ИСПОЛЬЗОВАНИЕ ОДНОРАЗОВЫХ ПАРОЛЕЙ ДЛЯ ОДНОГО СЕАНСА АУТЕНТИФИКАЦИИ

Аннотация

В работе рассматривается преимущество одноразового пароля по сравнению со статическим, что пароль невозможно использовать повторно. Защищает от атак, основанных на активном вмешательстве в канал связи, используемый для аутентификации. Ключевые слова: Одноразовый пароль, атака, технология, алгоритмы OTP (англ. one time password, OTP), математический алгоритм, злоумышленник. Одноразовый пароль (англ. one time password, OTP) — это пароль, действительный только для одного сеанса аутентификации. Действие одноразового пароля также может быть ограничено определѐнным промежутком времени. Преимущество одноразового пароля по сравнению со статическим состоит в том, что пароль невозможно использовать повторно. Таким образом, злоумышленник, перехвативший данные из успешной сессии аутентификации, не может использовать скопированный пароль для получения доступа к защищаемой информационной системе. Использование одноразовых паролей само по себе не защищает от атак, основанных на активном вмешательстве в канал связи, используемый для аутентификации (например, от атак типа «человек посередине») [1]. Человек не в состоянии запомнить одноразовые пароли. Поэтому требуются дополнительные технологии для их корректной работы. Алгоритмы создания OTP обычно используют случайные числа. Это необходимо, потому что иначе было бы легко предсказать последующие пароли на основе знания 149 предыдущих. Конкретные алгоритмы OTP сильно различаются в деталях. Различные подходы к созданию одноразовых паролей перечислены ниже.  Использующие математические алгоритмы для создания нового пароля на основе предыдущих (пароли фактически составляют цепочку, и должны быть использованы в определѐнном порядке).  Основанные на временной синхронизации между сервером и клиентом, обеспечивающей пароль (пароли действительны в течение короткого периода времени)  Использующие математический алгоритм, где новый пароль основан на запросе (например, случайное число, выбираемое сервером или части входящего сообщения) и/или счѐтчике [1,2]. Также существуют различные способы, чтобы сообщить пользователю следующий пароль. Некоторые системы используют специальные электронные токены, которые пользователь носит с собой, создающие одноразовые пароли и выводящие их на маленьком экране. Другие системы состоят из программ, которые пользователь запускает с мобильного телефона. Ещѐ другие системы генерируют одноразовые пароли на сервере и затем отправляют их пользователю, используя посторонние каналы, такие, как SMS- сообщения. Наконец, в некоторых системах одноразовые пароли напечатаны на листе бумаги или на скретч-карте, которые пользователю необходимо иметь с собой. Один подход, разработанный Лесли Лэмпортом (англ. Leslie Lamport; - американский учѐный в области информатики, первый лауреат премии Дейкстры. Разработчик LaTeX - популярного набора макрорасширений системы компьютерной вѐрстки TeX, исследователь теории распределѐнных систем и вопросов синхронизации процессов во взаимодействующих системах. Лауреат Премии Тьюринга 2013 года), использует одностороннюю функцию (назовѐм еѐ f ). Система одноразовых паролей начинает работать от начального числа s, затем генерирует пароли f (s), f ( f (s) ), f ( f ( f (s) ) ), … столько раз, сколько необходимо. Если ищется бесконечная серия паролей, новое начальное число может быть выбрано после того, как ряд для s оказывается исчерпанным. Каждый пароль распределяется в обратном порядке, начиная с f ( f (… f (s) )…), заканчивая f (s) [3]. Если злоумышленнику удаѐтся получить одноразовый пароль, он может получить доступ только на один период времени или одно соединение, но это становится бесполезным, когда этот период закончится. Чтобы получить следующий пароль в цепочке из предыдущих, необходимо найти способ вычисления обратной функции f −1. Так как f была выбрано односторонней, то сделать это невозможно. Если f - криптографическая хеш-функция, которая обычно используется, то, насколько известно, это будет вычислительно неосуществимая задача [1,3].