Olen käyttänyt RSA SecureID ® -näppäimiä jo jonkin aikaa (ehkä 10 vuotta) esimerkiksi kodin pankkitilin suojaamiseen verkossa tai pääsyyn yrityksen tietokoneiden verkko kotoa. Nämä avaimet tuottavat 6-numeroisen numeerisen tunnuksen, jonka on määrä päättyä. Olen kuitenkin aina miettinyt, miten nämä toimivat.
Oikealla puolella on piste (ei näy kuvassa), joka vilkkuu kerran sekunnissa, ja vasemmalla on pino kuutta pystysuoraan pinottua vaakasuoraa palkit, joista kukin katoaa kerran kymmenessä sekunnissa. Joka kerta, kun 60 sekuntia on kulunut, tunniste nollautuu itsestään, ja edellinen tunniste ei kelpaa.
AFAIK nämä laitteet eivät käytä verkkoa, ja palvelimen on tarkistettava niiden luomat numerot (onko palvelin on pankki tai yrityksen palvelin). Siksi tämän laitteen sisällä on oltava algoritmi, joka tuottaa satunnaisluvut mekanismilla, joka sisältää erittäin tarkan ajastimen, joka toimii pienellä akulla. Ajastimen on oltava erittäin tarkka, koska palvelimen on tarkistettava luotujen numeroiden oikeellisuus samalla aikavälillä. Palvelinta on jokaiselle käyttäjälle / työntekijälle, sikäli kuin ymmärrän, tallennettava sama satunnaislukua tuottava algoritmi, yhdellä tällaisella algoritmilla asiakasta / työntekijää kohti. Siru on tietysti rakennettava siten, että jos se varastetaan, hyökkääjä ei pääse käsiksi siihen tallennettuun satunnaislukugeneraattoriin, vaikka laite olisi rikki.
Onko tämä näin? / p>
Kiitos!
Kommentit
- Samalla tavalla TOTP toimii, lukuun ottamatta jälkimmäistä, sinun ’ ei tarvitse ostaa ylihinnoiteltua ratkaisua ja voit käyttää tavallisia puhelimia tai mitä tahansa laitetta, joka pystyy laskemaan peruskomponenteista, jopa älykello .
- OTP-ohjelmistolla määritellyt ohjelmistot ovat erittäin huonoja, koska et saa manipuloinnin vastustusta, jota tarvitaan siemenen kloonausta vastaan. Kuka tahansa, jolla on mikro-USB-kaapeli ja oikeat työkalut, voi kloonata puhelimesi < 5 minuutissa. Jos salattu salasana on suojattu, salattua kloonia voidaan tallentaa, kunnes koodi saadaan haittaohjelmalla tai surffaamalla olalla. Jotkut puhelimet tarjoavat nykyään väärinkäyttämättömän laitteistoavaimen myymälän, sitten on hyvä käyttää sitä, tai Security Smart-MicroSD. Tämä estää siemenen uuttamisen, vain ” käytti ”. Mutta muiden kuin RSA-laitteistojen TOTP-tunnukset ovat todella halpoja.
- Liittyvät: Kuinka RSA-tunnukset toimivat
- @sebastiannielsen that luottaa edelleen sosiaaliseen innovaatioon tai siihen, että käyttäjät eivät seuraa tavaroitaan kunnolla. Jos voin liittää käyttäjän ’ puhelimen tietokoneeseen ilman että hän huomaa, voin myös varastaa hänen RSA-tunnuksensa ja laittaa toisen paikalleen (ja hän voitti ’ huomaa vasta seuraavaan kertaan, kun hän yrittää käyttää sitä, mikä olisi liian myöhäistä).
- Linkittämisen arvoinen: Voiko RSA SecurID -merkkien numerot voidaan ennustaa?
Vastaa
Kyllä, se toimii kuten sanot . Siru on ”peukaloittamaton” ja poistaa ”siemen” (salaisen avaimen), jos sitä yritetään hyökätä. Tämä saavutetaan usein siten, että meillä on ei-vaihdettava akku ja ”ansa”, joka katkaisee laitteen virran laitteen avaamisen tai sirun pinnan poistamisen jälkeen. Avain tallennetaan sitten SRAM-muistiin, joka vaatii virtaa avaimen säilyttämiseen.
Avain on siemen, joka yhdistetään nykyiseen aikaan 60 sekunnin vaiheessa (käytännössä nykyinen UNIX-aikaleima / 60), päivittää koodin.
Ei, laitteen EI tarvitse olla tarkka. Sen sijaan palvelin tallentaa viimeisimmän hyväksytyn koodin ajan. Sitten palvelin hyväksyy koodin minuutti aikaisemmin, minuutti eteenpäin ja kulloinkin, joten jos palvelimen nykyinen aika on 23:20, se hyväksyy koodin 23:19, 23:20 ja 23: 21.
Tämän jälkeen se tallentaa viimeksi hyväksytyn koodin ajan, esim. Jos 23:21 koodi hyväksyttiin, se tallentaa 23:21 tietokantaan ja kieltäytyy hyväksymästä koodia, joka luotiin klo 23:21 tai aikaisemmin.
Nyt mielenkiintoiseen osaan: Estääksesi epätarkan tunnuksen desynkronoinnin palvelimelta, palvelin tallentaa tietokantaansa, jos sitä vaaditaan hyväksymään 23: 19-koodi tai 23:21-koodi kello 23:20. Tämä varmistaa, että seuraavalla kirjautumisella palvelin korjaa koodin vaiheiden määrällä.
Sanotaan, että kirjaudut sisään kellossa 23:20 23:19-koodilla. Palvelin tallentaa ”-1” tietokantaansa (ja jos se olisi 23:21 koodi, se tallentaisi ”+1” tietokantaan). Kun seuraavan kerran kirjaudut sisään, Kello on 23:40. Sitten palvelin hyväksyy 23:38, 23:39 tai 23:40 koodin.Jos 23:38 koodi hyväksytään, se tallentaa ”-2” tietokantaan, klo 23:39 se pitää ”-1” tietokantaan ja klo 23:40 ”0” tietokantaan.
Tämä varmistaa, että palvelin pysyy synkronoituna tunnuksesi kanssa. Tämän lisäksi järjestelmä sallii uudelleensynkronoinnin, jos merkki ”juoksi liian kaukana” palvelimesta (koska sitä ei käytetty pitkään aikaan). Tämän suorittaa joko järjestelmänvalvoja tai itsepalvelun uudelleensynkronointipalvelu tarjotaan, jossa tunnuksen käyttäjää pyydetään antamaan merkistä 2 peräkkäistä koodia, kuten 23:20 ja 23:21 tai 19:10 ja 19:11. Huomaa, että palvelin EI KOSKAAN hyväksy tunnuskoodia, joka on luotu ”viimeksi käytetyn tunnuskoodin” aikaan tai sitä ennen (koska tämä sallisi OTP-koodien uudelleenkäytön). Kun uudelleensynkronointi on valmis, tunniste tallentaa eron annetuista kahdesta tunnuskoodista, ja nykyisen palvelimen ajan ja uudelleensynkronoinnissa hakuikkuna voi olla kuin plus / miinus 50 askelta (mikä mahdollistaisi noin 0,75 tuntia desynkronointi molempiin suuntiin).
Palvelin voi havaita synkronoimattoman tunnuksen luomalla 50 edellistä koodia ja 50 tulevaa koodia, ja jos määritetty koodi vastaa niitä, se käynnistää uudelleen synkronointiprosessin. Monta kertaa estääkseen hyökkääjää käyttämästä uudelleensynkronointiprosessia kelvollisten koodien löytämiseksi, kun tili on uudelleensynkronointitilassa, sisäänkirjautumista ei hyväksytä ilman uudelleensynkronointia, mikä vaatisi hyökkääjää etsimään tarkan koodin vain ennen koodia löytyi.
Kommentit
- Hienoja juttuja, en tiennyt ’ tienne tästä.
vastaus
SecurID-tunnukselle on määritetty ”siemen” -arvo, ja se on ohjelmoitu tietyllä algoritmilla, joka tuottaa numeroita siemenen ja sen järjestelmän kellon perusteella. Siemenarvo tallennetaan myös tiedostoon, joka toimitetaan rahakkeen mukana. Saatuaan tunnuksen järjestelmänvalvojat tuovat siementiedoston todennuspalvelimeen. Koska SecurID-token-laitteella ja palvelimella on molemmilla siemenarvo ja molemmat käyttävät algoritmia, palvelin voi määrittää, minkä oikean tunnuskoodin tulisi olla kulloinkin.
Toisinaan tunnuksen s kello voi tulla synkronoitumattomaksi todennuspalvelimen kanssa. Jos näin tapahtuu, järjestelmänvalvojat tai muu valtuutettu tukihenkilöstö voi auttaa käyttäjää suorittamalla uudelleen synkronointiprosessin palvelimella. Tämä määrittää palvelimen tunnistamaan kyseisen tunnuksen aikasiirron. jotta tulevia todennusyrityksiä tulisi käsitellä tarkasti.
Huomaa: Koska palvelimen on oltava ennakoitavissa, nämä luvut perustuvat vain siementiedostoon tallennettuihin tietoihin, nykyiseen aikaan ja vakioalgoritmiin, ne hyökkääjä voi ennustaa myös erikoistyökaluilla ja pääsyllä tokeniin. (Tai mikä pahempaa, pääsy itse siementiedostoihin – kuten epäillään tapahtuneen vuonna 2011 .) Kun otetaan huomioon tarpeeksi peräkkäisiä tunnuskoodeja, on ne, jotka pystyvät määrittämään siemenarvon ja luomaan sitten tulevat koodit itse.
Vastaus
Sebastianin vastaus oli loistava. Toistan sen maallikon termeillä. SecureID-tunnus on yksinkertaisesti kello, jossa on siemenarvo. Ajan näyttämisen sijaan se näyttää luvun. Piste, jonka voimme nähdä kuvassa, on sekuntia (luulen), palkki on silloin, kun numero muuttuu, jotta voit ajastaa sen. Jos se saavuttaa pohjan, se on muuttumassa ja jos kirjoitat sitä sisään, sinun on odotettava.
”” seed ”on myös palvelimessa, joka todentaa laitteen. Kun turvallisuusmiehet asentavat RSA-palvelimen, heidän on ladattava samat siemenet palvelimeen, joka vastaanottaa PIN-koodisi.
Joten … Pohjimmiltaan se on salauslukko. Aivan kuten vanhat LCD-kellot, joita lapsillani on Doran tai prinsessojen kanssa, ero on siemen, joka antaa numeron matematiikan.