موضوع مقاله: توکن امنیتی | مخاطب: عمومی | لحن: دانشنامه‌ای | ساختار: عنوان، مقدمه، 3 بخش، جمع‌بندی | مقاله: | # توکن امنیتی | مقدمه: نمودافزار امنیتی یا توکِن امنیتی سخت‌افزاری کوچک است که برای ورود کاربر یک سرویس رایانه‌ای به سامانه به‌کار می‌رود. | ## بخش 1: توکن امنیتی | به عبارت دیگر، این دستگاه یک دستگاه فیزیکی است که در اختیار کاربران مجاز قرار می‌گیرد تا به راحتی بتوانند برای استفاده از یک سیستم کامپیوتری هویت آن‌ها تشخیص داده شود. توکن امنیتی برای اثبات هویت فرد به صورت الکترونیکی استفاده می‌شود.(به عنوان مثال نحوه دسترسی به حساب بانکی از راه دور). از توکن به علاوه یا به جای رمز عبور معمولی برای احراز هویت مشتری که خواهان ورود به سیستم است، بهره می‌برند. بعضی از توکن‌ها کلیدهای رمزنگاری مانند امضا دیجیتال و اطلاعات بیومتریک مثل اثرانگشت را در حافظه خود ذخیره می‌کنند. این توکن‌ها شامل چند کلید برای وارد کردن پین‌کد یا شماره شناسایی شخصی) و آغاز برنامه توکن برای انجام عملیات ایجاد رمز عبور هستند. طراحی مخصوصی از این توکن به صورت ارتباط USB و بلوتوث است که این روش‌ها در انتقال کلید رمز تولید شده به سیستم دخالت دارند. انواع نشانه و موارد استفاده چهار گونه نشانهٔ امنیتی وجود دارد: رمز ثابت رمز پویا با استفاده از الگوریتم متقارن رمز پویا با استفاده از الگوریتم نامتقارن پرسش و پاسخ در این نوشته منظور نوع دوم نشانه‌است. مشتری اعداد را به وسیله صفحه کلیدی که روی صفحه نمایش وجود دارد وارد می‌کند و سپس شماره شناسایی شخصی یا PIN code برای ورود به نشانه را زده وارد می‌شود. هرچند قطع شدن از سرور احراز هویت باعث می‌شود که نشانه‌ها در مقابل حملات میانی آسیب‌پذیر باشند. این نوع نشانه‌ها دنباله‌ای از کلید را به مشتری محلی یا نزدیک‌ترین نقطه دسترسی انتقال می‌دهند. این نوع نشانه نیز همانند نشانه‌های غیر متصل فیزیکی (نوع اول) در مقابل حملات میانی آسیب‌پذیر هستند. در نشانه‌هایی که باید به کامپیوتر متصل شوند، باید موارد زیر را در نظر گرفت: - اتصال نشانه به سیستم با استفاده از دستگاه‌های ورودی مناسب - وارد کردن PIN code در صورت نیاز وابسته به نوع نشانه، سیستم عامل کامپیوتر باید: - کلید را از نشانه می‌خواند و عملیات رمزنگاری را روی آن اجرا می‌کند. - و یا اینکه از سفت افزار (تلفیقی از سخت افزار و نرم‌افزار- firmware) نشانه می‌خواهد این عملیات را انجام دهد. در پایان، یک روش دسترسی به نشانه که نشانه مجازی نامیده می‌شود، به برقراری ارتباط http/https در پروتکل اینترنت برای تبادل اطلاعات نشانه و کلید امضای دیجیتال با سایر دستگاه‌های متصل به اینترنت، تکیه دارد. دانگل در قسمت ورودی دستگاه قرار می‌گیرد و نرم‌افزار هنگام دسترسی به دستگاه‌های ورودی و خروجی (I/O) از سوالات احراز هویت نرم‌افزار استفاده می‌کند و مجاز شمرده شده و سپس دسترسی قابل قبول است. کمترین نیازمندی هر نشانه داشتن یک مشخصه منحصربه‌فرد ذاتی است که در حافظه ذخیره شده‌است. این حافظه قابل دستکاری نیست و به بیان بهتر به گونه‌ای طراحی شده‌است که به صورت باز برای سایر کاربردهایی که توسط فروشندگان نشانه و سازمان‌های دیگر ارائه می‌شود، در دسترس نیست. کمترین نیازمندی در این نوع، اتصال به رسانه‌هایی مشابه شبکه‌های موبایل برای USSD، پیام کوتاه و صدا است، که تمام چیزهایی که نیاز است در شماره موبایل یا تلفن ثبت شده‌است. آسیب پذیری ساده‌ترین مورد آسیب پذیری در وسایلی که شامل رمز هستند، گم شدن دستگاه کلید مخصوص یا فعال‌کننده تلفن هوشمند با توابع جامعیت کلید است. در این نوع حمله، فرد کلاهبردار به عنوان یک عنصر میانی بین کاربر (نشانه) و سیستم اصلی (احراز هویت) قرار می‌گیرد. | ## بخش 2: توکن امنیتی | سپس مقدار نشانه را از کاربر درخواست کرده و خودش آن را به سیستم احراز هویت تحویل می‌دهد و خود را به جای کاربر نشانه جا می‌زند. تا زمانیکه مقدار نشانه از نظر ریاضی درست باشد، احراز هویت با موفقیت انجام می‌شود و فرد کلاهبردار قادر به دسترسی است. در سال ۲۰۰۶، Citibank اعلام کرد که کاربران سخت افزارهایی که بر اساس نشانه کار می‌کردند، قربانی حمله میانی توسط افراد اوکراینی گردیده‌اند. برای ساخت امضای دیجیتال نیاز به یک کلید خصوصی است که فقط خود فرد مجاز آن را می‌داند. نشانه‌ها با انجام عملیات تولید مطمئن و ذخیره کلید خصوصی امضای دیجیتال را امن می‌کنند. نشانه‌هایی که برای احراز هویت استفاده می‌شوند باید یک شماره خاص و یکتا داشته باشند. نشانه‌هایی که صفحه کلید ندارند یا از اینترفیس‌های دیگری استفاده می‌کنند برای سناریو امضا مناسب نیستند. برای اینکه به امضای دیجیتال اعتبار دهیم، وجود یک زیرساخت کلید عمومی (PKI) ضروری است. دلیل این موضوع این است که امضای دیجیتال بر پایه رمزنگاری نامتقارن کار می‌کند، که در آن از یک جفت کلید (کلید خصوصی و کلید عمومی) استفاده می‌شود. کلید خصوصی برای ایجاد امضای دیجیتال استفاده می‌شود و کلید عمومی برای تأیید اعتبار آن. PKI شامل مراجع صدور گواهی (CA) است که هویت صاحب کلید عمومی را تأیید می‌کنند و یک گواهی دیجیتال صادر می‌کنند. این گواهی دیجیتال حاوی اطلاعاتی مانند کلید عمومی، هویت صاحب کلید و امضای دیجیتال CA است. وقتی شخصی امضای دیجیتال را دریافت می‌کند، می‌تواند با استفاده از گواهی دیجیتال و کلید عمومی موجود در آن، اعتبار امضا را تأیید کند. بدون PKI، هیچ راه مطمئنی برای تأیید اینکه کلید عمومی متعلق به شخص یا سازمان مورد نظر است وجود ندارد. امضای دیجیتال و زیرساخت کلید عمومی (PKI) امضای دیجیتال و زیرساخت کلید عمومی (PKI) دو مفهوم اساسی در امنیت اطلاعات هستند که برای تأمین اعتبار، محرمانگی و یکپارچگی داده‌ها استفاده می‌شوند. امضای دیجیتال یک روش رمزنگاری است که به کمک آن می‌توان اصالت و عدم تغییر یک سند یا پیام دیجیتال را تأیید کرد. این امضا با استفاده از یک کلید خصوصی ایجاد می‌شود و توسط کلید عمومی متناظر قابل تأیید است. به این ترتیب، گیرنده می‌تواند مطمئن شود که پیام از فرستنده واقعی ارسال شده و در طول انتقال دستکاری نشده است. زیرساخت کلید عمومی (PKI) نیز یک چارچوب امنیتی است که برای مدیریت و توزیع کلیدهای عمومی و خصوصی استفاده می‌شود. PKI شامل اجزایی مانند مراجع صدور گواهی (CA)، گواهی‌های دیجیتال و سیستم‌های مدیریت کلید است. | ## بخش 3: توکن امنیتی | این زیرساخت به سازمان‌ها و افراد اجازه می‌دهد تا با اطمینان از هویت طرف مقابل، ارتباطات امن برقرار کنند. PKI به‌طور گسترده در پروتکل‌های امنیتی مانند SSL/TLS برای وب‌سایت‌ها، ایمیل‌های رمزنگاری‌شده و احراز هویت دیجیتال استفاده می‌شود. انواع نشانه‌های سخت افزاری و نرم‌افزاری بعضی از نشانه‌های امنیتی هم به صورت سخت افزاری و هم به صورت نرم‌افزاری در دسترس هستند. اگر فردی به این دو نوع نشانه امنیتی نگاه کند، از لحاظ ساختاری یکسان به نظر می‌رسند ولی در توابع یک سری تفاوت‌هایی با هم دارند. در عوض یک صفحه نمایش داخل خود دارند که داده‌های احراز هویت به وسیله آن نمایش داده می‌شود و کاربر به صورت دستی اطلاعات را با صفحه کلید وارد می‌کند. این نوع نشانه (معمولاً همراه یک رمز عبور) برای احراز هویت در تشخیص افراد به صورت بر خط بیشتر مورد استفاده قرار می‌گیرد. نشانه‌ها در این دسته به‌طور اتوماتیک اطلاعات احراز هویت را به کامپیوتر مشتری در همان اولین ارتباط منتقل می‌کند، به جز اطلاعاتی که باید به‌طور دستی توسط کاربر داده شود. معمول‌ترین نوع از نشانه‌های متصل، کارت‌های هوشمند و نشانه USB است که به ترتیب نیاز به دستگاه کارت خوان کارت هوشمند و پورت USB دارند. (همانند آن‌هایی که توسط مؤسسه‌های مالی استفاده می‌گردد، مثل دسته چک) عملکرد محاسباتی کارت هوشمند اغغلب محدود است و آن به دلیل توان مصرفی بسیار کم آن هاست. در این نوع برخلاف نشانه متصل که نیاز به اتصال فیزیکی دارد، از اتصال منطقی برای ارتباط با کامپیوتر مشتری استفاده می‌شود. به دلیل عدم استفاده از اتصال فیزیکی، این نشانه کاربردی راحت‌تر نسبت به نشانه متصل دارد. به‌طور کلی می‌توان گفت نشانه بدون تماس برای سیستم‌های ورودی بدون کلید و پرداخت الکترونیک مثل رمز سریع موبایل که از فرکانس‌های رادیویی برای اطلاعات احراز هویت استفاده می‌کنند، انتخاب مناسب تری است. این نوع نشانه چون از فرکانس‌های رادیویی استفاده می‌کند احتمال نگرانی در مسائل امنیتی آن بیشتر است. در یک بررسی مشخص شد که فرکانس‌های رادیویی مورد استفاده به راحتی قابل هک یا کپی برداری هستند. مشکل دیگر در رابطه با نشانه بدون تماس عمر بسیار محدود باتری آن است، که معمولاً ۵-۳ سال می‌باشد. نشانه بلوتوثی نشانه بلوتوثی اغلب با نشانه USB ترکیب می‌شود به این ترتیب هم در حالت متصل و هم در حالت بدون تماس کار می‌کند. از مزیت‌های عملیات در حالت بلوتوث این است که می‌توان عمل خاتمه کار را با افزایش فاصله (از بین رفتن بلوتوث) ادغام کرد. GSM تلفن سلولی کاربران می‌توانند از تلفن همراه خود به عنوان نشانه امنیتی بهره ببرند. یک برنامه جاوا روی موبایل نصب می‌شود که آن توابع برای فراهم آوردن یک نشانه مخصوص را روی گوشی اجرا می‌کند. دیگر روش‌های استفاده از تلفن سلولی شامل ارسال پیام کوتاه، برانگیختن یک تلفن غیرفعال و استفاده از پروتکل‌های اینترنتی مثل HTTP/HTTPS است. | ## جمع‌بندی | چنین روش‌هایی می‌توانند به راحتی گسترش پیدا کنند و باعث کاهش هزینه‌های منطقی و حذف نیاز به نشانه‌های مجزا شوند.