Re: выбираю USB-токен или что-то подобное
On Fri, 4 Jun 2010 16:18:15 +0600
Andrey Rahmatullin <wrar@altlinux.org> wrote:
> On Fri, Jun 04, 2010 at 05:33:10PM +0800, Denis Feklushkin wrote:
> > тут пришли уже к выводу что такой токен ничем не отличается от флешки + truecrypt
> Трукрипт подбирается бесконечно, а токен - пока не кончится лимит пинов,
Лучше гарантированная (почти) бесконечность чем блокировка с теоретической возможностью прочитать
> разве нет?
Ну да, но на самом деле никто не мешает вскрыть смарткарту и прочитать что на ней. Я серьёзно.
И пинкодом они информацию на ней не шифруют (пинкод обычно маловат для этого даже) по аналогии с truecrypt. То есть, смарткарта это чистой воды security through obscurity.
Да, смарткарты типа круто защищены. Они измеряют температуру и напряжение чтоб "контроллируемый глюк" не произошёл, например. а так же имеют заливку чипа и прочие такие вещи. Но случаи вскрытия бывали, и неоднократно - аж осадочек остался...
Без физического вскрытия ещё недавно "клонировались" смарткарты от сотовых телефонов, например (правда там пинкод надо знать, но всё равно это был обход защиты для которой смарткарту в телефон и придумали ставить). Была бага в, собственно, eToken R1 - там пинкод можно было сбросить физически подключившись к токену со снятым корпусом, потом при включении он это обнаруживал, говорил "опа!" и высталял дефолтный пин (если я не путаю, но этот случай гуглится легко). Фирма сказала что это тестовая версия токена была, все ок, типа.
Ещё были случаи (точно помню лет 5 назад и раньше по ТВ показывали, можно было понять о чём речь) - жулики правили инфу в сбербанковских смарткартах (я юзал такую, там прямо на карте сумма денег записана и иногда она syn'кается с банком) - тоже как-то реверс-инжинерили их, вольтметром и матерью, наверно.
В общем, смарткарте можно доверить логин офисного планктона в рабочий комп с вконтактом и асечкой, не более (особенно тем, у кого проблемы с памятью на честные пароли длиной 8 символов - вот для таких смарткарта это просто идеальная штука)
> > надо чтобы токен поддерживал "аппаратно" алгоритмы, только так...
> Так поддерживают.
А вот не факт! Вопрос задан, ждём-с: http://forum.rutoken.ru/post/2764/#p2764
Reply to: