Комментарии 73
А что делать, если рутокен умрёт?
+4
Грусть-печаль. Как обычно — резервные копии ключа на втором/третьем рутокене
0
А можно ли записать ключ не только на токен, но и в «надежное место» и в случае смерти токена записать ключ на новый токен?
0
Конечно, Вы же генерируете ключ в ТруКрипте, а только потом записываете на рутокен
>Если Вы планируете пользоваться ключом только с рутокена, то необходимо удалить сохраненный на компьютере ключ.
>Если Вы планируете пользоваться ключом только с рутокена, то необходимо удалить сохраненный на компьютере ключ.
+2
Это хорошо.
0
То есть рутокен — это просто очень дорогая флешка мизерного объема?
+7
со встроенным шифрованием
0
А зачем она такая нужна, если я могу ключ хранить в запароленном ZIP архиве на большущей флешке? Рядом с парой виртуалок. За меньшие деньги.
Токен на то и токен, чтобы ключ генерировался и жил _только_внутри_токена_. Все операции шифрования и подписывания должны выполняться _только_внутри_токена_. Приложения на компе только передают токену исходные данные и получают результат шифрования или подписывания. Иначе это просто кидалово.
Сама возможность нахождения секретного ключа вне токена превращает «безопасность» в фарс.
Токен на то и токен, чтобы ключ генерировался и жил _только_внутри_токена_. Все операции шифрования и подписывания должны выполняться _только_внутри_токена_. Приложения на компе только передают токену исходные данные и получают результат шифрования или подписывания. Иначе это просто кидалово.
Сама возможность нахождения секретного ключа вне токена превращает «безопасность» в фарс.
+12
так что в данной ситуации рутокен +0 к защите?
0
Одно дело, скажем, ЭЦП, а другое — шифрование файловой системы. Как вы представляете себе, чтобы все дисковые операции чтения/записи проходили через токен?
0
Согласен, но в случае шифрования файловой системы токен для хранения ключа тоже не нужен. Достаточно флешки или тупо пароля.
Если же требуется полная аутентичность-достоверность-неотказуемость для двустороннего обмена данными, нужен именно токен. Не ру.
Если же требуется полная аутентичность-достоверность-неотказуемость для двустороннего обмена данными, нужен именно токен. Не ру.
0
НЛО прилетело и опубликовало эту надпись здесь
Всё равно «главный» ключ будет в оперативке и его можно будет перехватить. Зачем тогда возиться с токенами?
0
НЛО прилетело и опубликовало эту надпись здесь
Сделать дубликат ключа от гаража гораздо проще, чем сделать дубликат самого гаража. Поэтому имеет смысл держать ключ в сейфе.
Речь, в общем-то, о том и идет, что сделать дубликат рутокена осведомленному о пин-коде человеку не труднее, чем скопировать файл с флешки (тупо пишем этот же ключ на другой «токен»). А вот сделать дубликат аладдиновского (например) токена чрезвычайно трудно, даже если знаешь пин-код.
Почувствуйте разницу. Пропажа ключа — телефонный звонок — ключ недействителен. Копия ключа — неограниченный доступ в любое время — профит.
Речь, в общем-то, о том и идет, что сделать дубликат рутокена осведомленному о пин-коде человеку не труднее, чем скопировать файл с флешки (тупо пишем этот же ключ на другой «токен»). А вот сделать дубликат аладдиновского (например) токена чрезвычайно трудно, даже если знаешь пин-код.
Почувствуйте разницу. Пропажа ключа — телефонный звонок — ключ недействителен. Копия ключа — неограниченный доступ в любое время — профит.
0
и все-таки: ЧТО хранится в токене? Ключ для расшифровки тома? Тогда трукрипт через пинкод его получает! Значит можно извлечь ключ?
0
Суть не производителе токена, а в назначении хранимых токеном ключей. Если ключ используется для шифрования данных, например в TrueCrypt, то не важно какой токен его хранит. Он все равно должен быть извлечен, Рутокен это или eToken все равно. Если токен используется для формировании ЭЦП, то это может выполняться и на борту токена. Например в Рутокен ЭЦП, генерация ключа и подпись выполняется в токене и ключ этот не извлекаемый.
+1
не обязательно все операции. Достаточно только загрузки. В нормальных системах можно сделать так, чтоб небольшое ядро и драйверы загружались с маленького раздела (трафик идет через токен), а уже потом (спросив пин-код или еще что-нибудь у пользователя) работала с зашифрованными большими разделами данных.
Т.о. без токена компьютер не расшифровать.
Т.о. без токена компьютер не расшифровать.
0
так он и так живет только внутри токена, просто генерится внешне. с флешки же легко списать ваш зип архив и ломать его в оффлайне с перебором, когда как токен ломать перебором вы не сможете. есть механизм Intruder lockout
0
Вы понимаете принцип работы настоящего токена? НЕ рутокена?
Ключ должен генерироваться внутри токена и не должен покидать его пределов никогда. Иначе это не токен, а флешка с реализованным архиватором ZIP, умеющим ставить пароль.
Расшифровка диска на лету в случае с _настоящим_ токеном затруднительна — через USB дофига трафика гонять придется. А с рутокеном — можно. Ключ с токена в память всосали и вперед. Вот только смысл такого токена непонятен, это ж флешка просто :)
Ключ должен генерироваться внутри токена и не должен покидать его пределов никогда. Иначе это не токен, а флешка с реализованным архиватором ZIP, умеющим ставить пароль.
Расшифровка диска на лету в случае с _настоящим_ токеном затруднительна — через USB дофига трафика гонять придется. А с рутокеном — можно. Ключ с токена в память всосали и вперед. Вот только смысл такого токена непонятен, это ж флешка просто :)
0
Все просто! Вирусы никогда не потрут твой ключ и для доступа к рутокену нужен только один пин-код, т.е. пароль.
А чтобы ключ в памяти не висел постоянно, я рекомендую настроить авторазмонтирование диска при наличии его неактивности, а в зависимости от настроек — ключ из памяти удаляется.
Как уже писалось, подобрать пин невозможно, т.к. после нескольких неправильных попыток ввода, ключ блокируется для пользователя блокируется! Разблокировать можно только зная пароль администратора и опять же, при нескольких неправильных попытках ввода этого пароля — рутокен блокируется навсегда, а для восстановления его работы необходимо его полностью очистить.
Поэтому это не просто флешка, а более-менее продуманная защита.
А чтобы ключ в памяти не висел постоянно, я рекомендую настроить авторазмонтирование диска при наличии его неактивности, а в зависимости от настроек — ключ из памяти удаляется.
Как уже писалось, подобрать пин невозможно, т.к. после нескольких неправильных попыток ввода, ключ блокируется для пользователя блокируется! Разблокировать можно только зная пароль администратора и опять же, при нескольких неправильных попытках ввода этого пароля — рутокен блокируется навсегда, а для восстановления его работы необходимо его полностью очистить.
Поэтому это не просто флешка, а более-менее продуманная защита.
0
я понимаю принцип, и рутокен умеет генерировать ключи. Другое дело, что алгоритмы, с помощью которых токен генерит ключи, могут быть несовместимы с тем, что есть в truecrypt. И в флешке нету Intruder lockout, она не заблокируется, если кто-то 20ть раз неправильно введет пароль. Поэтому ваш архив можно будет взломать, вас уже поимели — если он попал кому-то в руки и не важно особо какой длинны там пароль.
0
Блин, я уже писал выше, что рутокен позволяет скопировать с себя ключ. То есть, вы можете получить два одинаковых рутокена и не знать об этом, пока ваша бухгалтерия не попадет в органы.
Кража ключа сама по себе является сигналом к смене замков, а вот дубликат отследить можно не всегда.
Кража ключа сама по себе является сигналом к смене замков, а вот дубликат отследить можно не всегда.
-1
вы в токенах вообще разбираетесь? знаете разницу между otp и x509 токенами?
0
Вы так пишете, как будто Рутокен не есть _настоящий_токен_. Если вы и правда так считаете, расскажите пожалуйста, в чем же их различие и как распознать _настоящий_токен_?
0
И еще вопрос. Давно интересует меня, можно ли приделать рутокен к KeepPass'у?
0
Если есть желание использовать TrueCrypt на флэшке можно использовать другой девайс — Рутокен ЭЦП Flash -http://www.rutoken.ru/products/rutoken-flash/. На флэшке будет хранится контейнер, на токене ключ. Рутокен ЭЦП не требует установки драйверов в ОС старше Windows XP SP3, требуется только поместить на флэшку файл rtPKCS11ECP.dll. Для удобства работы можно создать ярлыки монтирования и размонтирования томов командной строкой.
Например:
монтировать - TrueCrypt.exe /v truecrypt\myfile /lx /a /tokenlib truecrypt\rtPKCS11ECP.dll /k token://slot/0/file/keyfile /q
При запуске такой команды сразу будет запрашиваться PIN код от токена и монтироваться том, без множества промежуточных окошек.
размонтировать — TrueCrypt.exe /dx /q
Просто быстрое размонтирование
Например:
монтировать - TrueCrypt.exe /v truecrypt\myfile /lx /a /tokenlib truecrypt\rtPKCS11ECP.dll /k token://slot/0/file/keyfile /q
При запуске такой команды сразу будет запрашиваться PIN код от токена и монтироваться том, без множества промежуточных окошек.
размонтировать — TrueCrypt.exe /dx /q
Просто быстрое размонтирование
0
Кстати, в TrueCrypt есть удобная опция — Default Keyfiles, удобная тем, кто работает преимущественно с токеном — не нужно каждый раз нажимать галочку Keyfiles и выбирать нужный файл, при монтировании кейфайл уже указан, достаточно разблокировать токен. Правда в данном случае эту галочку придется каждый раз отключать, если в другом томе не используются ключевые файлы, но это уже кому что важнее.
0
НЛО прилетело и опубликовало эту надпись здесь
ИМХО флешка даже лучше. Токен сразу выдает свое предназначение. А на флешку можно скинуть безобидного мусора (фотки, книжки, исходники) и использовать один из файликов как ключевой.
+8
У токена есть ограничение числа попыток ввода пин-кода. Не нужно запоминать сверхстойкий 30-символьный пароль и бояться брутфорса.
+2
Насколько понял, рутокен — это просто флешка с аппаратным шифрованием. После ввода PIN-кода он виден в системе как обычный съемный диск, и ключевой файл доступен любому приложению (включая трояны)? Или только тркурипту? Если второе, то как это реализовано?
0
как понимаю, надо ставить драйверы и вводить ДВА пароля (для рутокена и трукрипта)? Не удобно.
0
Всем этим токенам здорово не хватает кнопки самоуничтожения, ибо зачастую важно не только надежно зашифровать информацию, но и вовремя от нее избавиться.
0
Держите под рукой кусачки. В случае чего — перекусываете дивайс поперек чипа и все.
Еще слышал, что народ прикручивает к таким штукам кнопку-разрядник от пьезозажигалок. Типа если что — давим на кнопку, даем искру в чип и снова все.
Еще слышал, что народ прикручивает к таким штукам кнопку-разрядник от пьезозажигалок. Типа если что — давим на кнопку, даем искру в чип и снова все.
0
Кусачки — это вариант. Их еще можно на цепочке к токену привязать, вместо брелка. А вот разрядник, мне кажется, ненадежный способ: неизвестно же, что именно он пожжет. А еще сейчас во многих микросхемах стоит защита от статического электричества в виде диодов на всех выводах, она может сыграть злую шутку.
А всего-то надо добавить в токен часовую батарейку и кнопку, по нажатию которой процессор токена будет забивать флеш-память мусором.
А всего-то надо добавить в токен часовую батарейку и кнопку, по нажатию которой процессор токена будет забивать флеш-память мусором.
0
У токена есть функционал, позволяющий уничтожить хранящиеся на нем ключи. Функционал программный естественно. Кнопка самоуничтожения была бы хорошим чисто аппаратным решением. Но тогда и злоумышленник (например, даже ребенок владельца токена) мог бы нажать кнопку. А это беда. пришлось бы для обеспечения «аппаратности» требовать набора пин-кода на самом токене. Это еще несколько кнопок на корпусе. Цена изделия увеличилась бы в разы, а вот привлекательность возросла бы сомнительно. Вы может быть и купили бы, но экстраполяция на других покупателей подобных интенций вряд ли уместна:)
0
А есть аналог этого рутокена, но без «цельнолитого корпуса из высокопрочного пластика»? Т.е. такой токен, чтобы его можно было быстро физически сломать?
+2
Тогда уж смолоть чипы в пыль, потому что слом платы ничего не даст. Те кому надо обратятся на производство рутокенов и спаяют обратно.
+1
У буржуинов есть решения со стирающим паролем. Если плен неизбежен, то вместо настоящего ПИНа говорить стирающий. Его пробуют, и вся информация стирается.
0
Не знаю, реализуемо ли это с токеном (хотя я не вижу причин, почему это может быть нереализуемо), но в случае с обычными винтами, сначала делается копия жесткого диска, и только потом на этой копии пробуют вводить то, что говорит «пленный».
0
в том и смысл токена. Количество вводов PIN ограничено и никаких копий не сделать. И устереть он сам себя тоже может за милую душу. А иначе любая флэшка лучше будет.
0
Я, наверное, чего-то не понимаю, но что мешает напрямую подключиться к EEPROM-у, считать с него данные и записать в EEPROM другого рутокена?
0
EEPROM находится на одном кристалле с процессором, подключиться к ней можно только с помощью иголок и микроскопа. Не удивлюсь, если в каждый кристалл зашит уникальный IDшник, который используется как часть ключа для шифрования EEPROM, и перезаливка содержимого (даже если его удастся считать) в другой кристалл ничего не даст.
+1
Насчёт шфирования ID я тоже думал, но, думаю, это тоже при желании можно решить, особенно при содействии самой компании «Рутокен».
В общем, по-моему, с этим рутокеном можно сделать всё, что хочешь, главное — деньги и необходимое железо.
В общем, по-моему, с этим рутокеном можно сделать всё, что хочешь, главное — деньги и необходимое железо.
0
Тогда уж компании Рутокен проще встроить бэкдор во все свои продукты, для облегчения такого «содействия». Кто сказал, что они помогут ломать собственные продукты?
А по поводу «сделать все, что хочешь» — это же извечная борьба брони и снаряда: одни вскрывают, другие защищаются, и на каждую хитрую защиту найдется… ну сами знаете.
А по поводу «сделать все, что хочешь» — это же извечная борьба брони и снаряда: одни вскрывают, другие защищаются, и на каждую хитрую защиту найдется… ну сами знаете.
0
При желании решить нельзя. Ибо ключи и критические данные хранятся непосредственно в памяти на кристалле процессора — в этом весь смысл.
На чипе при серийном производстве включается защита от чтения/отладки и единственное, что с ним потом можно сделать это стереть целиком и полностью (и то не всегда). Чтобы подключиться «иголками» (это эелектронным микросокопом, которым можсет считать непосредственно ячейки памяти). Ножено шлифовать корпус до кристалла, а все серьёзные производителеи для чипов с криптографией используют поверх кристала специальных слой органической смолы, который непрозрачен для электронного микроскопа и не может быть сошлифован без потери данных.
Если Рутокен не оставила явного бэкдора и всё спроектировала с умом, то ничего никак расшифровать нельзя. Если же они оставили, то они самоубийы.
ВО-первых, како-либо сотрудник может обидется или быть перекуплен конкурентами и расскажет про бэкдор — полный и немедленный край фирмы. Или предоставили они спецслужбам. А инофрмация утекала. Или утекла косвенна (на судебных заседания появилась информация с токенов, пароль к к оторов подозреваемые никому не говорили). Опять же немедленные крах всей конторы.
На чипе при серийном производстве включается защита от чтения/отладки и единственное, что с ним потом можно сделать это стереть целиком и полностью (и то не всегда). Чтобы подключиться «иголками» (это эелектронным микросокопом, которым можсет считать непосредственно ячейки памяти). Ножено шлифовать корпус до кристалла, а все серьёзные производителеи для чипов с криптографией используют поверх кристала специальных слой органической смолы, который непрозрачен для электронного микроскопа и не может быть сошлифован без потери данных.
Если Рутокен не оставила явного бэкдора и всё спроектировала с умом, то ничего никак расшифровать нельзя. Если же они оставили, то они самоубийы.
ВО-первых, како-либо сотрудник может обидется или быть перекуплен конкурентами и расскажет про бэкдор — полный и немедленный край фирмы. Или предоставили они спецслужбам. А инофрмация утекала. Или утекла косвенна (на судебных заседания появилась информация с токенов, пароль к к оторов подозреваемые никому не говорили). Опять же немедленные крах всей конторы.
0
Иголками технологии прямого воздействия на кристалл не ограничиваются. Есть лазеры, которыми можно с ювелирной точностью послойно испарять материал. Есть сфокусированные ионные пучки, которыми можно избирательно легировать кремний, создавая в нужных нам местах pn-переходы, проводящие окна, или, наоборот, разрывы в цепях. Есть индуктивные зонды, которыми можно считывать сигналы прямо через защитный слой. Есть технологии создания туннельных переходов, суть которых в том же — «утекание» сигналов через защитную пленку.
Понятно, что такое оборудование стоит просто космических денег, и чтобы вскрыть черную бухгалтерию ООО «Рога и копыта» никто им пользоваться не будет.
Понятно, что такое оборудование стоит просто космических денег, и чтобы вскрыть черную бухгалтерию ООО «Рога и копыта» никто им пользоваться не будет.
0
Для таких случаев в некоторых решениях существует защита от физического вскрытия (саморазрушение).
0
Если вы про химическую защиту (когда при повреждении защитных пленок происходит реакция и чип разрушается), то она обходится путем заморозки жидким азотом.
0
Хороший офисный дырокол на 100 листов должен справиться.
0
Валяется пачка рутокенов, все думал куда бы их приспособить (кроме как лампочка под столом).
Попытался прикрутить к TrueCrypt в Mac OS (дрова токена под Mac OS есть), но ничего не вышло. Если у кого-то есть опыт как завести его под Mac OS — делитесь.
П.С. За статью спасибо.
Попытался прикрутить к TrueCrypt в Mac OS (дрова токена под Mac OS есть), но ничего не вышло. Если у кого-то есть опыт как завести его под Mac OS — делитесь.
П.С. За статью спасибо.
0
У флешек U3 от сандиск есть шифрование содержимого и паролирование самой флешки, так что связка Truecrypt и U3 очень даже интересна вместо рутокена.
0
Этот вариант подходит для очень малых объемов информации, но у меня — UBS-винт на 750Гб, 100 гб я отдал под шифрованный раздел и почти уже 50 Гб я использовал, именно в моем случае трукрипт наиболее оптимальный вариант. При котором ночью я сплю спокойно.
0
Как мне показалось, оно полностью программное — там что-то вроде truecrypt лежит и всё.
0
Одно время я мучился с этими ключевыми файлами и токенами, а потом сел и написал программу, вот что она умеет делать, вкратце:
Условие: на жестком диски есть зашифрованный контейнер, доступ к контейнеру осуществляется по ключевому файлу и паролю.
1. Вставляем флешку
2. Программа резидент проверяет серийный номер вставленной флешки
3. Если серийный номер совпадает с тем который храниться в программе, то программа генерирует ключевой файл на жесткий диск и подключает зашифрованный контейнер автоматически
4. Если вытащить флешку, программа удаляет ключевой файл с жесткого диска и отключает зашифрованный контейнер.
Получается что нам нужно, лишь вставить привязанный флеш накопитель и не искать ключевой файл и не вводить пароли вручную.
Условие: на жестком диски есть зашифрованный контейнер, доступ к контейнеру осуществляется по ключевому файлу и паролю.
1. Вставляем флешку
2. Программа резидент проверяет серийный номер вставленной флешки
3. Если серийный номер совпадает с тем который храниться в программе, то программа генерирует ключевой файл на жесткий диск и подключает зашифрованный контейнер автоматически
4. Если вытащить флешку, программа удаляет ключевой файл с жесткого диска и отключает зашифрованный контейнер.
Получается что нам нужно, лишь вставить привязанный флеш накопитель и не искать ключевой файл и не вводить пароли вручную.
0
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Использование TrueCrypt c ключевым файлом на рутокен носителе