SecurID

RSA Secur ID
Průmysl Jednorázové heslo
Současný majitel RSA Bezpečnostní divize společnosti EMC
Země původu USA
Ambasadoři značky Ronald Rivest ,
Adi Shamir
a Leonard Adleman
Slogan "Nejdůvěryhodnější jméno v počítačové bezpečnosti" [1]
webová stránka emc.com/security/… (  anglicky)
 Mediální soubory na Wikimedia Commons

SecurID (také RSA SecurID) je technologie vyvinutá společností RSA (později známá jako RSA The Security Division of EMC), která poskytuje dvoufaktorovou autentizaci mezi uživatelem a síťovými zařízeními . Dvoufaktorová autentizace RSA SecurID® spoléhá na to, že znáte heslo (nebo PIN ) a máte klíč, což poskytuje mnohem silnější úroveň ověření uživatele než opakovaně použitelná hesla. Toto řešení je jediným řešením, které automaticky mění heslo každých 60 sekund. RSA nabízí podnikům širokou škálu možností autentizace uživatelů , které jim pomáhají s jistotou identifikovat uživatele dříve, než budou moci pracovat s kritickými daty a aplikacemi v různých sítích a zdrojích.

Struktura RSA SecurID

RSA SecurID obsahuje tři hlavní komponenty

RSA Authentication Manager

RSA Authentication Manager je standard pro zajištění identity. Tento systém zahrnuje všechny čtyři funkce, které jsou nezbytné k zajištění identity jednotlivce: správu pověření na základě politiky autentizace uživatele, autentizaci, autorizaci a inteligentní zpracování. RSA Identity Assurance má širší koncept autentizace, od jediného bezpečnostního opatření po holistický model důvěryhodnosti identity, který definuje, jak se účet používá a jaké jsou jeho možnosti. Používání důvěryhodných účtů zvyšuje bezpečnost každodenních transakcí a poskytuje podporu pro nové obchodní modely , zaručuje bezpečný přístup pro zaměstnance , zákazníky a partnery a udržuje potřebnou rovnováhu mezi rizikem , náklady a pohodlím . Tento software provádí následující úkoly:

Software RSA® Authentication Manager je součástí správy systému RSA SecurID®. Toto řešení zpracovává požadavky na autentizaci a centrálně spravuje zásady ověřování uživatelů. Řešení ve spojení s autentizátory RSA SecurID a RSA® Authentication Agents poskytuje dvoufaktorovou autentizaci uživatelů a bezpečný přístup k široké škále sítí VPN, bezdrátovým sítím, webovým aplikacím , podnikovým aplikacím a operačním systémům .

RSA Authentication Manager poskytuje vysoký výkon a škálovatelnost s funkcemi správy, jako je replikace databáze , protokolování a vytváření sestav, nativní podpora LDAP a webová správa. RSA Authentication Manager dokáže vyhovět potřebám organizací všech velikostí. Na základě multiprocesorové architektury podnikové třídy může podporovat 25 až několik milionů uživatelů na jednom serveru a také stovky autentizací za sekundu. RSA Authentication Manager se používá po celém světě ve státní správě, bankovnictví, výrobě, maloobchodu, high-tech a zdravotnictví, včetně mnoha malých a středních společností. Existují dvě verze tohoto řešení: Base Edition (základní verze) a Enterprise Edition (firemní verze).

Funkce replikace databáze

Funkce replikace databáze RSA Authentication Manager poskytuje větší flexibilitu konfigurace sítě a vyrovnávání zátěže pro zlepšení výkonu a v konečném důsledku snížení nákladů na správu. Základní verze má jeden hlavní server a jeden replikovaný server. Na hlavním serveru jsou spravovány uživatelské účty a všechny informace jsou zkopírovány na replikační server. Požadavky na autentizaci mohou zpracovávat oba servery; Agent RSA Authentication Agent rozděluje pracovní zátěž mezi servery sledováním doby odezvy a směrováním požadavku na příslušný server za účelem optimalizace výkonu. Podniková verze, která je určena pro střední a velké společnosti, má jeden hlavní server a až patnáct replikovaných serverů v jedné oblasti (ověřovací sféra) a může připojit až šest samostatných sfér. Každý ze serverů v nasazeném systému může být skupinou 4 strojů, což zefektivňuje rozložení zátěže spojené s administračními a autentizačními úkoly. To umožňuje správcům sledovat ověřování uživatelů na jejich systémech v reálném čase, současně aktualizovat zásady zabezpečení a navrhovat topologie globální sítě pro zlepšení výkonu sítě.

Audit a reporting

RSA Authentication Manager uchovává záznamy o všech transakcích a uživatelských akcích, takže jej administrátoři mohou používat jako nástroj pro audit a hlášení a také provádět kontroly souladu. Obsahuje šablony zpráv , které lze přizpůsobit administrativním úkolům, včetně zpráv o aktivitách, výjimkách, incidentech a využití systému. Kromě funkcí hlášení obsahuje tento produkt také monitor v reálném čase, který zobrazuje všechny nebo správcem vybrané aktivity v globálně nasazeném systému.

Kompatibilita

RSA Authentication Manager je kompatibilní s většinou největších síťových produktů a operačních systémů – včetně více než 400 produktů od více než 200 dodavatelů – poskytuje organizacím maximální flexibilitu a ochranu investic a poskytuje jim maximální flexibilitu a ochranu investic. Vestavěnou podporu pro RSA Authentication Manager poskytují přední výrobci systémů vzdáleného přístupu, virtuálních privátních sítí, bezpečnostních systémů, bezdrátových zařízení, webových serverů a podnikových aplikací .

Podporovány jsou následující operační systémy : Microsoft Windows Server 2003 , Sun Solaris , Red Hat Linux , SuSE Linux Enterprise Server , HP-UX , IBM AIX .

Podpora LDAP

Podpora LDAP poskytuje integraci se Sun One a Microsoft Active Directory , RSA Authentication Manager a nevyžaduje synchronizaci. Webové administrační rozhraní RSA Authentication Manage nevyžaduje od klienta instalaci softwaru a lze jej spravovat z libovolného počítače s připojením k internetu a nainstalovaným prohlížečem .

RSA Credential Manager

RSA Credential Manager je pevně připojen k rozhraní správy RSA Authentication Manager a nevyžaduje samostatnou instalaci. Nabízí funkce, jako je samoobsluha , která umožňuje koncovým uživatelům požadovat různé služby, jako je získání hesla z tokenu na vyžádání pro nouzový přístup nebo zřízení pracovního postupu rezervace (který umožňuje správcům vytvářet procesy, jejichž prostřednictvím jsou požadavky schvalovány a vydávají se pověření.

RSA Authentication Agents

Hlavním úkolem je požadovat, aby uživatel zadal informace SecurID, odeslal je na centrální server a v závislosti na odpovědi udělil nebo zakázal přístup. Agenti zajišťují vyrovnávání zátěže tím, že určují dobu odezvy replikačního serveru a podle toho reagují.

RSA Authentication Agent je software zabudovaný do serverů pro vzdálený přístup (RAS), firewallů a virtuálních privátních sítí (VPN), který zajišťuje, že technologie RSA SecurID bude bezproblémově fungovat v jakémkoli uživatelském prostředí. Navíc vám agenti umožňují zabezpečit webové stránky a aplikace na intranetu nebo extranetu a zároveň chránit kritické back-end systémy.

Agenti mohou také poskytovat bezpečný přístup k doménám a zdrojům NT hostovaným na serverech UNIX, sálových počítačích, systémech střední třídy a řadě starších hostitelů. Softwarová sada nástrojů vám umožňuje vytvářet uživatelské agenty pro ochranu dalších interních aplikací, které jsou specifické pro konkrétní organizaci.

Seznam zdrojů, které lze chránit, je obrovský. Zahrnuje webové servery, síťové zdroje, servery VPN a telefonické připojení, poštovní servery, pracovní stanice, servery pro vzdálený přístup k aplikacím. Kompletní seznam, stejně jako pokyny k integraci, najdete na stránkách výrobce. Pokud požadovaný prostředek není v seznamu, je podporováno ověřování RADIUS. Pokud to nestačí, existuje API, které vám umožní napsat potřebného agenta sami.

RSA SecurID Authenticators

Stejný token nemusí být tím správným pro všechny, pokud jde o výběr správného autentizátoru, který zajistí rovnováhu mezi zabezpečením vaší organizace, celkovou hodnotou podniku a potřebami koncových uživatelů. Díky široké škále snadno použitelných tvarových faktorů existují autentizátory RSA SecurID, které splňují širokou škálu organizačních a aplikačních požadavků.

Hardwarový token RSA SecurID

Hardwarové tokeny RSA SecurID jsou vyráběny s jistotou, že nenarazíte na skryté náklady spojené s vadnými tokeny. Výběrem tokenů RSA SecurID, které jsou dodávány s doživotní zárukou, mohou organizace snížit režijní náklady na distribuci náhradních tokenů a snížit celkové náklady na zabezpečení, přičemž koncovým uživatelům poskytují konzistentní a snadno použitelnou autentizaci. Hardwarové tokeny RSA SecurID přicházejí v různých praktických modelech, které generují a zobrazují nové kódy každých 60 sekund.

Tokeny RSA SecurID ve formě přívěsků na klíče

Modely RSA SecurID SD600 [2] a SID700 [3] jsou malé přívěsky na klíče, které lze připevnit na klíčenku a vejdou se do uživatelovy kapsy nebo malého přenosného pouzdra a poskytují vysokou odolnost ve spolehlivé a přenosné podobě.

Nejnovějším modelem této řady je zařízení RSA SecurID SID800 [4] . Poskytuje funkci jednorázového hesla jako ostatní modely a navíc další funkce díky vestavěnému USB portu a chytrému čipu . Toto zařízení lze použít ke generování jednorázových kódů a také k ukládání uživatelských jmen, hesel pověření systému Windows a digitálních certifikátů , které generují hlavní klíče pro několik metod ověřování . Po připojení RSA SecurID 800 je navíc povoleno automatické zadávání tokenového kódu, což umožňuje softwarovým aplikacím tokenu zadávat kódy přímo ze zařízení a eliminuje potřebu, aby uživatel zadával kódy sám z klávesnice.

Tokeny čipových karet RSA SecurID

Základní hardwarový autentizační token RSA SecurID, reprezentovaný modelem RSA SD200. Toto zařízení má velikost kreditní karty a poskytuje vynikající výkon, přesto je zaručeno pro každé ověřovací zařízení RSA SecurID. Je vyroben z kovu a má tloušťku cca 5 mm.

Token RSA SecurID SD 520 je podobný tokenu SD200, ale má další numerickou klávesnici. Na tomto panelu se zadává PIN kód uživatele. Výsledkem je, že token zobrazuje nejen kód tokenu, ale kombinaci kódu PIN a kódu tokenu, který se zadává během ověřování. Tento token má oproti předchozímu modelu výhodu v tom, že umožňuje zajistit bezpečnost PIN kódu, i když jsou zaznamenávány stisky kláves.

Software Authenticators

RSA SecurID Software Authenticators – softwarové tokeny používají stejný algoritmus jako hardwarové tokeny RSA SecurID, takže uživatelé nemusí mít přehled o hardwarových zařízeních. Místo aby byl symetrický klíč uložen v hardwaru RSA SecurID, je bezpečně uložen v počítači nebo chytrém telefonu uživatele . Softwarové autentizátory RSA SecurID pomáhají řídit náklady efektivněji a zároveň snižují počet položek potřebných k získání přístupu k síti nebo podnikovým aktivům a eliminují nutnost výměny tokenů v případě, že někdo opustí společnost nebo se token ztratí.

Softwarové tokeny RSA SecurID pro chytré telefony

Softtokeny RSA SecurID jsou dostupné pro různé mobilní platformy včetně zařízení BlackBerry , iPhone , Windows Mobile , Java ™ ME, Palm OS a Symbian OS UIQ. Integrace tokenů RSA SecurID s chytrými telefony usnadňuje zaměstnancům společnosti práci s nimi. [5]

RSA SecurID Token pro Windows a RSA SecurID Token pro Mac OS X

RSA SecurID Token pro Windows a RSA SecurID Token pro Mac OS X jsou pohodlné tvarové faktory nainstalované na vašem počítači a poskytují automatickou integraci s předními klienty prostřednictvím vzdáleného přístupu.

Token RSA SecurID Toolbar

RSA SecurID Toolbar Token, token vestavěný do prohlížeče, umožňuje automatické vyplňování formulářů webových aplikací se zaměřením na zabezpečení pomocí mechanismů proti phishingu.

RSA SecurID On-demand Authenticator

RSA SecurID On-demand Authenticator umožňuje uživatelům získat jednorázové heslo ve formě SMS zprávy doručené na mobilní telefon nebo e-mail. Uživatelé si vyžádají jednorázové heslo pomocí intuitivní samoobsluhy webového modulu zadáním svého PIN . RSA SecurID On-demand Authenticator nevyžaduje hardwarový ani softwarový token. To je skvělá volba pro uživatele, kteří nepotřebují často vzdáleně přistupovat k síti.

Popis procesu ověřování

Když uživatel požaduje přístup k prostředku, ať už je to webový portál, pracovní stanice , síťové úložiště, VPN nebo telefonický server. Místo standardní výzvy k přihlášení a zadání hesla je vyžadováno přihlášení a heslo. Přístupová fráze je reprezentována jako speciální kombinace PIN kódu (4 číslice, které si uživatel pamatuje) a kódu tokenu (6 číslic, které jsou aktuálně zobrazeny na tokenu). Uživatel jednoduše musí zadat tato 2 čísla postupně.

Agent posílá informace poskytnuté uživatelem na server v zašifrované podobě. Server ukládá uživatelské PIN kódy a softwarové kopie všech registrovaných tokenů, takže může kontrolovat informace poskytnuté uživatelem.

V závislosti na výsledku kontroly agent uživateli buď udělí přístup ke zdroji, nebo mu přístup odepře.

Popis algoritmu pro získání tokenového kódu

Každý token odpovídá 128bitovému náhodnému číslu — vektoru počáteční generace (seed). V každém žetonu jsou také zabudovány hodiny. Kód tokenu je výsledkem algoritmu patentovaného společností RSA, který jako parametry bere aktuální čas a vektor počáteční generace Pomocí kódu tokenu není možné obnovit vektor počáteční generace, protože algoritmus pracuje v jednom směru. [6]

Kód tokenu je platný jednu minutu (mění se jednou za minutu a pouze jednou). Protože počáteční vektory generování odpovídající tokenům jsou uloženy na serveru, může kdykoli obnovit aktuální kód tokenu pomocí stejného algoritmu . Pro případ, že se hodiny serveru a tokenu rozcházejí, je zajištěna automatická synchronizace. To znamená, že pokud například hodiny tokenu běžely dopředu, server zadá do databáze hodnotu posunu odpovídající konkrétnímu tokenu. Toho je dosaženo tím, že server vypočítává heslo nejen pro aktuální minutu, ale také pro minulé a budoucí minuty. Pokud je tedy PIN zadaný uživatelem správný a kód tokenu odpovídá sousedním minutám, je desynchronizace zohledněna pro další operace. [7]

Technologická zranitelnost

Teoretické zranitelnosti

SecurID není chráněn před útoky typu man-in-the-middle . Útočník může uživateli zablokovat přístup a připojit se k serveru, dokud nebude vygenerován další token hesla.

Dalším problémem je náhodné hádání hesla. SecurID se snaží tento problém vyřešit omezením počtu žádostí o ověření během časového období, ve kterém se heslo negeneruje.

Nejnebezpečnější a téměř fatální zranitelností je ztráta nebo krádež tokenů.

Narušení bezpečnosti v roce 2011

Plán útoku na SecurID:

  1. Několik uživatelů je zaměřeno na dva phishingové útoky, jeden z uživatelů otevře neznámý malware
  2. Poison Ivy získá vzdálený přístup k počítači uživatele
  3. Útočník získá přístup k uživatelským a administrátorským účtům a také k důležitým systémovým službám
  4. Data byla získána ze serverů, na které byl útok zaměřen, a byla dána k distribuci
  5. Data jsou přenášena k poskytovateli hostingu útočníka pomocí zabezpečeného souboru přes ftp

17. března 2011 RSA oznámila, že se stala obětí „extrémně sofistikovaného kybernetického útoku“. Přestože je společnost přesvědčena, že extrahované informace neumožnily úspěšné přímé útoky na žádného z klientů RSA SecurID, obávala se, že by tyto informace mohly být použity ke snížení účinnosti současné implementace dvoufaktorové autentizace v rámci širšího útoku . . Společnost EMC (mateřská společnost RSA) vynaložila 66,3 milionu dolarů na opravu narušení systému, aby vyšetřila útok, zlepšila svůj IT systém a monitorovala operace firemních zákazníků, v souladu s rozhodnutím výkonného viceprezidenta a finančního ředitele EMC Davida Guldena. během konferenčního hovoru s analytiky.

Útočník během dvou dnů odeslal dva různé phishingové e-maily, které byly zaměřeny na dvě malé skupiny zaměstnanců. Dopisy se jmenovaly „2011 Recruitment Plan“. E-maily byly zpracovány dostatečně dobře na to, aby oklamali jednoho ze zaměstnanců, aby je extrahovali ze spamu a otevřeli přiložený excelový soubor. Jednalo se o tabulku s názvem „2011 plan.xls“. Tabulka obsahovala škodlivý program, který instaluje program backdoor prostřednictvím zranitelnosti Adobe Flash [8] . Jako okrajovou poznámku uvádí, že společnost Adobe nyní vydala opravu pro tento malware, takže jej již nelze používat k vkládání malwaru do opravených počítačů. Dalším krokem, stejně jako u každé pokročilé perzistentní hrozby (APT), je instalace nějakého nástroje pro vzdálenou správu, který by útočníkům umožnil ovládat počítač. V tomto případě je zvolenou zbraní varianta Poison Ivy umístěná v režimu obráceného připojení, což by ztížilo její detekci. Podobné metody byly zdokumentovány v mnoha minulých ACT, včetně GhostNet. Jakmile je navázán vzdálený přístup , útočník, stejně jako v každém typickém APT, začne tiše analyzovat, aby zjistil roli pracovníků a úroveň jejich přístupu. Pokud to pro účely útočníků nestačí, budou hledat uživatelské účty s vyššími oprávněními. Data jsou filtrována přes šifrované soubory přes FTP z kompromitovaného počítače k ​​vetřelcům.

Dne 21. března 2011 e-mailem a v otevřeném dopise šéf společnosti oznámil [9] , že informace odcizené z interní sítě společnosti mohou být použity k hacknutí systémů chráněných SecurID. a v květnu 2011 se po pokusu o nabourání se do výrobce vojenské techniky Lockheed Martin [10] , ukázalo, že obavy nebyly neopodstatněné. Objevily se také zvěsti, že L-3 Communications byla napadena v dubnu . Šéf RSA Security Art Coviello připustil, že RSA nevydala prohlášení dříve, protože se bála dát hackerům cestu k dalším útokům. Nyní je však jasné, že hackeři, kteří útok na Lockheed Martin zorganizovali, měli informace o tom, jak obejít technologie RSA, a tak se ukázalo, že společnost pouze dezinformovala zákazníky o bezpečnosti jejich produktů a rizicích, kterým mohou čelit. 6. června 2011 RSA slíbila, že bezplatně nahradí všechny tokeny SecurID, které používá více než 30 000 podniků a vládních organizací po celém světě.

Trh OTP

Podle analytické společnosti Frost & Sullivan za rok 2008 byl objem světového trhu s jednorázovými hesly (One Time Password, OTP) odhadován na 430 milionů dolarů. Do roku 2015 by mohl dosáhnout 690,4 milionů dolarů, což je průměrný roční růst. za toto období bylo 7,8 %. A podle odborníků se tento trh nadále vyvíjí. Hlavním tahounem jejího vývoje je rostoucí trend nahrazovat hardwarová autentizační zařízení čipovými kartami a rostoucí poptávka po OTP softwaru pro firemní a maloobchodní aplikace.

V roce 2008 provedla společnost Frost & Sullivan průzkum mezi 20 dodavateli autentizace hardwaru. Výsledky ukázaly, že zavedení hráči jako RSA Security a VASCO Data Security International, Inc. , si i nadále udržela přibližně 80 % trhu, přičemž je třeba poznamenat, že 62 % trhu patřilo RSA. Hlavními konkurenty předních společností jsou výrobci čipových karet.

Vzhledem k tomu, že potřeby zákazníků v průběhu času rostou, společnosti jako RSA, Vasco, Aladdin Knowledge Systems a ActivIdentity například vytvářejí nová řešení pro splnění specifických požadavků, která se nespoléhají pouze na autentizační zařízení, ale kombinují více autentizačních řešení. Mnoho výrobců přidalo do svých produktů USB tokeny , čipové karty , OTP software a systémy pro správu autentizace. [jedenáct]

Bezplatná verze

K dispozici je zkušební verze zdarma. Součástí této nabídky je také serverová licence s omezenou životností, omezená na dva uživatele, a dva tokeny SID700. Tato verze má plnou funkcionalitu, která umožňuje přejít na komerční použití bez jakýchkoli dalších nastavení. [12]

Viz také

Poznámky

  1. ↑ Nejrespektovanější web společnosti zabývající se počítačovou bezpečností byl hacknut Archivováno 4. března 2016.  (Ruština)
  2. ↑ Informace RSA SecurID SD 600 archivovány 4. února 2011 na Wayback Machine 
  3. ↑ Informace o RSA SecurID SID 700 Archivovány 10. ledna 2013 na Wayback Machine 
  4. ↑ Informace o RSA SecurID SID 800 Archivovány 11. ledna 2013 na Wayback Machine 
  5. ↑ RSA Security umožňuje všudypřítomnou autentizaci, protože technologie RSA SecurID(r) dosáhne každodenních zařízení a softwaru; — M2 Presswire | HighBeam Research: Online tiskové zprávy
  6. ↑ TOTP: Algoritmus jednorázového hesla založený na čase . Datum přístupu: 19. prosince 2012. Archivováno z originálu 25. listopadu 2012.
  7. ↑ Komplexní úvod do autentizace uživatele RSA SecurID®  ( downlink  )
  8. ↑ CVE-2011-0609 . Získáno 18. prosince 2012. Archivováno z originálu dne 21. července 2013.
  9. ↑ Otevřený dopis zákazníkům RSA archivován 19. března 2011 na Wayback Machine 
  10. ↑ Firemní zdroje Lockheed Martin napadené neznámými hackery Archivováno 13. dubna 2014 na Wayback Machine  (ruština)
  11. ↑ Aktuální stav trhu s jednorázovými hesly Archivováno 4. března 2016.  (Ruština)
  12. ↑ Dvoufaktorová autentizace založená na technologii RSA SecurID Archivováno 16. března 2013 na Wayback Machine  (ruština)

Odkazy