подобрать его. Ну а для того, чтобы этой возможностью не смогли воспользоваться злоумышленники, в eToken R2 реализована аппаратная задержка отклика равная одной секунде после каждого неправильно введенного пароля. Таким образом, максимальная скорость перебора PIN-кодов составляет один вариант в секунду. Несложно посчитать, что в случае использования надежного PIN-кода, удовлетворяющего всем приведенным выше рекомендациям, процесс его подбора займет абсолютно неприемлемое время.

Уровни доступа к памяти ключа eToken R2

Как мы уже сегодня упоминали, ключ eToken R2 может работать всего лишь в двух режимах. Первый из них - гостевой доступ. Он срабатывает сразу же после подключения устройства к компьютеру. В этом режиме пользователю доступны для чтения только информация о самом ключе (его ID-номер и т.п.), а также открытые файлы и папки из памяти EEPROM.

Второй режим - пользовательский доступ. В него ключ переходит после правильного ввода человеком текущего PIN-кода. При этом пользователь получает полный доступ на чтение и запись как открытых, так и защищенных файлов и папок.

Жизненный цикл ключа eToken R2

Жизненный цикл ключа eToken R2 начинается на собственном заводе компании Aladdin. При изготовлении в память устройства прописываются все основные настройки. После приобретения ключа какой-либо компанией ее IT-служба проводит его инициализацию. Суть этого процесса заключается в размещении в защищенной памяти устройства цифровых сертификатов организации. Далее ключ передается администратору безопасности или любому другому ответственному сотруднику, выполняющему его функции, например, системному администратору. Последний производит запись в память устройства персональных данных пользователя (его сертификатов и т.п.), а также производит смену PIN-кода. После этого ключ полностью готов к работе и может быть передан конечному пользователю.

Сотрудник, которому выдали ключ eToken R2, может производить с ним любые операции: постоянно использовать для аутентификации, записывать в защищенную память любую информацию, менять PIN-код и т.д. Жизненный цикл устройства eToken R2 заканчивается в случае выхода его из строя при нарушениях условий эксплуатации, а также в случае забывания сотрудником текущего пароля доступа к защищенной памяти. При наступлении любого из этих событий устройство становится непригодным для дальнейшего использования и подлежит утилизации.

Подводим итоги

Ну а теперь давайте подведем итоги. Как мы с вами, уважаемые читатели, убедились, ключ eToken R2 несколько уступает своему старшему "собрату" eToken PRO. Однако во многих случаях, особенно при ограниченном бюджете на информационную безопасность и не самых высоких требования к надежности средств защиты информации, он является прекрасной альтернативой обычной парольной защите. Особенно это верно в отношении домашних пользователей и небольших компаний.