28. Безопасность. Аутентификация с использованием физического объекта.

Второй метод аутентификации пользователей заключается в проверке некоторо­го физического объекта, который есть у пользователя, а не информации, которую он знает. Сегодня этим физическим объектом часто является пластиковая карта, вставля­емая в специальное устройство чтения, подключенное к терминалу или компью­теру. Как правило, пользователь должен не только вставить карту, но также ввести пароль, чтобы предотвратить использование потерянной или украденной карты.

Существует две разновидности пластиковых карт, хранящих информацию: маг­нитные карты и карты с процессором. Магнитные карты содержат около 140 байт информации, записанной на магнитной ленте, приклеенной к пластику. Эта инфор­мация может быть считана терминалом и передана на центральный компьютер. Час­то эти данные содержат пароль пользователя (например, его PIN-код), так что терминал может сам проверить подлинность пользователя без помощи головно­го компьютера. Как правило, пароль шифруется ключом, известным только банку.

Карты, содержащие в себе микросхемы, в свою очередь, подразделяются на две категории: карты, хранящие информацию, и смарт-карты. Карты, хранящие информацию, содержат небольшое количество памяти. На такой карте нет центрального процессора, поэтому сохраняемое значение должно изменяться внешним центральным процессором.

Однако сегодня большой объем работ в сфере безопасности проводится со смарт-картами. Большое преимущество смарт-карт перед кредитными картами состоит в том, что для использования смарт-карт не требуется соединения с банком в режиме on-line.

Вопрос в том, как можно использовать смарт-карты для безопасной регистрации. Основная концепция проста: смарт-карта представляет собой маленький, защи­щенный от подделок компьютер, способный вступить в диалог (называемый про­токолом) с центральным компьютером для аутентификации пользователя. Так, пользователь, желающий приобрести товары на коммерческом web-сайте, может вставить смарт-карту в домашний адаптер, соединенный с персональным компь­ютером. Это обеспечит не только более надежную аутентификацию пользователя, но также позволит web-сайту сразу же вычесть нужную сумму из смарт-карты, что позволит избежать основных накладных расходов (и риска), связанных с исполь­зованием кредитной карты при покупках в режиме on-line.

Со смарт-картами могут применяться различные схемы аутентификации.

Недостаток смарт-карт состоит в том, что потеря или кража карты может привести к раскрытию ключа при помощи анализа энергопотребления карты. Эксперт, обладающий соответ­ствующим оборудованием, наблюдая за потребляемой картой электрической мощностью во время выполнения ею повторяемых операций шифрования, может оп­ределить ключ. Измерения времени, требуемого на зашифровку различных спе­циально подобранных ключей, также могут дать достаточно сведений для опреде­ления секретного ключа.