Комментарии 9
Была подобная идея. Отказался по чисто практическим соображениям: физический носитель ключа, с одной стороны, уязвимее в смысле "атаки на отьем" (его можно буквально забрать из рук и вежливо попросить ввести требуемый пароль), а с другой стороны сложнее резервируется (если второго нет в собачьей будке, а ключ просто утерян/разрушен/слетели драйвера новых больше нет - восстановить доступ сложнее)
Буквально такое объявление "вот у меня что-то секретное - но я вам не покажу!"
Ну а так идея интересная, да...
это удобно не "для себя", это для того чтобы дать его кому-то, кто будет ходить на ваш сервер по своим делам (т.е. не на полный доступ), и кто не будет забивать себе голову техническими подробностями.
В этом случае не видно преимущества перед тем же закрытым ключом, лежащим где-то на его ноутбуке. И то и другое можно потерять, можно отобрать, и с тем и другим можно надавить.
Ну разве что если ноутбук с драйверами был в машине, а токен в кармане - тогда да, кража ноутбука не поможет получить доступ. А там по звонку потерпевшего и токен отзовут.
Да, без сомнения, аппаратные ключи не добавляют физической безопасности, но и дополнительных уязвимостей в этом деле они не добавляют. При неблагоприятном стечении обстоятельств с тем же успехом отнять могут и флешку с закрытыми ключами, и компьютер целиком. Если же есть риск, что брелок с дисплеем своим видом спровоцирует на кражу, то версия без дисплея будет в самый раз.
По поводу «вечных» драйверов и легкодоступного железа — весьма интересны в этом плане Pico HSM (и его близнец Pico FIDO). Открытые исходники, доступность нового железа до 2045 года (обещания по RP2350), поддержка secure boot. Статья могла быть про него, но пока не сложилось с детальным изучением исходников, которые сделаны монолитом под две несовместимые архитектуры сразу, да и в целом тяжеловато читаются.
Если есть доступ к вашей "тушке", то никакие пароли не помогут. Ну т.е. исключая системы, которые сбрасываются при вводе специального пина, который вы первым делом сообщите и наличия у вас стальных яиц для этого.
В остальном, именно с сертификатами хороших решений мне не попадалось, но с просто паролями какой-нибудь mooltipass требует при подачи напряжения ввести пин, три неверных ввода и смарткарта окипичивается(на ней ключ которым всё покриптовано), резервную можно сделать заранее, хоть сто разных. Причем насколько я понимаю можно несколько баз иметь и несколько карт, т.е. одним устройством могут пользоваться много человек просто смарткарты меняя. Т.е. вы можете как угодно бэкапить закриптованную базу и карты доступа к ней.
К сожалению, относительно новые версии с ТОТР итп у них получились неудачными(rtc плохой, аккумуляторы итд итп), их не пробовал. Всё обещают выпустить еще новее, но воз и ныне там :(.
Вообще хорошее устройство для хранения паролей, генерации ТОТР, хранения сертификатов итп было бы полезно. Но беглый поиск дает только что-то одно как правило :(
Против терморектального криптоанализа ничего не поможет. Топовые шпионы в истории яд носили не просто так, все как один...
Зато аппаратный ключ поможет, если система скомпрометирована. Просто ставите антивирус, он начинает "облачную проверку", и вот ваш ключ на их сервере. Ключ может уйти в бекап. Он может быть утащен кривым софтом, функционал которого до конца не знают даже сами разрабы лол. Да тысячи вариантов утечки... Аппаратный же не даст пользы злоумышленнику даже в случае кейлоггера и угона пинкода, ибо ключ вставили, зашли, вытащили - это надо неизвестно сколько времени сидеть и сторожить, либо писать скрипт и надеятся, что пользователь не заметит еще одну сессию. Короче говоря, взлом аппаратного ключа - это точечная ручная работа, когда как защищаемся от автоматизированных/массовых атак и непреднамеренных утечек.
Бекап ключа делается несложно - покупается еще один и прописывается в системе, как и первый. Хоть сотню можно добавить, нет проблем. Все бытовые и производственные задачи такой сценарий закрывает идеально. А для шпионов, лиц из списка Форбс, и прочих небожителей, у которых могут "искать и в собачьей будке" никакой дурак масс-маркетовые изделия не закупает, да и своя СБ есть...
Непонятно, цена от 2к и ноль предложений на Авито...
Сломается, вдруг, и всё - сушите вёсла?
Не, такое нам не нать.
Оживляем eToken NG-OTP: USB-ключ для SSH и аппаратный генератор одноразовых паролей