Долой SMS?

Три оператора (красный, желтый и зеленый), наверное, как сговорившись, решили повысить цены на SMS для банков под видом того, что последние рассылают много спама. Идея хорошая, но если начать анализировать глубже, то легко придти к выводу, что они сами и способствуют этому: предоставляют канал связи и получают деньги за его наполнение.

Надо признать, что SMS в последнее время стали самым удобным вторым фактором аутентификации, а также способом подтверждения действий клиента. Сейчас SMS-информирование у банков стоит 30-50 рублей в месяц. Рыночную монополию экономику никто не отменял, поэтому грех бы не повысить цены?

Телефон всегда у всех под рукой, достаточно посмотреть, как каждый второй всю поездку на транспорте «тычется» в него. Какие альтернативы могут быть у банков? Экспресс поиском легко ищется, что криптокалькуляторы есть у нескольких ведущих банков: Номос-банк, Московский индустриальный банк, Россельхозбанк, банк Возрождение. Предложений OTP-токенов еще больше, например: банк Уралсиб, СДМ-банк, Москомбанк, Новый Московский банк и многих-многих других. Если посмотреть прайс от Аладдина, то увидим, что, например, eToken PASS продается по 700 руб. Понятно, что при массовых закупках этот ценник станет в разы ниже. Банки могут его даже дарить клиентам, скажем, открывшим свой первый вклад на определенных условиях. Недостаток лишь в том, что клиентам придется всегда таскать с собой этот брелок.

Можно даже написать программные ОТП-токены под любую современную платформу и устанавливать приложение на телефон клиента, сразу же «зашивая» в него индивидуальные параметры для алгоритма генерации одноразовых паролей. Напрашивается вывод, что при грамотной маркетинговой политике и экономике Банкам вполне по силам умерить аппетиты таких «поднимателей» цен.

Соответствия некоторых продуктов

          Давно хотел посмотреть поближе эти продукты и вот обнаружил некие соответствия. О том, что лучше, что хуже рассуждать не буду, скажу лишь о том, что некоторые производители, не будем на них тыкать пальцем, за выдачу тестовой версии требуют гарантийное письмо от компании. В таких случаях я гарантирую, что «найду» десяток тезисов о недостатках продукта и уж точно его не куплю. Как вы думаете, Microsoft была бы лидером рынка, если бы не давала скачивать свои продукты? А вот наши производители, считают себя умнее.  

Производитель	Aladdin	SecurIT	Atlansys	Физтех-Софт
Двухфакторная аутентификация	Network Logon	Zlogin	-	SD Logon
Шифрование локальных дисков или создание криптоконтейнеров	Secret Disk Enterprise	Zdisk	Enterprise Security System	Strong Disk Corporate
Шифрование логических дисков сервера	Secret Disk Server NG	ZServer	Security Server	Strong Disk Server
SSO	Single Sign-On	ZShell	-	-

Соответствия токенов

           К токенам вышесказанное совсем не относится. Таблицу я сделал, прежде всего, для себя. Под защищенным токеном я понимаю невозможность извлечения закрытого ключа, Под незащищенным токеном я понимаю лишь наличие API для работы с файловой системой токена приложениями других производителей.

Производитель	Aladdin	Актив
«Незащищенный» токен	eToken PRO (Java)	Rutoken
«Защищенный» токен	eToken ГОСТ (1)	Rutoken ЭЦП (2) Магистра
Совмешен с флешкой	eToken NG-FLASH (Java)	Rutoken ЭЦП Flash
C RFID-меткой	Может быть любой	Rutoken RF
Для Web	eToken PRO Anywhere (1)	Rutoken Web (2)
OTP	eToken NG-OTP (Java) etoken PASS	-

(1) и (2) Аппаратно идентичные продукты, отличающиеся от базовых поддержкой плагинов для браузеров.

PS. Забавно было наблюдать как долгое-долгое время эти две компании  "бодались" с ведомством, регулирующим вопросы криптографии в России и одновременно 11.05.2011 г. получили РАЗНЫЕ сертификаты на КС2. :)

Впрочем, нужно читать их версии ТУ, ФО и прочих правил.

Способы организации личного защищенного хранилища

В качестве защищенного хранения информации можно использовать Аладдиновские токен-флешки eToken NG-FLASH (Java). Эти устройства представляют собой два в одном: обычный токен и флешку. Заявленные производителем размеры встроенной флеш-памяти от 4 до 16 Гб.

 

 Для использования нужно проделать ряд несложных манипуляций:

-        Установить драйвер и ПО – eToken Properties.

-        Установить пароль для защиты ключа шифрования и соответственно данных.

-        Пользоваться.

Для использования защищенным хранилищем нужно лишь подключить токен и смонтировать защищенное хранилище, введя пароль  для доступа к ключу шифрования.

Преимущества решения:

-        Единственное устройство.

-        В полной мере реализуется принцип двухфакторной аутентификации.

-        Программное решение бесплатно.

Недостатки решения:

-        Ключ шифрования хранится на том же устройстве, где и данные.

-        Решение только под ОС Windows.

-        Цена на токен явно завышена.

Замечания:

-        Токен заметно греется.

-        Внешний вид токена устрашающий.

Если приобрести такой токен нет желания или возможности, можно воспользоваться обычным токеном и обычной флешкой в связке с CПО TrueCrypt.

 Для использования нужно проделать:

-        Установить драйвер и ПО – eToken Properties.

-        Установить СПО – TrueCrypt.

-        Сгенерировать ключ шифрования и импортировать его в токен.

-        Создать криптодиск или криптоконтейнер.

-        Пользоваться.

Для использования защищенным хранилищем нужно подключить токен, флешку и смонтировать защищенное хранилище, введя ПИН-код токена и дополнительный пароль  для доступа к защищенному хранилищу.

Преимущества решения:

-        В полной мере реализуется принцип двухфакторной аутентификации.

-        Ключ шифрования и данные хранятся раздельно.

-        Программное решение бесплатно.

-        Кроссплатформенность.

-        Низкая стоимость решения.

Недостатки решения:

-       Нужно использовать 2 устройства и 2 свободных USB-порта.

Выводы:

С точки зрения личного использования мне больше нравится первое решение, однако, если вы часто используете Linux, то вам подойдет только второе решение.