Token kryptograficzny: RSA SecurID 800
2009-07-17, Piątek 20:16:34 +0200, autor Karol „Zal” Zalewski, licencja LPRCTKC
Jakiś czas temu natknąłem się na Allegro na parę tokenów kryptograficznych w okazyjnej cenie - mowa o modelu RSA SecurID 800. Oczywiście, sam token do niczego by mi się nie przydał ze względu na co najmniej dwa czynniki.
Pierwszym z nich jest to, iż nie widzę sensu stosowania OTP w przypadku domowych rozwiązań, a nie spotykam się zbyt często z wykorzystaniem SecurID w usługach ogólnodostępnych. I to pomimo tak licznych wyników wyszukiwania w Google na zapytanie „rsa securid login”. Druga sprawa to kwestia tego, kiedy został wyprodukowany dany token - każdy z nich posiada określony czas życia.
Dlaczego zatem zakupiłem SID800? To proste. SID800 to hybryda - połączenie tokena kryptograficznego ze smartcard (właściwie Java Card). I to właśnie ten drugi element mnie interesuje. Nie jest to rozwiązanie idealne, ponieważ może przechowywać jedynie krótkie klucze (1024 bity), ale ze względu na swoją cenę może posłużyć do testów. Nawet jeżeli był już wykorzystywany wcześniej to użycie go w roli smartcard nie stanowi zagrożenia dla bezpieczeństwa.
Mam nadzieję, iż nie będzie sprawiać problemów pod Linuksem - połączenie libccid oraz pcscd powinno być dobrym początkiem.
2009-07-27 o Poniedziałek 13:21:34 +0200
Token kryptograficzny z funkcjonalnością SmartCard pod Linuksem
Wspomniane jakiś czas temu tokeny kryptograficzne doszły do mnie w całości. Tak, jak sądziłem, ich życie zakończyło się już ponad dwa lata temu - haseł jednorazowych już nie generują. Natomiast całkiem nieźle sprawdzają się w roli,[...]
2009-07-19 o Niedziela 11:17:58 +0200
Dostałeś je z gotowym aplletem czy wgrywasz swój? Jeśli swój to można wiedzieć jaki? Ja walczę z tokenami oberthura, niestety musclecard nie chce na nich ruszyć :(
2009-07-19 o Niedziela 11:53:42 +0200
@DrStorm: Tokeny są jeszcze w drodze do Gdańska, więc trochę jeszcze czasu upłynie nim uzyskam do nich dostęp. Jako, że mają być fabrycznie zapakowane i sprawne to zapewne coś na standardowym wyposażeniu już posiadają.
Co nie zmienia faktu, iż zainteresowałeś mnie MuscleCard - jeden z dwóch tokenów mogę do testów przeznaczyć. Obecnie nie posiadam żadnej wiedzy na ten temat, ale jeżeli tylko dowolna karta należąca do rodziny Java Card może być swobodnie przeprogramowana to z pewnością się tym zajmę :] Są źródła, które podają, iż jest to możliwe na RSA SecurID 800.
2009-07-19 o Niedziela 13:45:50 +0200
tzn. jeśli są nowe to mogą mieć tylko aplikację zarządzającą. W kazdym razie w takim stanie wysyła swoje oberthur. Oczywiście może być też tak że RSA wgrywa swój applet. Jeśli jeszcze nie bawiłeś się z java card to od razy na początku radzę sprawdzić czy tokeny dadzą się przeprogramować z użyciem standardowych kluczy transportowych. Zwykle jeśli mają już jakąś aplikację na pokładzie to będzie to niemożliwe (tak np. robi ActivIdentity). No ale zobaczy się jak je dostaniesz :) Możesz zdradzić ile kosztowały?
2009-07-19 o Niedziela 15:43:20 +0200
@DrStorm: Za dwie sztuki wraz z przesyłką zapłaciłem nieco poniżej 50 PLN (standardowo kosztują 60 USD/szt.), dlatego jestem ciekaw, na ile są sprawne. Jak dojdą to zobaczymy, co się da z nimi zrobić. Jeżeli masz ochotę to możesz zajrzeć do data sheet oferowanego przez RSA, a dotyczącego SecurID 800.