Аппаратный или программный токен — какой выбрать

Опубликовано Olga Geo Дек 10, 2015 | один комментарий

Стремление к многофункциональности и максимальному удобству — основная тенденция нашего времени. Именно из нее проистекает всеобщая привязанность (которая часто граничит с зависимостью) к смартфонам. Эти маленькие устройства воплощают для современного человека принцип “все свое ношу с собой”: обычный телефон стал теперь миниатюрным переносным компьютером, по которому еще и звонить можно (но это уже давно не главная его функция).

Поскольку в любом компьютере должна присутствовать надежная система защиты данных, а двухфакторная аутентификация (two-factor authentication) является одним из важнейших ее элементов — разработчики ПО предложили решение, при котором смартфон может превратиться в полноценный ОТР токен. Специалисты по кибербезопасности и пользователи с радостью приняли это средство аутентификации, которое действительно очень удобно.

Если говорить о плюсах такого средства аутентификации, то они довольно весомы. Рассмотрим их на примере Protectimus SMART, удобного программного токена для  генерации one time password, созданного компанией Протектимус:

• Смартфон всегда под рукой, доступен в любой момент, а значит, так же доступно будет и приложение на нем.
• Token снабжен PIN-кодом, позволяющим защитить генератор одноразовых паролей от несанкционированного доступа, если телефон по тем или иным причинам попадет в чужие руки.
• Гибкая система настройки: выбор длины пароля, алгоритма его генерации.
• Можно создать несколько токенов на одном устройстве.
• Наличие версии для гаджетов как на Android, так и на iOS. Более того, это может быть не только смартфон, но и смарт-часы Android Wear.
• Есть функция подписи данных (CWYS), которая позволяет защитить процесс транзакции от автозалива и реплейсмента.
• Защита данных не потребует никаких материальных затрат со стороны пользователя — приложение абсолютно бесплатное.

А есть ли недостатки у программных токенов? Как ни печально, есть. И основной из них — это то, что устройство, на которое устанавливается токен, не является полностью изолированным от внешних воздействий. Прежде всего, компьютерных вирусов. Особенно это касается Android смартфонов, большая часть которых имеет те или иные уязвимости.

Этого недостатка полностью лишены проверенные временем аппаратные токены. И хотя многие продвинутые пользователи и специалисты призывают признать их устройствами вчерашнего дня, они все же являются на сегодня самым надежным средством 2FA. Хотя, возможно, и не самым удобным. Но и с этим утверждением можно поспорить.

Так ли уж сложен в использовании традиционный аппаратный токен? Попробуем разобраться, в чем его обычно обвиняют сторонники прогресса.

• Элемент питания обыкновенного токена не подзарядишь, в отличие от смартфона с программным токеном. Те, кто придерживается подобного взгляда, упускают из виду тот факт, что срок работы батареи в токене составляет 3-5 лет. Это зачастую превышает жизненный цикл аккумулятора смартфона. Который еще и приходится заряжать практически ежедневно.
• Аппаратный токен неудобно носить с собой и можно потерять. На это можно возразить, что телефоны тоже, в общем-то, теряются. Что касается удобства ношения, то современные токены очень невелики по размерам, легкие и часто обладают приятным дизайном, делающим их еще и симпатичной имиджевой вещью. Например, токен Protectimus One имеет форму небольшого брелока, его легко подсоединить к связке ключей (которые обычно тоже стараются не терять и постоянно носят с собой). А другое решение — Protectimus Slim представляет собой точную копию кредитной карты и не займет много места в бумажнике.
• Программные токены бесплатны, а аппаратные — нет. Оспаривать этот факт не имеет смысла, но стоит иметь в виду, что за настоящее качество и надежность не грех и заплатить. Так, токен Protectimus Ultra обладает наивысшим уровнем защищенности и рекомендуется к использованию на самых важных участках системы обмена данными. Он работает по алгоритму “запрос-ответ”, учитывая время как дополнительный параметр аутентификации; имеет секретный ключ, который формируется в процессе активации и неизвестен даже производителю; для начала работы с устройством нужно ввести PIN-код.

Код аутентификации может быть получен разными способами, но следует признать, что как программные, так и аппаратные токены в любом случае более надежны, чем вариант, когда одноразовые пароли доставляются по электронной почте или SMS. При использовании токенов пароль не пересылается по GSM или сети Internet, где может быть теоретически перехвачен.

Так на чем же лучше остановить свой выбор? Однозначного ответа нет: и у программных, и у аппаратных токенов есть свои достоинства. Какие бы способы аутентификации ни применялись, главное — это обязательно использовать их. Делая это, мы проявляем заботу не только о собственной безопасности, но и о безопасности других пользователей сети.