БЕЗОПАСНОСТЬ
VeriSign и RSA представили двухфакторные решения
Деннис Фишер
Пароли, в том виде как мы их знаем, могут стать новостью вчерашнего дня в случае, если технологии двухфакторной аутентификации, предложенные фирмами VeriSign и RSA Security, придутся по вкусу крупному бизнесу.
Двухфакторные решения предусматривают совместное применение парольной фразы и жетона безопасности (ЖБ) для непрерывной генерации уникальных паролей, однократно используемых при входе в сеть. Этот подход коренным образом отличается от традиционного, при котором пользователь в течение определенного промежутка времени постоянно имеет дело с одним паролем.
VeriSign (www.verisign.com) планирует в ближайшее время впервые продемонстрировать свой сервис управляемой универсальной аутентификации. Он позволит использовать жетоны безопасности USB (Universal Serial Bus) для двухфакторной аутентификации пользователей корпоративной сети, оставляя VeriSign функции управления инфраструктурой.
Ожидается, что RSA (www.rsasecurity.com) также вскоре анонсирует программу партнерства с одним из крупнейших Интернет-провайдеров, который первым из американских компаний предоставит своим клиентам возможность приобрести популярный продукт фирмы RSA - SecurID, реализующий функции аппаратного ЖБ.
В обоих случаях, передавая в руки миллионов пользователей, озабоченных проблемой безопасности, технологию двухфакторной аутентификации, мы имеем дело с серьезными попытками прорыва в области укрепления безопасности Интернета, а также с предотвращением попыток несанкционированного доступа со стороны спамеров к приватной информации.
| Двухфакторные решения |
Как они работают - Пользователь вводит секретный статический PIN-код и нажимает клавишу на жетоне безопасности для генерации одноразового пароля, затем вводит этот пароль в компьютер. - Каждый последующий вход в систему потребует генерации нового пароля. |
Потенциальные пользователи сервиса фирмы VeriSign замечают, что в данном вопросе ключевой является интеграция новых средств с существующими средствами безопасности и службами управления каталогов. "Сейчас для входа и идентификации мы применяем смарт-карты, - говорит сетевой администратор американской фирмы Silverside Equipment. - Если они сохранят свою ценовую конкурентоспособность с такими системами, как смарт-карты, окажутся дешевле других биометрических устройств и на самом деле продемонстрируют свои возможности по усилению безопасности, это будет прорыв".
Каждое из этих предложений направлено на уменьшение использования статических паролей для аутентификации - практики, существующей уже несколько десятков лет и являющейся одним из самых слабых элементов в цепи безопасности Интернета. Исследования показывают, что большинство людей задают легко разгадываемые пароли, в то время как простых в применении программ взлома повсюду в изобилии.
Вполне естественно, что компьютерные мошенники не преминули извлечь выгоду из такого положения дел. Федеральная торговая комиссия получила в 2003 г. более 214 000 жалоб о случаях кражи приватной информации, а жертвы мошенничества в Интернете сообщили в прошлом году об убытках на сумму 200 млн. долл.
Одним из лучших способов решения проблемы слабости паролей является внедрение ЖБ для генерации одноразового пароля, который пользователь должен ввести наряду с собственным именем или PIN-кодом.
Новый сервис универсальной аутентификации фирмы VeriSign предлагает гибридную систему, включающую жетон безопасности для разъема USB и механизм смарт-карт от фирмы Aladdin Knowledge Systems (www.ealaddin.com). Эта система будет в состоянии генерировать одноразовые пароли и хранить идентификационную информацию о пользователях.
RSA надеется, что их технология поможет защитить online-клиентов, которые до сих пор не имели доступа к такому виду безопасности.
В соответствии с новым соглашением о партнерстве RSA будет поставлять карты SecurID компании, осуществляющей услуги доступа в Интернет, а та, в свою очередь, будет предлагать их своим пользователям в качестве эксклюзивного сервиса. В отличие от обычных имени пользователя и пароля для входа клиентам придется вводить PIN-код и уникальный код, генерируемый жетоном безопасности SecurID каждые 60 с.
Официальные представители RSA отказались назвать своего партнера, сообщив, однако, что он является одним из крупнейших Интернет-провайдеров в США. Фирма продолжит работу по привлечению к данной программе других ведущих американских Интернет-провайдеров.
