mi a biztonsági token?
a biztonsági token olyan fizikai vagy digitális eszköz, amely kétfaktoros hitelesítést (2FA) biztosít a felhasználó számára, hogy igazolja személyazonosságát egy bejelentkezési folyamat során. Általában a fizikai hozzáférés azonosításának egyik formájaként vagy a számítógépes rendszer hozzáférésének módszereként használják. A token lehet olyan elem vagy kártya, amely egy felhasználó biztonsági információit jeleníti meg vagy tartalmazza, és amelyet a rendszer ellenőrizhet.
biztonsági tokenek használhatók a hagyományos jelszavak helyett vagy mellett. Leggyakrabban számítógépes hálózatokhoz való hozzáférésre használják, de biztosíthatják az épületekhez való fizikai hozzáférést, és elektronikus aláírásként szolgálnak a dokumentumok számára.
hogyan működnek a biztonsági tokenek?
a biztonsági token hitelesítést biztosít a rendszer eléréséhez bármely olyan eszközön keresztül, amely jelszót generál. Ez magában foglalhat egy intelligens kártyát, egy univerzális soros Buszkulcsot, egy mobil eszközt vagy egy rádiófrekvenciás azonosító kártyát. Az eszköz minden használatkor új jelszót generál, így egy biztonsági token segítségével bejelentkezhet egy számítógépre vagy virtuális magánhálózatra úgy, hogy beírja a token által generált jelszót a promptba.
a biztonsági token technológia egy olyan eszköz használatán alapul, amely véletlenszerű számot generál, titkosítja és elküldi azt egy kiszolgálónak a felhasználói hitelesítési információkkal. A szerver ezután titkosított választ küld vissza, amelyet csak az eszköz képes visszafejteni. Az eszközt minden hitelesítéshez újra felhasználják, így a szervernek nem kell felhasználónevet vagy jelszót tárolnia, azzal a szándékkal, hogy a rendszer kevésbé sérülékeny legyen a hackeléssel szemben.
biztonsági tokenek típusai
többféle biztonsági tokent használnak különböző eszközök és alkalmazások védelmére. Ezek a következők:
- egyszeri jelszavak (OTP-K). A digitális biztonsági token egyik formája, az OTP-k csak egy bejelentkezési munkamenetre érvényesek, vagyis egyszer és soha többé nem használják őket. Az első használat után a hitelesítési kiszolgáló értesítést kap arról, hogy az OTP-t nem szabad újra felhasználni. Az OTP-ket általában kriptográfiai algoritmus segítségével generálják egy megosztott titkos kulcsból, amely két egyedi és véletlenszerű adatelemből áll. Az egyik elem egy véletlenszerű munkamenet-azonosító, a másik pedig egy titkos kulcs.
- leválasztott tokenek. Ez a digitális biztonsági token egy olyan formája, amely fizikailag vagy logikailag nem csatlakozik a számítógéphez. Az eszköz OTP-t vagy más hitelesítő adatokat generálhat. Az asztali alkalmazás, amely szöveges üzenetet küld egy mobiltelefonra, amelyet a felhasználónak be kell írnia a bejelentkezésbe, leválasztott tokent használ.
- csatlakoztatott tokenek. A csatlakoztatott token olyan fizikai objektum, amely közvetlenül csatlakozik egy számítógéphez vagy érzékelőhöz. A készülék beolvassa a csatlakoztatott Tokent, és megadja vagy megtagadja a hozzáférést. YubiKey egy példa a csatlakoztatott token.
- érintés nélküli tokenek. Az érintés nélküli tokenek logikai kapcsolatot képeznek a számítógéppel fizikai kapcsolat nélkül. Ezek a tokenek vezeték nélkül csatlakoznak a rendszerhez, és engedélyezik vagy megtagadják a hozzáférést ezen a kapcsolaton keresztül. Például a Bluetooth-ot gyakran használják az érintés nélküli tokennel való kapcsolat létrehozásának módszereként.
- egyszeri bejelentkezési (SSO) szoftver tokenek. Az SSO szoftver tokenek digitális információkat tárolnak, például felhasználónevet vagy jelszót. Lehetővé teszik azok számára, akik több számítógépes rendszert és több hálózati szolgáltatást használnak, hogy bejelentkezzenek az egyes rendszerekbe anélkül, hogy több felhasználónevet és jelszót kellene megjegyezniük.
- programozható tokenek. A programozható biztonsági token ismételten létrehoz egy egyedi kódot, amely egy meghatározott időkeretre, gyakran 30 másodpercre érvényes, a felhasználói hozzáférés biztosítása érdekében. Például az Amazon Web Services Security Token Service egy olyan alkalmazás, amely 2FA kódokat generál, amelyek szükségesek az informatikai rendszergazdák számára az AWS felhőerőforrásainak eléréséhez.
biztonsági token előnyei
bár igaz, hogy a jelszavak és a felhasználói azonosítók továbbra is a legszélesebb körben használt hitelesítési formák, a biztonsági tokenek biztonságosabb lehetőséget jelentenek a hálózatok és a digitális rendszerek védelmére. A jelszavakkal és a felhasználói azonosítókkal az a baj, hogy nem mindig biztonságosak. A fenyegetések szereplői tovább finomítják a jelszavak feltörésének módszereit és eszközeit, sebezhetővé téve a jelszavakat. A jelszóadatok adatszegés esetén is hozzáférhetők vagy ellophatók. Ezenkívül a jelszavakat gyakran könnyű kitalálni, általában azért, mert könnyen felfedezhető személyes adatokon alapulnak.
a biztonsági tokenek viszont a felhasználó számára egyedi fizikai vagy digitális azonosítót használnak. A legtöbb forma viszonylag könnyen használható és kényelmes.
biztonsági token sebezhetőségek
míg a biztonsági tokenek számos előnyt kínálnak a felhasználóknak és a szervezeteknek, hátrányokat is okozhatnak. A fizikai biztonsági tokenek fő hátránya, hogy elvesztésnek és lopásnak vannak kitéve. Például egy biztonsági token elveszhet utazás közben, vagy jogosulatlan fél ellophatja. Ha egy biztonsági tokent elvesznek vagy ellopnak, azt ki kell kapcsolni és ki kell cserélni. Időközben a token birtokában lévő jogosulatlan felhasználó hozzáférhet a privilegizált információkhoz és rendszerekhez.