Реферат: Аутентифікація користувачів на основі токенів безпеки
Загрози безпеці інформації з боку шахраїв призвело до необхідності введення додаткової аутентифікації карток відносно платіжної системи, так званого числа перевірки картки (Card Verification Value). CVV – це складна для обчислення послідовність цифр, яка створюється зашифруванням певної інформації. CVV записано на магнітну стрічку картки, так що збирання візуальної інформації про власника картки та власне про картку нічого зловмисникові не дає.
Для утворення CVV комбінуються статичні дані, наприклад, номер рахунку, тричі шифрується на ключах Card Verification. З утвореного результату обираються цифри для створення CVV та записуються на магнітну стрічку.
Отже, CVV надає додатковий рівень захисту картки від підробки. Треба мати на увазі, однак, що цей спосіб не захищає від такої атаки, як збирання даних про картки за допомогою фальшивих банкоматів.
Існує ще один варіант CVV - CVV2, який використовується для авторизації телефоном. Він розраховується приблизно за таким самим алгоритмом, як і CVV, а результат друкується на звороті картки. Ці цифри можуть запитувати при виконанні трансакцій по телефону для перевірки легітимності операції.
Для підтримки PIN виконуються такі обчислення:
- Генерується 4-значне число - це PIN;
- PIN комбінується з іншою інформацією, наприклад, з номером рахунку, щоб створити блок даних для процесу шифрування;
- Цей блок тричі шифрується на робочих ключах PIN;
- З отриманого результату обираються деякі цифри. Вони і є Pin Verification Value (Число Перевірки PIN) або Pin Offset (Зміщення PIN);
- Зміщення PIN зберігається;
- Друкується захищений конверт з PIN;
- Пам’ять очищується нулями, щоби приховати усі сліди існування PIN.
На цьому етапі єдине місце, де знаходиться відкрите значення PIN – це конверт, а сам PIN не можна отримати зі зміщення PIN.
Коли картка використовується, власник вводить PIN-код, а зміщення обчислюється та порівнюється з тим, що зберігається у базі даних комп’ютера. Отже і у цьому разі PIN-код не передається мережами у відкритому вигляді.
Ще раз підкреслюємо, що зміщення складається з цифр, які вибрано з шифрованих даних. Зазвичай це 4-6 цифр, знаючи які неможливо відновити власне PIN.
Робота з певним провайдером починається з виклику функції CryptAcquireContext, де користувач визначає тип потрібного криптопровайдера, його назву та назву робочого ключового контейнера. В результаті роботи функція повертає користувачу дескриптор криптопровайдера (handle), за допомогою якого користувач в подальшому буде звертатися до нього та передавати його у процедури для виконання усіх необхідних криптографічних операцій.
Детальний опис контексту роботи з криптопровайдерами та приклади (мовою програмування С) дивіться у книжці Щербакова Л.Ю., Домашева А.В. "Прикладная криптография".
Власне бібліотеки CryptoAPI разом з файлами заголовків та допомоги постачаються у складі бібліотек MSDN.
Відомості про способи аутентифікації.
Однією з основних функцій систем захисту від несанкціонованого доступу є ідентифікація та аутентифікація. Вона полягає в тому, що жоден суб’єкт (сутність обчислювальної системи, здатна ініціювати виконання операцій) не може отримати доступ до об’єктів (сутностей обчислювальної системи, що захищаються) без надання системі захисту певного обсягу інформації про себе.
При цьому ідентифікація суб’єкта полягає в тому, що суб’єкт повідомляє системі захисту свій унікальний ідентифікатор в обчислювальній системі; аутентифікація суб'єкта полягає в тому, що суб’єкт надає системі захисту окрім ідентифікуючої інформації ще й певну інформацію, за допомогою якої система перевіряє, що він дійсно є тим суб’єктом, якого стосується ідентифікуюча інформація; авторизація суб’єкта відбувається після вдалих ідентифікації та аутентифікації і полягає в тому, що обчислювальна система виконує дії, необхідні для того, щоб суб’єкт мав можливість почати роботу.
Таким чином, щоб отримати доступ в обчислювальну систему, користувач має спочатку ідентифікувати себе, а механізми захисту, в свою чергу, мають підтвердити істинність користувача, тобто підтвердити, що він дійсно є тим, кого з себе удає. Існує три групи способів підтвердження істинності користувача. Відповідно, для кожної групи механізми підсистеми ідентифікації та аутентифікації мають перевірити:
1)щось, що користувач знає (паролі, ідентифікаційні коди, інші відомості);
2)щось, що користувач має (ключі, магнітні чи смарт-картки і т.п.);
3)щось, чим користувач є (особисті характеристики користувача: відбитки пальців, малюнок сітківки ока, характеристики голосу, особливості користування клавіатурою та маніпуляторами).
Далі розглядатимуться способи, що належать до першої групи, як найбільш поширені.
Якщо перевіряється істинність тільки користувача, то таку процедуру називають одностороннім (peer-entity) підтвердженням істинності. В іншому випадку, тобто коли користувач має підтвердити свою істинність системі, а система, в свою чергу, має підтвердити свою істинність користувачеві, така процедура носить назву двосторонньої (peer-to-peer) аутентифікації.
В разі використання аутентифікації за простим паролем кожен користувач обчислювальної системи отримує пару значень – ідентифікатор (ім'я в системі) та пароль. Користувач отримує доступ, якщо вказаний ним в процесі входу в систему ідентифікатор є зареєстрованим, а відповідний пароль – вірним.
Така схема вразлива щодо втрати або розголошення пароля, внаслідок чого одні користувачі можуть видавати себе за інших, тим самим здійснюючи несанкціонований доступ.