Будущее аутентификации: токенам конец?

Павел Мельниченко
руководитель направления
перспективных проектов
компании "Аладдин Р.Д.", к.т.н.

В однофакторной аутентификации многое зависит от самого фактора, а также от того, как хранятся данные, которые к нему относятся. Если говорить о факторе знания (в частности, логин и пароль), то его уязвимость в том, что зачастую используется один и тот же логин и пароль к различным ресурсам, пароль редко меняют, у него обычно низкий уровень сложности и его можно угадать. Чтобы сделать пароль более удобным, он часто упрощается, соответственно, уменьшается его стойкость. Тем не менее если на каждый ресурс будет устанавливаться уникальный пароль из 14 символов, состоящий из цифр, букв верхнего и нижнего регистра и спецсимволов, и ему будет сопутствовать, что очень важно, грамотно выстроенная система передачи, это обеспечит достаточную защиту. Ведь атаки на парольную защиту осуществляются разными способами: перехват пароля при вводе с клавиатуры, обработке в компьютере или передаче по сети в открытом виде. Причем, если даже передается не сам пароль, а его хэш, можно перехватить хэш и использовать его, не зная пароля. Отсутствие таких слабых мест делает пароль достаточно неплохим средством защиты и аутентификации пользователя.

В ходе проведения многофакторной аутентификации к паролю добавляется еще один фактор, например владение токеном. При этом защита становится надежнее: злоумышленник может узнать пароль, но пока у него нет токена, ничего не произойдет. Токен, так же как и человек, использующий пароль, должен как-то о себе заявить, то есть провести аутентификацию с помощью электронной подписи или какой-либо хранящейся в нем информации. Сама схема остается прежней, поэтому корректно сейчас говорить не о том, что токенам конец, а о том, что токены трансформируются во что-то другое.

Мобильные устройства

Если говорить о пользователях мобильных устройств, то для них токены могут быть заменены чем-то привязанным к человеку, и вероятнее всего, это будет SIM-карта мобильного телефона. Так, недавно компания "Ростелеком" сообщила о том, что к 2012 г. планируется запуск аутентификации по электронной подписи на SIM-карте, которая представляет собой тот же самый токен, только в другом виде, и доступ к ней осуществляется через другие каналы. Поскольку мобильный телефон сейчас есть у каждого, использовать его для аутентификации достаточно удобно. При этом применяется фактор владения (обладание телефоном с конкретной SIM-картой) и фактор знания (PIN-код к этой карте). Такая практика является весьма распространенной, и в мире имеется множество примеров подобного опыта. Например, в Эстонии и Турции ключ электронной подписи гражданина хранится на пластиковой и SIM-карте.

Один вектор развития – технология, основанная на криптографии, которая в любом случае требует, чтобы где-то хранились ключи шифрования, кто-то считывал криптографический ответ на запрос аутентификации и т.п. Стоит заметить, что этот вектор наиболее вероятен для массовой аутентификации. То, что на такую же систему аутентификации может перейти и корпоративный рынок, кажется весьма сомнительным. Вероятнее всего, в компаниях продолжат использоваться токены как нечто удобное, простое в управлении и администрировании, а главное, привязанное к корпоративной среде и контролируемое ею.

Биометрия

Другой вектор развития – это биометрия. Биометрический фактор позволяет с большой долей вероятности подтвердить, что человек, предъявляющий биометрический признак, на самом деле является тем, за кого он себя выдает. В качестве биометрического признака могут выступать рисунок радужной оболочки или сетчатки глаза, отпечатки пальцев, ДНК и пр. Для аутентификации достаточно всего одного признака.

На сегодняшний день существует ряд способов использования биометрии. В одних случаях аутентификация проводится непосредственно по биометрическому признаку. Например, снимается отпечаток пальца, отправляется в базу данных, где ему находится соответствие. Назовем это стандартной аутентификацией по биометрическому признаку. Есть также другая технология биометрии под названием Match-on-Card: у пользователя снимается отпечаток пальца, затем формируется некий паттерн (или шаблон). Этот паттерн используется для доступа к ключам, которые хранятся на токене или смарт-карте. В этом случае два фактора – владение чем-то и знание чего-то – подменяются владением чем-то и обладанием уникальным признаком, то есть остается та же двухфакторная аутентификация, только происходит замена пароля на биометрический признак. Таким образом, можно выделить два способа реализации биометрической аутентификации, каждый из которых обладает своими особенностями. При применении Match-on-Card в компании нет необходимости создавать базу данных биометрических признаков сотрудников. Биометрический признак человека аутентифицирует его в карте, а она, в свою очередь, аутентифицирует человека в системе. В то же время для стандартной биометрической аутентификации не требуется карточка, пользователю достаточно обладания каким-либо признаком.

Существуют также программные способы аутентификации, скажем, различные плагины для мобильных устройств, генерирующие одноразовые пароли. Однако они не могут конкурировать с криптографическими решениями, поскольку не обладают должным уровнем стойкости. Одноразовые пароли могут быть достаточно удобными, но при нынешней тенденции к использованию криптографических способов аутентификации, когда каждый пользователь скоро сможет проводить строгую аутентификацию с помощью SIM-карты, снижение уровня защиты потеряет всякий смысл.

Кроме того, программные способы аутентификации, одноразовые пароли не обладают той гибкостью и удобством, которые предлагают аппаратные средства, все больше и больше входящие в нашу жизнь. Тем не менее всегда есть такие сценарии, при которых используются и криптографические средства, и одноразовые пароли. В частности, это системы дистанционного банковского обслуживания: после аутентификации человека в системе для подтверждения его действий может потребоваться независимый канал передачи подтверждений, в качестве которого могут выступать, например, SMS-сообщения.

В силу того что методы аутентификации, основанные на криптографии с открытым ключом, становятся все более и более доступными, поскольку рядом формируется широкий спектр электронных устройств, способных доказать аутентичность своего владельца защищенным способом, говорить о том, что токенам конец, – преждевременно. В одном сегменте использования (частные пользователи) они скорее всего трансформируются в форм-фактор более привычного устройства, в других (например, корпоративный рынок) они будут двигаться в сторону более удобного использования, наращивания функций. Но по своей сути – работа с криптографическими ключами и вычислениями – токены в ближайшее время останутся теми же токенами.