- Автономный генератор одноразовых паролей.
- Не требует подключения к компьютеру.
- Как генератор одноразовых паролей полностью совместим с eToken NG-OTP.
- Работает под управлением eToken TMS 2.0.
- Гарантируемый срок службы – 7 лет или 14 000 генераций.
eToken PASS можно использовать для аутентификации в любых приложениях и службах, поддерживающих протокол аутентификации RADIUS – VPN , Microsoft ISA, Microsoft IIS, Outlook Web Access и многие другие.
Комплект разработчика eToken OTP SDK 2.0 позволяет легко добавить поддержку аутентификации по одноразовым паролям в собственные приложения.
Преимущества
- Не требует установки дополнительного клиентского ПО.
- Не требует установки драйверов.
- Работает без подключения к компьютеру – нет необходимости наличия свободного порта USB.
- Возможность работы в любой операционной системе.
- Возможность работы с мобильных устройств.
- Одноразовый пароль действует только в течение одного сеанса связи – пользователь может не беспокоиться о том, что пароль может быть подсмотрен перехвачен.
- Низкая цена.
Принцип работы В eToken PASS реализован алгоритм генерации одноразовых паролей (One-Time Password – OTP), разработанный в рамках инициативы OATH. Этот алгоритм основан на алгоритме HMAC и хэш-функции SHA-1. Для расчета значения OTP принимаются два входных параметра – секретный ключ (начальное значение для генератора) и текущее значение счетчика (количество необходимых циклов генерации). Начальное значение хранится как в самом устройстве, так и на сервере в системе eToken TMS. Счетчик в устройстве увеличивается при каждой генерации OTP, на сервере – при каждой удачной аутентификации по OTP.
При запросе на аутентификацию проверка OTP осуществляется сервером RADIUS (Microsoft IAS, FreeRadius и другие), который обращается к системе eToken TMS, осуществляющей генерацию OTP на стороне сервера. Если введенное пользователем значение OTP, совпадает со значением, полученным на сервере, аутентификация считается успешной, и RADIUS сервер отправляет соответствующий ответ.
Партия устройств eToken PASS поставляется с зашифрованным файлом, содержащим начальные значения для всех устройств партии. Этот файл импортируется администратором в систему eToken TMS. После этого для назначения устройства пользователю необходим ввод его серийного номера (печатается на корпусе устройства).
В случае нарушения синхронизации счетчика генерации в устройстве и на сервере, система eToken TMS позволяет легко восстановить синхронизацию – привести значение на сервере в соответствие значению, хранящемуся в устройстве. Для этого администратор системы или сам пользователь (при наличии соответствующих разрешений) должен сгенерировать два последовательных значения OTP и отправить их на сервер через Web-интерфейс eToken TMS.
В целях усиления безопасности система eToken TMS позволяет использовать дополнительное значение OTP PIN – в этом случае для аутентификации пользователь помимо имени пользователя и OTP вводит дополнительное секретное значение OTP PIN. Это значение задается при назначении устройства пользователю.
2017: Снятие с продаж продуктов линейки eToken
Извещение о планах прекращения продажи, поддержки и сопровождения USB-токенов и смарт-карт семейства eToken PRO (Java), eToken и СКЗИ "Криптотокен" в составе изделий eToken ГОСТ .
Продукты линейки eToken сняты с продаж с начала 2017 года. Условия завершения продаж и жизненного цикла изделий линейки eToken PRO (Java) , указанные в приведённой ниже таблице, распространяются на все существующие форм-факторы (USB -токен, смарт-карта и пр.). Список включает как несертифицированные, так и сертифицированные изделия. Подробный перечень моделей для всех перечисленных изделий указан в разделе "Артикулы и наименования" Извещения.
Модель
- последняя дата продажи 31 марта 2017 г., дата окончания поддержки 1 декабря 2020 г.
- eToken PRO (Java) , eToken NG-FLASH (Java), eToken NG-OTP (Java), eToken PRO Anywhere
- последняя дата продажи 31 января 2017 г., дата окончания поддержки 1 декабря 2020 г.
- eToken 4100 Smartcard, eToken 5100/5105, eToken 5200/5205
- последняя дата продажи 31 августа 2017 г., дата окончания поддержки 1 декабря 2018 г.
- Изделия, содержащие СКЗИ "Криптотокен" (eToken ГОСТ)
Техническая поддержка приобретённых ранее продуктов будет осуществляться до завершения оплаченного периода технической поддержки.
Вместо электронных ключей eToken PRO (Java) и eToken компания "Аладдин Р.Д." предлагает новые отечественные USB -токены, смарт-карты, встраиваемые модули безопасности (чипы), ОТР-токены JaCarta PRO, JaCarta PKI, JaCarta WebPass , разработанные и производимые ею в Российской Федерации.
Замещаемая модель
- eToken, eToken PRO (Java), SafeNet eToken
- JaCarta PRO - Совместимая модель
- JaCarta PKI - Функциональный аналог
- eToken PRO Anywhere - нет
- eToken NG-FLASH (Java) - В 2018 году планируется представить аналогичное изделие в линейке JaCarta
- eToken NG-OTP (Java) - Функциональный аналог, формирующий значение ОТР и передающий его по USB-порту
2016: eToken PASS сертифицирован ФСТЭК
26 августа 2016 компания «Аладдин Р.Д.» заявила о продлении сертификата ФСТЭК России программно-аппаратного комплекса аутентификации и хранения информации пользователей «Электронный ключ eToken 5».
Сертификат соответствия №1883 ФСТЭК России подтверждает соответствие ПАК аутентификации и хранения информации пользователей «Электронный ключ eToken 5» требованиям руководящего документа «Защита от несанкционированного доступа к информации . Часть 1. Программное обеспечение средств защиты информации . Классификация по уровню контроля отсутствия недекларированных возможностей» (Гостехкомиссия России, 1999) будучи программно-техническим средством защиты информации от несанкционированного доступа, имеет оценочный уровень доверия ОУД 2 по 4 уровню контроля.
"ДБО BS-Client. Частный Клиент" v.2.2
версия от 01.01.2001
1. Аннотация
Данный документ предназначен для администраторов системы.
Документ содержит информацию о принципах работы с аналогом собственноручной подписи клиента – eToken.
1. Аннотация. 2
2. Принципы работы с eToken PASS. 4
3. Импорт в систему ключей eToken. 4
4. Работа клиента с eToken. 5
6. Порядок разрешения споров по операциям, осуществленным с помощью «eToken». 7
2. Принципы работы с eToken PASS
В eToken PASS реализован алгоритм генерации одноразовых паролей с использованием алгоритма HMAC и хэш-функции SHA-1. Для клиента eToken PASS выглядит как брелок (Рис. 1), на экране которого отображаются сгенерированный пароль. Этот пароль используется для подтверждения проведения финансовых операций клиентом в системе «Частный Клиент».
Такое использование eToken основывается на статье 160 ГК РФ, в которой говорится, что при согласии сторон допускается использование аналогов собственноручной подписи клиента. При этом он не является ЭЦП и поэтому не подпадает под действие закона «Об электронной цифровой подписи».
Рис. 1 eToken PASS
3. Импорт в систему ключей eToken
Каждый брелок eToken имеет свой серийный номер и секретное значение. Эти данные предоставляет компания Alladin.
Средствами системы «Частный Клиент» генерация этих данных невозможна. Информацию о ключах eToken PASS система «Частный Клиент» получает с помощью импорта информации из файлов, получаемых банком вместе с брелками eToken. На сервере эти данные хранятся в зашифрованном виде.
F Для импорта в систему ЧК ключей eToken необходимо:
· Выбрать пункт меню «Безопасность -> Безопасность -> Список ключей eToken».
ð При этом откроется диалоговое окно «Список ключей eToken» (Рис. 2).
Рис. 2 Диалоговое окно «Список ключей eToken»
· Для загрузки новых ключей необходимо нажать на кнопку «Загрузить», расположенную в панели инструментов диалогового окна.
ð При этом откроется диалоговое окно «Импорт ключей eToken» (Рис. 3).
Рис. 3 Диалоговое окно «Импорт ключей eToken»
· В открывшемся окне необходимо указать путь к файлу формата xml содержащему ключи.
4. Работа клиента с eToken
Для привязки нового ключа клиент должен приехать в банк и получить новый брелок. Привязка нового ключа к клиенту осуществляется уполномоченным лицом банка стандартными средствами ЧК.
При подписи документа, на экране системы интернет-банкинга появляется поле для ввода кода. Клиент нажимает кнопку брелка для генерации нового значения пароля, и вводит полученный код в поле. При генерации пароля счетчик паролей увеличивается на единицу.
Информация о текущем счетчике хранится в самом брелке и синхронизирована с системой ЧК. При получении подписанного документа происходит проверка корректности введенного кода с помощью комплекта драйверов eToken PKI Client.
Внимание! Для корректной работы комплект драйверов eToken PKI Client должен быть установлен на одном сервере с RTS.
Количество попыток ввода неправильного пароля ограничено. Если клиент израсходовал все попытки, то ключ блокируется в системе ЧК. Разблокировать ключ самостоятельно клиент не может. Количество попыток ввода неправильного ключа задается в параметре «InvalideTokenAttempt» (Настройки -> Параметры системы -> Параметры авторизации -> InvalideTokenAttempt).
Разблокировать ключ можно в приложении Построитель. Для этого в таблице «eTokenKeys» (Структуры таблиц -> eTokenKeys) для записи соответствующей заблокированному брелку eToken (нужная запись определяется по ID) необходимо задать для параметров следующие значения:
CountAttempt = 0
eTokenBlockDate = « » (пусто)
eTokenStatusID = 1
При использовании брелка есть вероятность, что клиент случайно нажал лишний раз на кнопку и счетчик паролей на брелке клиента увеличился больше, чем на единицу. В этом случае счетчик нужно синхронизировать с данными в системе ЧК. При этом проверка выполняется не только для текущего значения счетчика, а пробегать вперед на установленное количество значений. Это позволит клиенту успешно подписать документ даже в том случае, если он случайно нажал кнопку генерации следующего пароля. Для задания количества допустимых «случайных» нажатий кнопки на брелке служит настройка «TokenCounterForCheck» (Настройки -> Параметры системы -> Параметры авторизации -> TokenCounterForCheck).
https://pandia.ru/text/78/645/images/image006_65.gif" width="623" height="626 src=">
6. Порядок разрешения споров по операциям, осуществленным с помощью «eToken»
1. При обнаружении спорной операции (электронного документа) с использованием «eToken» Клиент вправе обратиться в Банк с целью ее опротестования. Опротестование операции возможно не позднее 30 календарных дней с момента ее проведения.
2. Указанное опротестование оформляется письменным заявлением в адрес Банка, составленным в произвольной форме и включающим в себя следующую информацию: ФИО Клиента; дата операции; вид операции; сумма операции; причина опротестования.
3. Банк в течение 10 рабочих дней рассматривает заявление Клиента и удовлетворяет претензию Клиента, либо направляет письменный ответ Клиенту о необоснованности его претензии.
4. В случае несогласия с заключением Банка Клиент направляет в Банк письменное уведомление о своем несогласии и требованием формирования конфликтной комиссии для разрешения споров. Конфликтная комиссия формируется на срок до 10 рабочих дней, в течение которого она должна установить правомерность и обоснованность претензии, а также, если необходимо, подлинность и авторство спорной операции.
5. В состав конфликтной комиссии входит равное количество представителей от каждой из Сторон, определяемых Сторонами самостоятельно. Право представлять соответствующую Сторону в комиссии должно подтверждаться доверенностью, выданной каждому представителю на срок работы комиссии.
6. Комиссия определяет, включая, но, не ограничиваясь, следующее:
· предмет разногласий на основании претензии Клиента и разъяснений Сторон;
· правомерность предъявления претензии на основании текста заключенного Договора и Приложений к нему;
· факт входа Клиента в Систему перед отправкой спорной операции;
· соответствие серийного номера брелка eToken PASS, использованного Клиентом, серийному номеру брелка привязанному к клиенту в Банке, и правомерность его использования;
· дату и время поступления операции.
7. Стороны договариваются, что для разбора конфликтных ситуаций комиссия принимает на рассмотрение электронный документ и обязана использовать следующие, признаваемые Сторонами, эталонные данные:
· данные электронного архива принятых, отправленных документов;
· данные базы с информацией об eToken PASS;
· хранимую у Банка программу.
8. Комиссия должна удостовериться, что действия Сторон соответствовали Договору, действующему на момент создания спорной операции.
9. Подтверждением правильности исполнения Банком спорного документа является одновременное выполнение следующих условий:
· информация, содержащаяся в спорном документе, полностью соответствует действиям Банка по его исполнению;
· установлен факт входа Клиента в Систему, предшествующего отправке спорного документа в Банк;
· установлен факт проверки системой одноразового ключа, введенного клиентом;
· значение счетчика паролей на брелке eToken клиента больше значения счетчика использованного при подписи документа;
· на момент отправки документа используемый eToken PASS был привязан к клиенту;
· на момент отправки документа используемый eToken PASS был активен.
В этом случае претензии Клиента к Банку, связанные с последствиями исполнения указанного документа, признаются необоснованными. Невыполнение любого из перечисленных условий означает, что корректность использования одноразового ключа, сгенерированного с помощью брелка eToken PASS и правильность исполнения документа не подтверждена, т. е. проверяемый документ подтвержден некорректным одноразовым ключом, либо документ не был правильно исполнен Банком. В этом случае претензии Клиента к Банку, связанные с последствиями исполнения указанного документа, признаются обоснованными.
10. Результаты экспертизы оформляются в виде письменного заключения - Акта конфликтной комиссии, подписываемого всеми членами комиссии. Акт составляется немедленно после завершения экспертизы. В Акте результаты проведенной экспертизы, а также все существенные реквизиты спорного электронного документа. Акт составляется в двух экземплярах - по одному для представителей Банка и Клиента. Акт комиссии является окончательным и пересмотру не подлежит.
11. Результат работы комиссии Стороны вправе оспорить в порядке, установленном действующим законодательством Российской Федерации . Акт, составленный конфликтной комиссией, является доказательством при дальнейшем разбирательстве спора в судебных органах.
Автономный генератор одноразовых паролей, не требующий подключения к компьютеру и установки дополнительного программного обеспечения и может использоваться в любых операционных системах, а также при доступе к защищенным ресурсам с мобильных устройств и терминалов, не имеющих USB-разъема или устройства чтения смарт-карт.
- Автономный генератор одноразовых паролей;
- Не требует подключения к компьютеру;
- Централизованное управление токенами с помощью системы eToken TMS.
Назначение
Автономный генератор одноразовых паролей eToken PASS можно использовать для аутентификации в любых приложениях и службах, поддерживающих протокол аутентификации RADIUS - VPN, Microsoft ISA, Microsoft IIS, Outlook Web Access и др.
Комплект разработчика eToken OTP SDK 2.0 позволяет легко добавить поддержку аутентификации по одноразовым паролям в собственные приложения.
Преимущества
- Не требует установки дополнительного клиентского ПО.
- Не требует установки драйверов.
- Работает без подключения к компьютеру - нет необходимости наличия свободного USB-порта.
- Возможность работы в любой операционной системе.
- Возможность работы с мобильных устройств.
- Одноразовый пароль действует только в течение одного сеанса связи - пользователь может не беспокоиться о том, что пароль может быть подсмотрен или перехвачен.
- Низкая цена.
Принцип работы
В eToken PASS реализован алгоритм генерации одноразовых паролей (One-Time Password - OTP), разработанный в рамках инициативы OATH. Этот алгоритм основан на алгоритме HMAC и хэш-функции SHA-1. Для расчета значения OTP принимаются два входных параметра - секретный ключ (начальное значение для генератора) и текущее значение счетчика (количество необходимых циклов генерации). Начальное значение хранится как в самом устройстве, так и на сервере в системе eToken TMS. Счетчик в устройстве увеличивается при каждой генерации OTP, на сервере - при каждой удачной аутентификации по OTP.
При запросе на аутентификацию проверка OTP осуществляется сервером RADIUS (Microsoft IAS, FreeRadius и другие), который обращается к системе eToken TMS, осуществляющей генерацию OTP на стороне сервера. Если введенное пользователем значение OTP, совпадает со значением, полученным на сервере, аутентификация считается успешной, и RADIUS сервер отправляет соответствующий ответ.
Партия устройств eToken PASS поставляется с зашифрованным файлом, содержащим начальные значения для всех устройств партии. Этот файл импортируется администратором в систему eToken TMS. После этого для назначения устройства пользователю необходим ввод его серийного номера (печатается на корпусе устройства).
В случае нарушения синхронизации счетчика генерации в устройстве и на сервере, система eToken TMS позволяет легко восстановить синхронизацию - привести значение на сервере в соответствие значению, хранящемуся в устройстве. Для этого администратор системы или сам пользователь (при наличии соответствующих разрешений) должен сгенерировать два последовательных значения OTP и отправить их на сервер через Web-интерфейс eToken TMS.
В целях усиления безопасности система eToken TMS позволяет использовать дополнительное значение OTP PIN - в этом случае для аутентификации пользователь помимо имени пользователя и OTP вводит дополнительное секретное значение OTP PIN. Это значение задается при назначении устройства пользователю.
Как рабоатет eToken Pass и для чего он нужен?
eToken PASS - ключ для автономной генерации одноразовых паролей (OTP). Не требует подключения к компьютеру и установки драйверов.
Нажимаете кнопку, получаете 6-значный одноразовый пароль для доступа к веб сайту или приложению. Вводите свой логин, постоянный пароль и пароль полученный от eToken Pass и получаете доступ к своей информации.
Безопасность обеспечивается за счет того что пароль, созданный eToken Pass, действует только один раз. Соответственно если ваш пароль был подсмотрен или перехвачен, второй раз им воспользоваться будет невозможно. Для повторного входа, нужно снова нажать кнопку и получить новый пароль.
Назначение eToken Pass
eToken Pass чаще всего использую для доступа к веб сервисам и порталам, разменным в интернет, когда нет возможности обеспечить строгую двухфакторую авторизацию. Например доступ к корпоративной почте Outlook Web Access.
Еще один популярный способ использования ключей это закрытые web порталы для доступа к которым нужны повышенные меры безопасности. Например закрытый портал платежной системы TrustPay для платежных агентов использует как раз ключи eToken Pass.
Использование одноразовых паролей можно внедрить в любую систему, Web портал или CMS, для этого нужен комплект разработчика eToken OTP SDK 2.0. Этот комплект разработчика позволяет легко внедрить поддержку входа на сайт по одноразовым паролям используя eToken Pass.
eToken Pass и 1С-Битрикс
В популярной CMS уже реализована поддержка ключей eToken Pass. Если у вас сайт разработан на этой CMS то использовать ключи eToken Pass вы можете без каких-либо дополнительных затрат.
Поддержка eToken Pass работает во всех редакциях 1С-Битрикс кроме редакции Старт. Настройка eToken Pass находится в , в модуле "Проактивная защита".
После настройки, для авторизации пользователя, использующего eToken Pass в необходимо ввести логин пользователя и составной пароль, который состоит из слитного написания обычного пароля пользователя и значение одноразового пароля, полученное на eToken Pass.
Преимущества eToken Pass
Не нужно ничего устанавливать, ни драйвера, ни ПО.
Не нужно подключать к компьютеру.
Поддерживает любую ОС.
Можно работы через планшет или смартфон.
Одноразовый пароль действует только один раз, повторное использование кем-либо исключено.
не высокая цена.
Принцип работы eToken Pass
Вместе eToken Pass поставляется файл инициализации, в котором содержаться номер ключа и его секретные параметры, эти данные загружаются на сервер вашей системы при настройке и затем происходит синхронизация eToken Pass с сервером.
Вычисление одноразового пароля происходит по псевдослучайному вектору, иными словами зная текущее значение пароля и секретные данные eToken Pass, можно вычислить следующее значение одноразового пароля.
Именно так и происходит вычисление пароля на сервере, после удачной авторизации на севере происходит вычисление следующего пароля и система уже будет ждать его ввода.
Однако в данном случае может произойти ситуация при которой вы нажмете несколько раз кнопку на eToken Pass, а использовать эти пароли не будете, тогда ваш текущий пароль не совпадет со значением которое будет вычислено на сервере.
Окно синхронизации eToken Pass
Для решения подобных проблем есть параметр, который называется "окно синхронизации", он задает кол-во одноразовых паролей которые будет рассчитывать сервер при несовпадении ваших одноразовых паролей. Обычно это значение равно 10-15 паролям, если вы нажмете большее кол-во раз то выйдете за "окно синхронизации" и для дальнейшей работы потребуется повторная синхронизация с сервером, т.е. приведение значения на сервере в соответствие значению, хранящемуся в eToken Pass.
Способ генерации одноразового пароля в eToken Pass
Ключи eToken Pass бывают 2-х видов
Pass Time - генерация пароля раз в определенный промежуток времени
Pass Event - генерация пароля по событию
По умолчанию все ключи eToken Pass поставляются с параметром Pass Event, если нужно приобрести ключи с параметром Pass Time - это необходимо сообщить менеджеру при подтверждении заказа.