Bezpieczeństwo - Tokeny - TeleToken RSA

To niewielkie urządzenie USB zawiera w sobie duże możliwości kryptograficzne. Dzięki zaimplementowanym wewnętrznie algorytmom RSA i DES umożliwia bezpieczne przechowywanie par kluczy prywatnych, publicznych i certyfikatów oraz korzystanie z kryptografii asymetrycznej/symetrycznej. Dołączony zestaw narzędzi i bibliotek pozwala między innymi na integrację z MS CAPI w celu wykorzystania logowania do Windows, podpisywania wiadomości e-mail, czy korzystania z wbudowanego w system szyfrowanego systemu plików EFS.

Proste i wygodne API stworzone z myślą o programistach i integratorach umożliwia pełne wykorzystanie tokenu we własnych projektach.

Przykładowe zastosowania TeleTokenu RSA

Autoryzacja dostępu, uwierzytelnianie, logowanie do systemu
Podpisywanie poczty e-mail, podpisywanie i weryfikacja dokumentów parą kluczy RSA
Korzystanie z szyfrowanego systemu plików EFS
Bezpieczne generowanie pary kluczy w tokenie
Bezpieczne przechowywanie par kluczy RSA wraz z certyfikatami
Szyfrowanie danych kluczem publicznym, deszyfrowanie danych kluczem prywatnym
Generowanie losowych bloków danych
Wyliczanie skrótów wiadomości

W celu zapewnienia pełnego bezpieczeństwa komunikacja z tokenem odbywa się za pośrednictwem szyfrowanego kanału, do którego dostęp jest uzyskiwany po podaniu osobistego kodu PIN.

Właściwości TeleTokenu RSA

Szyfrowanie i podpisywanie komunikacji za pomocą algorytmu 3DES (FIPS PUB 46-3) i MAC (ISO/IEC 9797-1).
Sprzętowa obsługa algorytmów RSA, operujących na parach kluczy o długości do 2048 bitów.
Sprzętowa obsługa algorytmów DES i 3DES.
Sprzętowe szyfrowanie i deszyfrowanie danych.
Sprzętowe generowanie i weryfikacja podpisu wiadomości.
Sprzętowe, bezpieczne generowanie nowej pary kluczy RSA.
Wbudowana pamięć, podzielona na część tajną (nie do odczytania z TeleTokenu) i część publiczną. Część publiczna jest dostępna do zapisu dla użytkownika po uwierzytelnieniu.
Rozdzielenie dostępu na użytkownika, któremu PIN pozwala na zarządzanie zawartością TeleTokenu i wykorzystywanie jego właściwości kryptograficznych, oraz na administratora, który ma możliwość sformatowania TeleTokenu, np. po jego zablokowaniu.
Możliwość ustalenia przez administratora liczby prób dla logowania użytkownika.
Możliwość odczytania z TeleTokenu obsługiwanych algorytmów, oraz pojemności.
Wbudowany generator losowych bloków danych.

Operacje udostępniane przez TeleToken:

Sprzętowe szyfrowanie i deszyfrowanie danych algorytmem RSAES OEAP, RSAES PKCS1 v1.5 oraz RAW (bez wyrównania).
Sprzętowe szyfrowanie i deszyfrowanie danych algorytmami DES i 3DES, z użyciem trybów łańcuchowych (szyfrów blokowych) oraz różnych metod wyrównania bloku danych.
Sprzętowe generowanie podpisu i weryfikacja algorytmami RSASSA PSS oraz RSASSA PKCS1 v1.5.
Sprzętowe generowanie podpisu i weryfikacja algorytmami DES, z użyciem różnych metod wyrównania bloku wiadomości.
Sprzętowe, bezpieczne generowanie nowej pary kluczy RSA.
Import pary kluczy RSA, także w formacie zgodnym z Microsoft CAPI.
Import kluczy DES i 3DES.
Przechowywanie certyfikatu dla wybranej pary kluczy.
Import certyfikatów w formatach X.509 i PFX.
Sprzętowe generowanie losowego bloku danych.
Czyszczenie (usuwanie całej zawartości) TeleTokenu z poziomu użytkownika.
Formatowanie TeleTokenu z poziomu administratora.
Ustawianie i odczyt przyjaznej nazwy użytkownika.

Logowanie do TeleTokenu i szyfrowany kanał komunikacyjny

Informacje jawne są dostępne do odczytu z TeleTokenu w każdej chwili. W celu zapisu informacji, wymagane jest uwierzytelnienie użytkownika. Następuje ono po podaniu prawidłowego PIN-u, lub 128-bitowego klucza logowania. Tworzony jest wówczas tajny, szyfrowany kanał komunikacyjny między komputerem a TeleTokenem. Informacje przesyłane w kanale są dodatkowo podpisywane przez obie strony. Uniemożliwia to podsłuchanie informacji, jak również atak typu „Man In The Middle”. Zmiana PIN-u (lub klucza logowania) użytkownika może nastąpić wyłącznie po jego uprzednim poprawnym zalogowaniu. Administrator nie ma możliwości zmiany hasła użytkownika bez jednoczesnego formatowania TeleTokenu, a więc nie ma dostępu do jego danych. Może on natomiast sformatować TeleToken, np. w przypadku gdy użytkownik przekroczy limit błędnie wprowadzonych kodów PIN. Spowoduje to usunięcie wszystkich danych użytkownika, oraz wyczyszczenie jego hasła. Podczas formatowania administrator może również określić nowy limit błędnych logowań dla użytkownika.

Kryptografia kluczy asymetrycznych i symetrycznych

W zależności od wersji TeleTokenu, posiada on możliwość operowania różnymi algorytmami. TeleToken RSA posiada możliwość operowania zarówno algorytmami RSA, jak i algorytmami DES oraz 3DES.

Dostępne algorytmy szyfrowania RSA:

RSAES OEAP
RSAES PKCS1 v1.5
RAW (bez wyrównania)

Dostępne algorytmy podpisu i weryfikacji RSA:

RSASSA PSS
RSASSA PKCS1 v1.5

Dostępne tryby szyfrów blokowych DES i 3DES:

Dostępne metody wyrównania dla szyfrowania i podpisu algorytmami DES i 3DES:

„None” - bez wyrównania.
„Method 1” – Dopełnianie zerami.
„Method 2” – Dopełnianie zerami, po uprzednim uzupełnieniu o wartość „0x80”.
PKCS #5

Kontenery

Kontenery służą do przechowywania kluczy, oraz np. certyfikatów, a także informacji dodatkowych (takich jak opis czy typ i wielkość klucza). Kontener typu DES (i 3DES) posiada część tajną, służącą do przechowywania klucza. Klucza tego nie można odczytać, ani w żaden sposób wydobyć z TeleTokenu. Jedynie użytkownik ma możliwość wykonywania operacji kryptograficznych za jego pomocą, podając odpowiedni numer kontenera. Kontener typu RSA przechowuje zarówno część publiczną, możliwą do odczytania z TeleTokenu, w której mieszczą się certyfikat i klucz publiczny, jak również część prywatną, przechowującą klucz prywatny, która zachowuje się identycznie jak w przypadku kontenera DES.

Parametry TeleTokenów RSA i DES – porównanie:

* w kontenerach DES możliwe jest przechowywanie zarówno kluczy DES (8 bajtów – klucz długości 56 bitów i bity kontrolne), jak i 3DES (16 bajtów – klucz długości 112 bitów i bity kontrolne).

Uwaga! – Jesteśmy w stanie przygotować TeleToken z wybranymi możliwościami oraz podziałem pamięci na życzenie. W tym celu prosimy o kontakt.