Токены

Особенности

Защита от взлома и клонирования

Secure By Design — устройства JaCarta PKI сконструированы как безопасные и для целей обеспечения безопасности, выполнены на базе защищённых смарт-карточных чипов (Secure Element).

Закрытые ключи не хранятся в памяти устройства — взламывать его бесполезно.

Сертифицировано ФСТЭК России

Все устройства JaCarta PKI сертифицированы ФСТЭК России (сертификат № 3449). Это позволяет применять их в АС до класса защищённости 1Г, в ГИС до 1 класса защищённости и в ИСПДн до 1 уровня защищённости включительно.

Поддержка работы с мобильными устройствами

Устройства JaCarta PKI можно использовать совместно со смартфонами и планшетами на базе операционных систем Google Android и Apple iOS. При этом мобильное приложение должно поддерживать работу с JaCarta PKI (для этого разработчикам предоставляется бесплатное решение JC-Mobile, которое легко и просто интегрировать в свою разработку).

Надёжность и качество

Устройства JaCarta PKI рассчитаны на многолетнюю эксплуатацию: их корпус противостоит постоянным рабочим нагрузкам, устойчив к пыли и влаге.

Срок полезного использования USB-токенов и смарт-карт JaCarta PKI составляет не менее 3-х лет (не менее 10 000 часов общей наработки). Срок хранения данных в энергонезависимой памяти устройства — не менее 10 лет.

Переход на инфраструктуру открытых ключей

Устройства JaCarta PKI могут использоваться совместно с решением JaCarta SecurLogon. Оно позволяет легко и быстро перейти от однофакторной аутентификации с помощью пары логин/пароль к усиленной двухфакторной аутентификации с применением устройств JaCarta PKI при входе в операционную систему Microsoft Windows или доступе к сетевым ресурсам без применения PKI или Active Directory.

Поддержка популярных систем управления токенами

JaCarta PKI — одни из самых распространённых устройств для двухфакторной аутентификации на российском рынке. Они поддерживаются всеми российскими системами управления жизненным циклом токенов, в том числе JaCarta Management System (JMS), разработанной компанией «Аладдин Р.Д.».

Удобство в использовании

Мы делаем всё возможное чтобы использование устройств JaCarta PKI было максимально простым и удобным: для пользователей и администраторов доступен удобный графический интерфейс, поддерживаются все популярные операционные системы, для работы не требуется устанавливать какие-либо драйверы, доступна самостоятельная и удалённая разблокировка устройства и т.д.

Принцип работы

В eToken PASS реализован алгоритм генерации одноразовых паролей (One-Time Password — OTP), разработанный в рамках инициативы OATH. Этот алгоритм основан на алгоритме HMAC и хэш-функции SHA-1. Для расчета значения OTP принимаются два входных параметра: секретный ключ (начальное значение для генератора) и текущее значение счетчика (количество необходимых циклов генерации). Начальное значение хранится как в самом устройстве, так и на сервере в системе eToken TMS. Значение счетчика в устройстве увеличивается при каждой генерации OTP, на сервере — при каждой удачной аутентификации по OTP.

При запросе на аутентификацию проверка OTP осуществляется сервером RADIUS (Microsoft IAS, FreeRadius и другие), который обращается к системе eToken TMS, осуществляющей генерацию OTP на стороне сервера. Если введенное пользователем значение OTP совпадает со значением, полученным на сервере, аутентификация считается успешной, и RADIUS-сервер отправляет соответствующий ответ.

Партия устройств eToken PASS поставляется с зашифрованным файлом, содержащим начальные значения для всех устройств партии. Этот файл импортируется администратором в систему eToken TMS. После этого для назначения устройства пользователю необходимо ввести его серийный номер (печатается на корпусе устройства).

В случае нарушения синхронизации счетчика генерации в устройстве и на сервере система eToken TMS позволяет легко ее восстановить — привести значение на сервере в соответствие значению, хранящемуся в устройстве. Для этого администратор системы или сам пользователь (при наличии соответствующих разрешений) должен сгенерировать два последовательных значения OTP и отправить их на сервер через web-интерфейс eToken TMS.

В целях повышения безопасности система eToken TMS позволяет использовать дополнительное значение OTP PIN — в этом случае для аутентификации пользователь, помимо имени пользователя и OTP, вводит дополнительное секретное значение OTP PIN. Это значение задается при назначении устройства пользователю.

Дополнительное ПО

Единый Клиент JaCarta

«Единый Клиент JaCarta» — ПО для настройки и работы со всеми моделями USB-токенов и смарт-карт JaCarta.

С его помощью можно:
• установить или изменить PIN-коды пользователя и администратора;
• получить полную информацию о USB-токенах и смарт-картах JaCarta (название, модель, серийный номер, хеш-алгоритм электронной подписи, объем свободной памяти и т.д.);
• разблокировать устройство (если несколько раз неправильно был введен PIN-код);
• произвести первичную инициализацию устройства с заданными настройками;
• просмотреть, импортировать или экспортировать хранимые в устройстве объекты (цифровые сертификаты, пароли, лицензии и т.д.);
• провести диагностику работы JaCarta.

Поддерживается работа с известными криптопровайдерами без установки дополнительного ПО, например, с КриптоПро CSP, Signal-COM CSP, ViPNet CSP и др.
Возможности ПК «Единый Клиент JaCarta» могут быть расширены при активации платной опции JaCarta SecurLogon.

JaCarta SecurLogon

JaCarta SecurLogon — решение, позволяющее осуществить простой и быстрый переход от однофакторной аутентификации на основе пары логин-пароль к двухфакторной аутентификации при входе в операционную систему и доступе к сетевым ресурсам за счет использования USB-токенов и смарт-карт.
Для функционирования JaCarta SecurLogon не нужно закупать дорогостоящее серверное оборудование для развертывания Active Directory и собственного Удостоверяющего центра для выпуска цифровых сертификатов. Вместо них JaCarta SecurLogon генерирует сложные пароли (до 63-х символов), которые записываются в USB-токен или смарт-карту. При этом такие пароли могут быть неизвестны и не видны самим пользователям, им остается лишь запомнить свой простой и короткий PIN-код. Поддержка биометрической аутентификации позволяет заменить ввод PIN-кода сканированием отпечатка пальца.

JaCarta Management System (JMS)

JMS — система централизованного управления жизненным циклом средств аутентификации и электронной подписи (смарт-картами и USB-токенами) JaCarta и устройствами других производителей.
Применение JMS позволяет автоматизировать типовые операции при работе с USB-токенами и смарт-картами, обеспечить гибкую настройку политик их использования, а также дает возможность централизованно управлять доступом к корпоративным системам. Встроенные в JMS средства построения отчетов и печати документов позволяют отслеживать состояние устройств и автоматизировать отдельные этапы подготовки документов, связанных с их жизненным циклом.
Автоматическая синхронизация USB-токенов и смарт-карт с базой JMS и популярными удостоверяющими центрами дает возможность мгновенно приводить текущий парк USB-токенов и смарт-карт в актуальное состояние.
Отличительной особенностью JMS является автоматический учет многих популярных СКЗИ (как аппаратных, так и программных) и ключевых документов, а также автоматическое формирование сопроводительных документов по каждому событию, связанному с их учетом (заявления, отчеты и пр.).

JaCarta Authentication Server (JAS)

JAS — сервер аутентификации, поддерживающий работу как с аппаратными OTP- и U2F-токенами, так и с программными токенами для мобильных устройств, например, Google Authenticator.
JAS совместим с любыми аппаратными и программными токенами, генерирующими OTP по событию (HOTP, согласно RFC4226), а также любыми U2F-токенами. Поддержка международного стандарта FIDO U2F позволяет построить систему строгой аутентификации без разворачивания инфраструктуры открытых ключей.
Для интеграции с прикладным ПО реализована поддержка протоколов RADIUS, REST, WCF и WS-Federation, с SMS-шлюзами — протоколы HTTP и SMPP.

JC-WebClient

Кроссплатформенное мультибраузерное решение JC-WebClient позволяет использовать смарт-карты и USB-токены JaCarta PRO, JaCarta ГОСТ и JaCarta-2 ГОСТ в веб-приложениях и облачных сервисах для аутентификации и передачи зашифрованных данных между клиентом и сервером. JC-WebClient применяется в системах дистанционного банковского обслуживания (в частности, iSimpleBank), электронных торгов (в частности, B2B-Center), юридически значимого электронного документооборота (в частности, i-Конто) и т. д.

JC-Mobile

JC-Mobile — специализированный комплект разработчика для создания Android- и iOS-приложений. Примеры приложений для мобильных устройств и JaCarta — , InterBank Mobile» и «Мобильный Бизнес Клиент.

Продуктовая линейка носителей ключа электронной подписи

АО «Аналитический Центр» (Единый портал Электронной подписи) является официальным партнером производителей usb-токенов, соответствующие сертификаты и дипломы от которых представлены в разделе главного меню «О портале».

Клиентам предлагается оптимальный набор носителей в соответствии с их областями применения, отправка токенов совершается по всей России.

Варианты usb-токенов

*Область применения носит рекомендательный характер и была сформирована, исходя из опыта работы сотрудников АО «Аналитический Центр».

Сервер аутентификации JaCarta Authentication Server

JaCarta Authenticaton Server (JAS) — автономный высокопроизводительный сервер для усиленной аутентификации по одноразовым паролям (OTP) при доступе к корпоративным системам (CRM, порталы, почта и т. д.), в том числе Microsoft SharePoint и Microsoft Outlook Web App, web-сайтам и облачным сервисам, системам ДБО, а также удаленным рабочим столам (VMware Horizon View и Citrix XenApp/XenDesktop).

Применение JAS позволяет обеспечить надежную защиту доступа к ресурсам и сервисам организации, в том числе с планшетов и смартфонов (поддерживаются Google Authenticator и отправка пароля по SMS), а также повысить лояльность и удовлетворенность пользователей, так как процесс аутентификации заметно упрощается.

Преимуществами JAS являются автономность (для работы не требуется приобретать дополнительное ПО), высокая производительность (более 1000 аутентификаций в секунду на одном сервере), надежность (с помощью Microsoft Failover Cluster и репликации базы данных средствами Microsoft SQL Server) и масштабируемость.

JAS совместим с токенами JaCarta WebPass, eToken PASS, eToken NG-OTP (Java), Google Authenticator и поддерживает генерацию OTP по событию. Для интеграции с прикладным ПО реализована поддержка протоколов RADIUS, REST, WCF и WS-Federation, для интеграции с SMS-шлюзами — протоколы HTTP и SMPP.

Встроенные инструменты управления пользователями и OTP-устройствами, а также смены методов проверки подлинности значительно упрощают работу системных администраторов и офицеров безопасности.

JAS зарегистрирован в Едином реестре российских программ для электронных вычислительных машин и баз данных под номером 2128 (Минкомсвязь России).

Рисунок 4. Архитектура JaСаrta Authentication Server

В состав сервера JAS входят следующие компоненты:

• Сервер аутентификации: реализован в виде сервиса Microsoft Windows — Aladdin JAS Engine Service
  • OTP-кэш: информация о токенах считывается в оперативную память из базы данных при старте сервиса, что обеспечивает высокую производительность.
  • Текущие значения счетчиков: обновляются при выполнении служебных операций через Консоль управления.
• Консоль управления JAS (Агент JAS)
  • Управление токенами и пользователями.
  • Может быть установлена на отдельный компьютер.
• Хранилище учетных записей: 
  • Microsoft SQL Server.
  • Microsoft Active Directory / Microsoft Security Account Manager.
• База данных 
  • Хранение информации о токенах и пользователях.
  • Достаточно установить только один компонент — Microsoft SQL Server Database Engine.
  • База данных создается автоматически в процессе настройки сервера JAS.
  • Доступные режимы аутентификации пользователя базы данных:
    • средствами Microsoft Windows;
    • средствами Microsoft SQL Server.

Методология сравнения токенов

Сведения, представленные в рамках сравнения, включают:

• реестр токенов;
• перечень параметров, по которым они могут быть сопоставлены;
• оценка токенов по представленным параметрам.

Номенклатура токенов, имеющих действующий сертификат ФСБ России, составлена преимущественно на основе данных «Перечня средств защиты информации, сертифицированных ФСБ России». Этот перечень регулярно обновляется, и разумно рассматривать его в качестве достоверного источника информации с поправкой на некоторую задержку в части обновления сведений.

Параметры сравнения выбирались таким образом, чтобы как можно более полно представить имеющуюся информацию о токенах. При формировании набора параметров учитывалось как исторически сложившееся в отрасли представление об устройствах данного класса, так и критерии последнего времени. При этом помимо отечественной нормативной базы использовались следующие зарубежные документы:

• PKCS #15 v1.1: Cryptographic Token Information Syntax Standard; RSA Laboratories; June 6, 2000;
• Department of Defense Public Key Infrastructure and Key Management Infrastructure Token Protection Profile (Medium Robustness), Version 3.0, 22 March 2002, Common Criteria for Information Technology Security Evaluation, Prepared by Booz Allen Hamilton Prepared for National Security Agency (NSA);
• Серия европейских стандартов Protection profiles for Secure signature creation device;
• GlobalPlatform Device Technology. Secure Element Access Control, Version 1.0, Public Release, May 2012;
• NIST Special Publication 800-63B. Digital Identity Guidelines. Authentication and Lifecycle Management, June 2017», введенный в действие в июне 2017 года и заменяющий значимые для поставленной цели разделы документа «NIST Special Publication (SP) 800-63-2. Electronic Authentication Guideline, August 2013.

Оценка токенов согласно выбранным параметрам производилась на основании сведений из открытых источников, уточненных производителями решений по нашей просьбе. Авторы сравнения старались, чтобы сведения были максимально полными и достоверными. Но реалии таковы, что полностью исключить возможность ошибки нельзя. Поэтому мы готовы внести в материал коррективы, которые помогут повысить его качество.

При использовании сравнительной таблицы следует принять в расчет ряд оговорок частного характера:

• «РУТОКЕН ЭЦП» в исполнениях «РУТОКЕН ЭЦП», «РУТОКЕН ЭЦП micro» и «РУТОКЕН ЭЦП Flash» снят с продаж (при этом соответствующие сертификаты действуют до конца 2018 года).
• С начала 2017 года прекращены процедуры продажи, поддержки и сопровождения USB-токенов семейства eToken PRO (Java), eToken и СКЗИ «Криптотокен» в составе изделий eToken ГОСТ. По этой причине eToken ГОСТ исключен из рассмотрения в рамках настоящего сравнительного анализа.
• В сертификате на «Криптотокен ЭП» (JaCarta ГОСТ и соответствующие комбинированные модели) не указаны отечественные стандарты в области криптографической защиты информации.
• На отечественном рынке есть решения, оценка которых с учетом нюансов сертификации может быть затруднительна для потребителя. Примером является функциональный ключевой носитель (ФКН) vdToken производства компании «Валидата». ФКН vdToken не сертифицирован как самостоятельное изделие, но поддержка его заявлена в сертификатах соответствия аппаратно-программных комплексов производства компании «Валидата». Это обстоятельство отражено в значении параметра «Объект сертификации» в таблице сравнения токенов.
• Имеются решения, сертификация которых на момент написания статьи еще не закончена, но проходит завершающую стадию. Одно из таких решений, «Токен++», с оговоркой включено в таблицу сравнения сертифицированных решений.
• Имеется решение, сведения о котором получены уже после подготовки данного материала. Речь идет об изделии Рутокен ЭЦП 2.0 исполнение А, регистрационный номер сертификата СФ / 121-3241 от 21 ноября 2017 года, действительный до 31 декабря 2018. Данное изделие соответствует требованиям к СКЗИ классов КС1, КС2; Требованиям Приказа ФСБ № 796 для классов КС1, КС2 и может использоваться в том числе для реализации функций электронной подписи в соответствии с Федеральным законом от 6 апреля 2011 г. № 63 ФЗ «Об электронной подписи». Информация об этом решении не включена в сравнительную таблицу, читатель может ознакомиться с его возможностями самостоятельно на сайте производителя.

Токены JaCarta U2F

В отличие от PKI-токенов JaCarta U2F поддерживают самостоятельную регистрацию пользователей — при регистрации токена JaCarta U2F на конкретном web-ресурсе не требуется участия администратора. В процессе регистрации пользователем своего U2F-токена на web-ресурсе происходит генерация ключевой пары (открытый и закрытый ключ) без сертификата открытого ключа. Сгенерированная ключевая пара используется для дальнейшей аутентификации. В связи с этим один токен может использоваться для доступа к множеству различных web-ресурсов.

Токены JaCarta U2F обеспечивают защиту от фишинговых атак, поскольку закрытый ключ, хранящийся в памяти токена, соответствует URL-адресу определенного web-ресурса.

Основные компоненты типового решения с поддержкой U2F-аутентификации на базе токена JaCarta U2F представлены ниже.

Рисунок 2. Архитектура типового решения с поддержкой U2F-аутентификации на базе токена JaCarta U2F

В состав типового решения с поддержкой U2F-аутентификации на базе токена JaCarta U2F входят следующие компоненты:

• Web-сервер, на котором установлено одно или несколько web-приложений и U2F-сервер — приложение, реализующее серверную часть протокола U2F и обеспечивающее хранение информации, полученной в процессе регистрации и аутентификации. Web-приложение при получении запросов на регистрацию и аутентификацию пользователей обращается к U2F-серверу для проверки и сохранения полученных от пользователя данных.
• U2F-клиент — приложение, посредством которого пользователь взаимодействует с web-сервисом (например, web-браузер или мобильное приложение). U2F-клиент реализует клиентскую часть протокола U2F, взаимодействует с web-сервером по протоколу HTTPS и U2F-токеном по протоколу USB HID.
• Токен JaCarta U2F — устройство, используемое в качестве второго фактора аутентификации при доступе к web-ресурсам и реализующее интерфейс USB HID.

Один токен JaCarta U2F можно применять для ПК, ноутбуков и мобильных устройств (при наличии USB-разъема или MicroUSB-разъема). При этом поддержка U2F обеспечивается из соответствующего приложения (например, Google Chrome).

Подробная информация о JaCarta U2F и описание принципов работы доступны на сайте производителя.

Таблица 1. Сравнение моделей токенов JaCarta

USB — USB-токены в корпусе Nano или XL

MUSB — MicroUSB-токены

SC — токены в форма-факторе смарт-карта

● — Базовая функциональность

○ — Дополнительная функциональность (доступна под заказ)

◊ — Функциональность, реализуемая в рамках согласованного c компанией «Аладдин Р.Д.» проекта

Прочие сертификаты

Система менеджмента качества компании «Аладдин Р.Д.» соответствует требованиям стандарта ГОСТ ISO
9001-2011.

Завод, осуществляющий контрактное производство печатных плат (комплектующих) и сборку USB-токенов,
сертифицирован на соответствие международному стандарту ISO 9001:2008 и ISO 14001:2004.

Электромагнитная безопасность
Изделие имеет повышенную защищённость от пробоя статическим электричеством (до 15 киловольт), что крайне
важно при эксплуатации в зимних условиях, при низких температурах и пониженной влажности воздуха, и
соответствует требованиям ГОСТ Р 51317.4.2-2010.

Изделие не оказывает влияния на работу электронного оборудования, чувствительного к электромагнитным
излучениям и помехам и соответствует требованиям ГОСТ Р 51318.22-99.

Изделие имеет повышенную защищённость от воздействия электромагнитных излучений и помех и соответствует
требованиям ГОСТ Р 51318.22-99.

Изделие изготовлено в соответствии с требованиями Технического регламента Таможенного союза,
утверждённого Решением Комиссии Таможенного союза от 9 декабря 2011 года № 879, ТР ТС 020/2011
«Электромагнитная совместимость технических средств» (декларация о соответствии ТС N RU
Д-RU.АВ49.В.05350 от 06.09.2016 г., Протокол сертификационных испытаний № 8908ЕМ-LAB09/16 от 02.09.2016
г., ТУ 46538383.40 3000.002ТУ).

2017: SafeNet доступно клиентам VMware Cloud on AWS

29 августа 2017 года Gemalto объявила о том, что решение SafeNet по шифрованию данных и управлению ключами теперь доступно клиентам VMware Cloud on AWS.

Решение VMware Cloud on AWS объединяет программное обеспечение корпоративного класса Программного центра данных (SDDC) от компании VMware и эластичную инфраструктуру для платформы без операционной системы от Amazon Web Services (AWS), чтобы предоставить организациям согласованную операционную модель и обеспечить мобильность приложений для частного и публичного облака. Решения SafeNet компании Gemalto позволяют клиентам VMware Cloud on AWS развертывать шифрование на стороне клиента, централизованно управлять ключами и токенизацией для упрощения таких операций безопасности, как видимость данных, аудит соответствия и выполнение политик и требований нормативно-правовых документов.

Решения по шифрованию данных и ключей управления SafeNet от компании Gemalto помогают организациям защищать свои данные в облаке, приложениях, центрах обработки данных, сетях и виртуальных средах. Клиенты VMware, работающие с приложениями в AWS, могут легко интегрировать технологию безопасности Gemalto с облачной поддержкой, чтобы:

• улучшить безопасность в облаке — клиенты могут хранить и управлять ключами в центральных устройствах с повышенной степенью защиты, повышая видимость и контроль, необходимые для последовательного и эффективного обеспечения контроля безопасности;
• обеспечить владение ключами — благодаря безопасному хранению ключей, высокой доступности и масштабируемости, организации могут быть уверены, что они будут полностью контролировать свои ключи шифрования и данные;
• оптимизировать управление ключами — администраторы могут централизованно управлять ключами, разрешениями и политиками с большей скоростью, простотой и эффективностью;
• упростить соответствие стандартам — централизованная платформа позволяет клиентам обеспечивать и демонстрировать соответствие строгим политикам безопасности и мандатам соответствия.

Технологические партнеры VMware Cloud on AWS позволяют клиентам беспрепятственно развертывать те же проверенные решения как в публичном, так и в частном облаке. VMware упрощает развертывание и устраняет необходимость в партнерах для решений по перепроектированию кода для VMware Cloud on AWS. Если партнерское решение работает локально, в среде VMware vSphere, оно будет поддерживать VMware Cloud on AWS. Технологические партнеры VMware дополняют и улучшают собственные услуги VMware Cloud on AWS и позволяют клиентам реализовать новые возможности.