מה שהבנק שלך נתן לך הוא אסימון אבטחה USB עם אישור דיגיטלי ( כאלה). מדובר ב התקני חומרה סטנדרטיים שכמעט כל מערכת הפעלה תומכת ב- plug&play מחוץ לקופסה. הם נפוצים מאוד ליישום אימות רב גורמים למערכות אבטחה גבוהה ב- IT ארגוני.

דפדפן האינטרנט שלך משתמש ב- HTTPS עם אישורים מבוססי לקוח כדי לגשת לאתר הבנק שלך. הוא משתמש במאגר האישורים של מערכות ההפעלה שלך כדי למצוא אישור מותקן התואם לזהות ששרת הרשת מבקש. כשיש התקנת אסימון אבטחה USB רגיל, מערכת ההפעלה תחפש גם אישורים כלשהם באסימון.

מערכת ההפעלה אינה יכולה לבצע את תהליך האימות בפני שרת האינטרנט בפני עצמה, מכיוון שהאסימון אינו מאפשר לקרוא את המפתח הפרטי של האישורים המאוחסנים בו ישירות. האסימון כולל את החומרה לביצוע האימות. אז המפתח הפרטי לעולם לא עוזב את מקל ה- USB. כלומר, גם אם המחשב האישי שלך נפגע מתוכנות זדוניות, המפתח הפרטי של האישור אינו בסכנת גניבה (אך זכור כי שיטה זו אינה מספקת שום הגנה לאחר שהאימות הצליח. תוכנה זדונית עדיין יכולה להתברג עם דפדפן האינטרנט שלך).

אגב: איזה בנק זה? אם הבנק שלי יתמוך גם בשיטת אימות זו, אני יכול אפילו להתחיל לעשות בנקאות מקוונת.

אחת הדרכים שזה יכול לעבוד היא ש- Chrome תומך ב- FIDO U2F ללא תוסף. בהתחשב בכך שכעת Chrome הוא כעת הדפדפן הפופולרי ביותר וכי Chrome פועל ב- Windows, Mac ו- Linux, זה לא לגמרי שגוי לטעון כי "זה עובד בכל מכשיר שיש לו יציאת USB, Windows, Mac, Linux ועוד, ו לעבוד מחוץ לקופסה ".

האם הם טענו שזה עובד בדפדפנים כלשהם או סתם במערכת הפעלה כלשהי?

.... הם לא דורשים מהמשתמש להתקין שום תוכנה על המחשב .... חשבתי שהיכולת של דף אינטרנט לגלוש בחופשיות במערכת הקבצים ללא פעולת משתמש מוגבלת בדרך כלל על ידי ברירת מחדל

כן, זה בהחלט לא אמור להיות אפשרי ללא מנהלי התקנים של כרטיסים חכמים. זהו מנגנון אבטחה בסיסי של כל דפדפן. מה נותן ללקוח שהאישור נקרא מבלי ללחוץ על "קובץ פתוח" שיח, שיח Java או התקנת מנהלי התקנים מראש? אמרת שבחרת באפשרות אימות אחרת.

זה נשמע כמו מפתח ה- USB המשמש למשל את בנק אוף סין. טכנולוגיה כזו מתוארת כאן.

נאמר כי היא תואמת "לכל מכשיר שיש לו יציאת USB"

לאחר תעודת PKCS מס '11, או מס' 12 לשילוב עם ביטוי סיסמה יעבדו על כל מערכות ההפעלה. זו אותה הדרך שמנהלי סיסמאות כמו עבודה של keepass, המשלבים משהו שאתה יודע עם משהו שאתה צריך לקבל 2 גורמי אימות.

זה כנראה רק קורא כרטיסים חכמים מסוג USB, עם כרטיס חכם בגודל SIM מוכנס.

אין צורך בהתקנה ידנית של מנהלי התקנים מכיוון שלפחות מנהלי התקנים כלליים הן לקורא והן לכרטיס מותקנים ברוב מערכות ההפעלה המודרניות.

ראה את התמונה למטה למשל עבור מכשיר כזה:

יש אישור עם מפתח פרטי השמור בכרטיס החכם של ה- SIM בתוך הקורא. כשאתה מחבר אותו למחשב, האישור מכרטיס חכם נטען בחנות האישורים של מערכת ההפעלה. משם זה בעצם מתנהג בדיוק כמו כל תעודה אחרת שנשמרת במחשב ויכולה לשמש לגישה למשאבים מאובטחים, חתימה על מסמכים / דואר, הצפנת דברים וכו '.

זה במיוחד מונפק על ידי Cert סמכות שאמונים על ידי הבנק שלי (בנקאות אינטרנט) והמדינה (משמשים אותי בעיקר לדברים הקשורים למס הכנסה ומבקשים מסמכים אמיתיים).

ככל הנראה מדובר במכשיר שמתיימר להיות מקלדת ולכן מוכר על ידי כל מערכת הפעלה מבלי לדרוש מנהלי התקנים מיוחדים. באופן פנימי, הוא כנראה ישתמש ב- HOTP (או ב- TOTP, אם היה לו שבב RTC וסוללה) ופשוט "הקלד" את ה- OTP בכל פעם שלוחצים על הכפתור, כמו מכשיר U2F Yubikey או דומה.

הדפדפן לא מדבר וגם לא יודע שה- USB שם; זה רק מורה למשתמש ללחוץ על כפתור פיזי במכשיר (לומר למכשיר "להקליד" את הקוד, מכיוון שהדפדפן עצמו לא יכול לדבר איתו) ואז לפרש את כל הקשות המקשים (עד אורך הקוד) הוא מקבל כמגיע מהמכשיר.

נשמע כמו רעיון תיאורטי שהיה לי לפני כעשור.

כמעט כל מערכת הפעלה תומכת בהתקני רשת USB. מקל ה- USB שלך עשוי להעמיד פנים שהוא כרטיס רשת, מחובר לרשת מקומית, עם שרת אינטרנט ברשת זו. גם לשרת אינטרנט זה יכולים להיות אישורי HTTPS.

דפדפן האינטרנט שלך יכול להגיש בקשות HTTPS לאותו שרת אינטרנט, ולגלות שמקל ה- USB ואתר הבנק סומכים זה על זה. זה לא נחשב להימלטות מארגז חול, מכיוון שלא הדפדפן וגם מערכת ההפעלה לא יודעים ששרת האינטרנט נמצא למעשה על מקל ה- USB.

אזהרת IP: למיטב ידיעתי, המעסיק לשעבר מחזיק בפטנט. על רעיון זה ברוב השיפוט. פנה לעורך פטנטים לפני שתעתיק רעיון זה.

כפי שחלק מהתשובות האחרות הוזכרו, ככל הנראה מדובר באסימון אבטחה מסוג USB. תחשוב על זה כקורא כרטיסים חכמים + כרטיס חכם מוטבע (ולפעמים הם מיושמים בצורה כזו). תחשוב על כרטיס CAC המשמש ארגוני הגנה בארה"ב. תחשוב על כרטיס PGP. ישנם דגמי Yubikey התומכים גם בכרטיס חכם.

סוג זה של מכשירים נמצא בשימוש נרחב על ידי בנקים בסין כדי להגן על אתר הבנקאות המקוונת שלהם / תוכנת לקוח שולחני, והתשובה שלי מבוססת בעיקר על הניסיון האישי שלי. באמצעות אסימונים אלה בסין.

כיצד משתמשים בו?

כאשר אתה נרשם לבנקאות מקוונת ובוחר באסימון USB, הבנק נותן לך את האסימון, יוצר ציבור / זוג מפתחות פרטי ותעודה אישית שלך, וטען אותם לאסימון. אתה מגדיר סיסמה באסימון, הנפרדת מסיסמת הכניסה שלך לבנקאות מקוונת.

אתה מתקין את מנהל ההתקן שסופק על ידי הבנק במחשב האישי שלך, מחבר את האסימון ונווט לאתר הבנק. בכל פעם שאתה מתחבר או מבצע פעולה רגישה (העברת כספים, שינוי פרטי קשר, אישור לרכישה מקוונת וכו '), הדפדפן / מערכת ההפעלה מבקשת להזין את סיסמת האסימון שלך, האור על האסימון מהבהב למשך מספר שניות והעסקה עובר.

רגע, אני צריך להתקין מנהלי התקנים?

כן. למערכת ההפעלה Windows יש ממשק כרטיסים חכמים סטנדרטיים, אך בכל דגם של אסימון USB נדרש עדיין מנהל התקן. לעתים רחוקות מאוד, Windows Update יתקין את מנהלי ההתקנים הנכונים עבורך, אך ברוב המקרים תצטרך להוריד חבילה מאתר הבנק.

לרוב מערכת ההפעלה הנתמכת היחידה היא Windows, והדפדפן הנתמך היחיד. הוא IE. (הם אוהבים אותם ב- ActiveX.) בהחלט ייתכן שבאופן כללי כרטיסים חכמים / אסימוני USB יתמכו במערכת הפעלה / דפדפנים אחרים, ראה כרטיס CAC לעיל; אתה צריך לבדוק תאימות עם הבנק שלך.

אז איך הוא מאמת אותך?

הדפדפן מבקש ממערכת ההפעלה לבקש מהאסימון לחתום על פיסת נתונים קטנה (אולי פרטי העסקה שלך). האסימון חותם עליו באמצעות המפתח הפרטי ותעודה. הדפדפן שולח את החתימה לבנק. הבנק מאמת את החתימה ומרוצה כי רק לאסימון שנתנו לך יש את המפתח הפרטי להפקת חתימה זו.

המפתח הפרטי לעולם לא עוזב את האסימון. אם הוא מתוכנן כראוי, אסור שהאסימון יגלה את המפתח הפרטי.

ראשית, הרשה לי לציין שאני די סקפטי לגבי הטענה של עובד שאינו טכני שהוא עובד על "כל מכשיר שיש לו יציאת USB", ללא קשר לדפדפן או למערכת ההפעלה. אני לא אתפלא אם מערכת ההפעלה הנתמכת התבררה כמספר גרסאות Windows (ואולי גם MacOS). עם זאת, מעניין לחשוב כיצד מכשיר כזה יכול לעבוד.

רוב הפתרונות שאינם דורשים מנהלי התקנים, כמו הצעתו של אנדרה בורי של מקלדת USB, ידרשו בכל זאת ממשק נוסף (כמו כפתור חומרה).

ובכל זאת, הפוסט של user2720406 נתן לי רעיון למכשיר שאכן יעבוד [במקומות מסוימים] לכל מכשיר [מופעל] שיש לו יציאת USB:

מכשיר ה- USB פשוט מכיל כרטיס SIM, ומשתמש בכדי לגשת לאינטרנט בכוחות עצמו באמצעות GPRS / 3G. ואז המכשיר פשוט ישלח הודעות חתומות דיגיטליות של "הלקוח עם האסימון 12312121 משתמש בבנקאות מקוונת". ההפעלה המקוונת אינה מותרת אלא אם כן התקבלה אחת בחמש הדקות האחרונות (פלוס אולי גורמים אחרים, כמו ה- IP של הלקוח עם מיקום גיאוגרפי דומה ל- IP של המכשיר). לפיכך, יציאת ה- USB תשמש רק לחשמל, והמכשיר יהיה עצמאי לחלוטין במה שמותקן במחשב.

זה נשמע כמו יוביקי. הם ידועים ועובדים מצוין. https://www.yubico.com/products/yubikey-hardware/yubikey4/

• בנוגע לאי צורך בנהגים: Yubikey מזהה את עצמו כמקלדת כך שכל מכונה עם מנהל התקן מקלדת יכולה לקרוא את פלט הטקסט ממנה.
• איך זה עובד: אתה לוחץ על הכפתור וה- Yubikey מוציא מפתח ציבורי (ממפתח פרטי מאובטח במכשיר). הבנק יכול לאחר מכן לאמת אותך ולאשר שיש לך את הדבר שאתה יודע (הסיסמה שלך) ואת הדבר שיש לך (הפרטיות המאובטחת שלך מבחינה פיזית).

• מדוע זה מאובטח: אין אפשרות לתוכנה במחשב שלך. כדי לקבל גישה למפתח הפרטי שלך כדי שתוכנות זדוניות לא יוכלו להעתיק את המפתח ולהעמיד פנים שאתה. יהיה עליך לגנוב אותך פיזית. (וזה אפשרי, אבל בגלל זה אתה משייך את זה למשהו שאתה מכיר)

• מי משתמש בהם ולמה: גוגל עזרה בתכנון ה- yubikey כדי שיוכלו לפתור את הבעיה של תוכנות זדוניות המחשב תופס אישורים מקומיים בזמן שהמשתמש לא היה נוכח. לכל מהנדס גוגל יש אחד כזה. השתמשתי בהם במשך שנים ופרסתי סביבם פתרונות 2fa רבים.