jednokratne autentifikacijske Šifre

Autentifikacija pomoću  jednokratnih šifri je zaštita kod koje se pri svakom novom pristupu određenim sadržajima generiraju nove jedinstvene šifre, koje su različite od prethodnih. Valjanost jednokratnih šifre je vremenski ograničena. Ako se dogodi da neovlaštene osoba dođe u posjed šifre koju korisnik nije upotrijebio, nakon kratkog vremena ta će šifra postati nevažeća. Jednokratne šifre najčešće traže unos korisničkog imena koje ostaje isto pri svakom pristupu i korisničke šifra koja se mijenja prilikom svakog novog pristupa. Rijetko se koristi autentifikacija koja zahtijeva unos samo jednokratne šifre.

Na slici je prikazan primjer autentifikacije  jednokratnim šiframa. Za oba pristupa korišteno je isto korisničko ime dok je jednokratna šifra u prvom pristupu „487B4CF58“ a u drugom „1ACB4G77“.
Jednokratne šifre pružaju veću razinu zaštite u odnosu na statičke šifre, te se koriste kao način zaštite za novčane transakcije preko interneta, zaštitu mrežnih sistemima koji sadrže osjetljive i povjerljive informacije kao npr. policija, vojska.
Generiranja jednokratnih šifri moguće je ostvariti hardverski (tokenima) ili softverski.

Postojanje različite tehnike generiranja jednokratnih šifri a najviše su zastupljene:

Matemetički algoritmi

Jednokratna šifra se generira iz statičke šifre koristeći kriptografske raspršne funkcije. Odlika ovih funkcija je da neznatna promjena u izvornoj poruci rezultira veliku promjenu nakon kriptiranja što se može vidjeti na sljedećem primjeru.

sl.44 - primjer rada kriptografske raspršne funkcije

Vremenska sinkronizacija

Vremenska sinhronizacija je tehnika generiranja jednokratnih šifri koja može biti realizirana softverski ili hardverski. Svaki od ovih načina ima neke svoje prednosti i nedostatke. Softverska implementacija je ekonomski isplativija, jer ne zahtijeva proizvodnju fizičkih uređaja. Međutim loša karakteristika je  osjetljivost na napade zloćudnih programa kao što su: keylogger, virus, crv i sl. Također, zahtijevaju posebno održavanje u smislu zamjene ili punjenja baterija.

Hardverska implementacija podrazumijeva korištenje fizičkih uređaja kao što su tokeni U nekim slučajevima umjesto token-a, koriste se mobilni uređaji.

Dvo-faktorska autentifikacija putem  tokena najviše  se upotrebljava u bankarskom  sektoru kao način zaštite za novčane transakcije. Međutim  postoje primjeri gdje se koriste za zaštitu  autorskih prava i ličnih podataka. Npr.  Univerziteti u Hagenu  i „ Dartmouth College“ pružaju obrazovanje na daljinu. Sve aktivnosti se odvijaju putem interneta: predavanja , učenja, polaganje ispita. Također,  pored toga tu su i rezultati ispita, lični podaci studenata i osoblja,  literatura i ostali materijali koji su potrebni za učenje što zahtijeva visok stepen zaštite, te su se opredijelili za dvo-faktorsku autentifikaciju  putem tokena.

Prema načinu spajanja, razlikujemo tri vrste tokena:

• Tokeni koji se spajaju direktno na računar (npr. puten USB-a).
• Tokeni koji se spajaju bežičnim putem (npr. Bluetooth).
• Token koji nije potrebno spajati na računar ili poslužitelj, je vrsta tokena koji se najčešće koristi. Ovi tokeni imaju vlastite tipkovnice i zaslon, koji služe za unos statičke šifre na osnovu koje se generira jednokratna šifra.

U tokenu se nalazi sklop koji je vremenski sinhroniziran sa glavnim serverom, kao i ugrađeni ključ na osnovu kojeg se vrši raspoznavanje korisnika tokena. Generiranje jednokratnih šifri zasnovano je na ključu tokena i vrši se u vremenskim razmacima od 30 do 60 sekundi. Generirana šifra ispisuje se na zaslonu tokena, koju korisnik zajedno sa svojom statičkom šifrom (najčešće korisničko ime ili PIN) , unosi u korisničko sučelje za autentifikaciju radi pristupa određenoj usluzi.

Šifre koje se generiraju na ovaj način imaju svoje vrijeme valjanosti u kojem može biti iskorištena (najčešće 2 min), nakon tog vremenskog perioda, poslužitelj neće prihvatiti istu, tj. smatrat će da je unesena pogrešna šifra. Dakle, za pristup nakon predviđenog vremena iskoristivosti generirane šifre, korisnik će morati generirati novu šifru. Kod ove tehnike ne postoji mogućnost da uređaj u dva različita vremenska trenutka generira istu lozinku.

Postupak  autentifikacije je slijedeći:

• Korisnik putem interneta pristupa sučelju aplikacije   i  unosi svoj PIN kod.
• Korisnik uključuje token koji generira šifru. Token generiranu šifru  ispisuje na ekranu  koju  korisnik unosi u korisničko sučelje aplikacije.
• Poslužitelj istovremeno generira jednokratnu šifru.
• Poslužitelj uspoređuje šifru koju je unio korisnik sa onom  koju  je generirao poslužitelj.
• U  zavisnosti od rezultata uspoređivanja poslužitelj će odobriti ili onemogućiti pristup.

U nekim slučajevima se koristi i „Challenge based“ tehnika, koja se koristi za  podizanje stepen sigurnosti tokena. Kod ove tehnike, korisnik ne unosi svoju statičku šifru za generiranje jednokratne šifre, već putem servera dobija upit koji mora unijeti u token kako bi jednokratna šifra bila generirana.

Kako je već navedeno, nekada se za distribuiranje jednakokratnih šifri koriste mobiteli. Nekada to zahtijeva instaliranje dodatnih programa na mobitel. Prednost primjene mobitela jeste što su mobiteli danas veoma zastupljeni, tako da možemo reći da ne zahtijeva dodatne troškove. Ono što je negativno jeste da većina aplikacija za generiranje jednokratnih šifri na mobitelima implementirana u Java programskim jezicima, što ih ćini ranjivim u pogledu sigurnosti.