Токены, смарткарты и мобильные телефоны

Огромное количество проблем, связанных с безопасностью паролей, решаются путем внедрения токенов для двухфакторной аутентификации, которые предлагают такие производители, как RSA, Passlogix, Аладин и др. Тем не менее не следует считать, что внедрение токенов или смарткарт раз и навсегда решит все проблемы аутентификации. Если построить шкалу между уровнем безопасности и легкостью внедрения и управления системой аутентификации, то пароли окажутся на одном ее конце, токены и смарткарты — на противоположном. В то время как при правильном обращении токены очень безопасны, пользователи имеют тенденцию их регулярно терять или, по крайней мере, оставлять без присмотра. Проводя аудит, проверьте, не валяются ли токены или смарткарты на столах сотрудников и их легко можно выкрасть. Особенно такие ситуации часты, когда одному и тому же человеку необходимо иметь множество токенов для доступа на различные ресурсы, к примеру принадлежащие удаленным отделам или партнерским компаниям.

В настоящее время активно развивается компромиссный метод, основанный на применении мобильных телефонов вместо токенов, с пин-кодом, присылаемым по запросу на аутентификацию через SMS. В зависимости от изначальных установок такой логин-код может быть использован как однократно, так и несколько раз, а также на протяжении обозначенного периода времени (скажем, в течении трех часов). Это позволяет хранить на одном мобильнике логин на множественные ресурсы, кроме того, пользователи склонны более тщательно следить за своими телефонами, чем за дешевыми корпоративными токенaми, и меньше их терять.

Тем не менее и здесь есть свои проблемы. Проводя аудит и зная, что в компании принята подобная система , проверьте, не оставляют ли эти телефоны без присмотра и не одалживают ли их коллегам, друзьям и т. д . Также рекомендуется быстрое сканирование на предмет их открытости через Bluetooth и наличия распространенных уязвимостей, позволяющих «вытянуть» из телефона полученные сообщения (вместе со всеми присланными пин-кодами, которые на момент атаки могут быть действительными). А смартфоны с возможностью подключения к рабочим станциям и даже локальным сетям, например через Wi-Fi, и используемые для двухфакторной аутентификации не должны к ним быть подключен ы постоянно, если такое подключение вообще разрешается политикой безопасности компании.

В любом случае, используются ли в качестве замены паролям токены, выходящие из моды смарткарты или же мобильники, контроль за этими устройствами должен быть жестким, включая детальную инвентаризацию, отчетность и адекватную реакцию на потерю или похищение таких устройств. И при проведении внутренних аудитов все эти меры должны быть тщательно проверены — и на бумаге, и на практике.