Апаратний токен і генератор OTP для двофакторної автентифікації

 

Навіть коли користувач дотримується рекомендацій щодо довжини та складності пароля, у деяких випадках цього недостатньо, щоб уникнути крадіжки пароля. Під час роботи з високонавантаженими веб-застосунками, як-от поштові сервіси, банківські послуги, або навіть Amazon і Facebook, використання автентифікації за OTP (одноразовим паролем) — це спосіб уникнути атак із застосуванням кейлогерів. Hideez створив надійний і захищений від втручання спосіб зробити це за допомогою багатофункціональних апаратних ключів безпеки, які можуть генерувати OTP, зберігати & автозаповнювати Ваші паролі тощо.

Що означає OTP і як він працює?

OTP — це пароль, дійсний лише для одного сеансу входу або однієї транзакції в комп’ютерній системі чи іншому цифровому пристрої. Використання OTP допомагає уникнути багатьох недоліків, пов’язаних із традиційною (статичною) автентифікацією на основі пароля.

Простими словами, сервіс, що приймає OTP, вимагає від користувача обрати бажаний генератор OTP для доставки цього динамічного пароля.

Деякі реалізації генераторів OTP також включають двофакторну автентифікацію. Вони гарантують, що для одноразового пароля потрібен доступ до того, що людина має (наприклад, Hideez Key із вбудованим генератором OTP або мобільний телефон), а також до того, що людина знає (наприклад, PIN-код).

Які переваги використання генератора OTP?

Найважливіша перевага динамічних одноразових паролів полягає в тому, що, на відміну від традиційних паролів, вони не вразливі до атак повторного відтворення. Це означає, що зловмисник, якому вдалося перехопити OTP, який уже був розкритий, щоб увійти в сервіс або виконати транзакцію, не зможе його використати, оскільки він уже буде неактивним. Деякі системи OTP також прагнуть гарантувати, що сеанс не можна легко перехопити чи видати себе за його учасника без знання непередбачуваних даних, створених під час попереднього сеансу, що ще більше зменшує поверхню атаки.

Алгоритми генерації OTP, як правило, використовують псевдовипадковість або випадковість. Це необхідно, адже інакше майбутні OTP було б легко передбачити, спостерігаючи за попередніми. Конкретні алгоритми OTP значно відрізняються в деталях.

Існують різні типи генераторів OTP:
  • На основісинхронізації часу між сервером автентифікації та клієнтом, що надає пароль (як генератор OTP у Hideez Key)
  • На основі математичного алгоритму генерації нового пароля на основі попереднього пароля.
  • На основі математичного алгоритму, де новий пароль базується на запиті (наприклад, випадковому числі, обраному сервером автентифікації, або даних транзакції) та/або лічильнику.

Існують також різні способи повідомити користувачеві наступний OTP, який слід використати. Деякі системи використовують апаратні OTP-токени, які користувач носить із собою. Такі токени генерують OTP і показують їх на невеликому дисплеї. Інші системи складаються із застосунку, що працює на мобільному телефоні користувача. Ще інші системи генерують OTP на стороні сервера й надсилають їх користувачеві позасмуговим каналом, наприклад через SMS-повідомлення. А в деяких системах OTP друкуються на папері, який користувач зобов’язаний мати при собі.

Hideez пропонує кращe рішення для генерації та доставки OTP. По-перше, ключ безпеки Hideez вводить OTP безпосередньо в потрібне поле, що не лише економить час, а й запобігає помилкам, коли номер набрано неправильно. Канал між ключем і сервісом зашифрований, тобто код неможливо перехопити, що усуває вразливість, пов’язану з рішеннями на основі SMS. Крім того, Hideez Key можна використовувати не лише як генератор OTP, а й як розширений менеджер паролів, тож він завжди буде при Вас у повсякденному користуванні, і його не так легко знищити, як аркуш паперу. Додатково ми пропонуємо великим підприємствам ефективне рішення для захищеної автентифікації за допомогою нашої корпоративної служби ідентифікації.

Якщо Ви шукаєте універсальне рішення для безпеки для особистого використання, Ви можете розглянути такі токени, як Hideez Key 5. А для власників бізнесу наші експерти можуть допомогти знайти відповідне індивідуальне рішення для Вашої організації, тож без вагань запишіться на безкоштовну консультацію просто зараз.

 

FAQ

Що таке одноразовий пароль (OTP)?

Одноразовий пароль — це пароль, дійсний лише для одного сеансу входу або однієї транзакції. На відміну від традиційного статичного пароля, його не можна використати повторно, що усуває багато недоліків автентифікації на основі статичних паролів.

Як генератор OTP підтримує двофакторну автентифікацію?

Деякі генератори OTP також забезпечують двофакторну автентифікацію. Одноразовий пароль вимагає чогось, що є у людини, наприклад Hideez Key із вбудованим генератором OTP або мобільний телефон, а також чогось, що вона знає, наприклад PIN.

Чому варто використовувати одноразові паролі замість статичних?

OTP не вразливі до атак повторного відтворення (replay). Якщо зловмисник перехопить OTP, який уже було використано для входу чи підтвердження транзакції, скористатися ним повторно не вдасться, бо він більше не активний. Вони також допомагають уникнути атак із перехопленням натискань клавіш (keylogging).

Як Hideez Key генерує та вводить одноразові паролі?

Hideez Key містить генератор OTP і вводить одноразовий пароль безпосередньо в потрібне поле, що заощаджує час і запобігає помилкам під час набору. Окрім генерації OTP, він працює як менеджер паролів, що зберігає та автоматично підставляє Ваші паролі.

Чи безпечніший Hideez Key, ніж отримання OTP через SMS?

Код, згенерований на апаратному ключі, не надсилається текстовим повідомленням, тож немає жодного SMS, яке можна було б перехопити чи переспрямувати. Це закриває слабке місце рішень на основі SMS, а ключ і надалі працює як менеджер паролів.