Токена не подвержен заражению вирусами

Обновлено: 26.04.2024

Чтобы бесплатно получить подпись в ФНС, индивидуальный предприниматель, юридическое лицо или нотариус должны приобрести специальный токен. Токен — это носитель электронной подписи, он служит для хранения ключа ЭП и его использования.

В этой статье мы разберёмся в том, какие носители существуют, в чём разница между ними и расскажем, как с ними работать и какие ошибки могут возникнуть во время их эксплуатации.

Какие носители бывают

Все токены внешне напоминают флешку и выполняют её функции — выступают в качестве носителя. Однако, в отличие от обычной флешки, токены являются защищёнными носителями: на них устанавливается пароль и в них встроены криптографические алгоритмы. Это сделано для того, чтобы максимально обезопасить хранимую на них электронную подпись от компрометации, то есть доступа постороннего лица к защищённой информации.

Мы лишь вскользь упомянем о том, что хранить электронную подпись можно и на компьютере, но это небезопасно. В то же время, с 1 января 2022 года, получить подпись для юридических лиц, индивидуальных предпринимателей и нотариусов можно будет только в удостоверяющем центре ФНС. И получатель должен иметь при себе токен, на который и будет загружен ключ.

К носителям выставлены определённые требования: они должны быть сертифицированы и соответствовать формату USB Type-A. К этому типу можно отнести следующие токены:

JaCarta LT, JaCarta ГОСТ, JaCarta-2 ГОСТ;
Рутокен Lite, Рутокен ЭЦП 2.0, Рутокен S;
ESMART Token, ESMART Token ГОСТ.

В чём разница

Носители различают по следующим критериям: производитель, внешний вид, аппаратная криптография, объём защищённой памяти, цена, дополнительные опции, поддержка тех или иных операционных систем и необходимое программное обеспечение для работы.

Токены могут различаться также и по максимальному количеству электронных подписей, которые можно на них установить. Например, если размер носителя 64 Кб, то на него можно установить до 8 электронных подписей.

Объём защищённой памяти варьируется от 32 до 128 Kb, в зависимости от производителя. Некоторые модели могут содержать дополнительную flash-память для автоматического запуска необходимого программного обеспечения. Большинство токенов поддерживает множество версий Windows, а также Mac OS X и GNU/Linux.

Несмотря на все отличия, носители служат одной цели. Мы рекомендуем при выборе токена обращать внимание на то, подходит лишь ваша операционная система или нет для работы с данным носителем. При необходимости можно покупать карту с дополнительными опциями.

Как работать с носителями

Мы говорили об этом раньше, но напомним — токен должен быть сертифицирован ФСТЭК России или ФСБ России. Только на такой носитель УЦ ФНС сможет установить электронную подпись и, соответственно, только с таким носителем сможет работать индивидуальный предприниматель, юридическое лицо или нотариус.

Порядок получения электронной подписи на токен выглядит следующим образом:

Приобретаем сертифицированный носитель.
Приходим в операционный зал налогового органа региона.
Представляем документ, удостоверяющий личность, СНИЛС, токен и документацию к нему.
Получаем электронную подпись.

Порядок работы с носителями очень прост: в случае с Рутокеном, который является самым распространённым российским носителем, достаточно установить драйвер и воткнуть сам токен в гнездо USB. Настройка носителя осуществляется в специальной панели управления, которая устанавливается вместе с драйвером.

После выполненных действий электронную подпись можно будет использовать по назначению: подписывать электронные документы, работать с государственными порталами и участвовать в закупках.

Какие могут возникнуть ошибки

Носитель ключа электронной подписи нужно хранить в недоступном для посторонних лиц месте, чтобы избежать компрометации. Использовать его нужно чётко в соответствии с прилагаемой инструкцией, а при возникновении проблем — пользоваться вышеуказанными методами их решения или обращаться в службу поддержки.

Форум Рутокен → Помощь в выборе продукта → Может ли рутокен быть переносчиком вирусов?

Может ли рутокен быть переносчиком вирусов?

Использую Рутокен ЭЦП (без flash) вместе с Crypto Pro Рутокен CSP. Допустим, комп чем-либо заражен. Если этот экземпляр Рутокен ЭЦП использовать на другом компе (заведомо чистом, также вместе с Crypto Pro Рутокен CSP ) - возможен ли "перенос" вредоноса?

Алексей Несененко
Посетитель
Неактивен

Допустим что вредонос живущий на компьютере "обычный", т.е. расчитанный на массовое распространение у обычных пользователей. Такой вирус никак не сможет перенестись на другой "чистый" компьютер через Рутокен.

Чисто теоретически, наверное, можно написать узкоспециализированный вирус поражающий именно такую конфигурацию, как Вы описали, но ему по всей видимости потребуются внешние компоненты и самостоятельно он распространяться вряд ли сможет. Нам о существовании таких вредоносов пока ничего не известно. Им были бы подвержены и смарт-карты и токены других производителей. Но пока такой информации не появлялось.

С тех пор прошло немало (примерно 7) лет.
1) Не появилась ли новая информация по первоначальному вопросу?
2) Теоретически (отвечающий специалист писал) вирусы, предназначенные для разного рода и разных производителей токенов, не исключены. Не реализовал ли кто-то где-то это на практике?
3) Может ли токенный :) вирус осуществить подписание каких-то (заранее заданных) электронных документов ключом электронной подписи, находящимся на зараженном токене? Насколько это реально? Такая цель вполне реальна для неких злоумышленников, но вот оправданы ли (с их точки зрения) будут средства и усилия, применённые ими ради этой цели?

Vladimir Ivanov
Администратор
Неактивен

С тех пор прошло немало (примерно 7) лет.
1) Не появилась ли новая информация по первоначальному вопросу?
2) Теоретически (отвечающий специалист писал) вирусы, предназначенные для разного рода и разных производителей токенов, не исключены. Не реализовал ли кто-то где-то это на практике?
3) Может ли токенный :) вирус осуществить подписание каких-то (заранее заданных) электронных документов ключом электронной подписи, находящимся на зараженном токене? Насколько это реально? Такая цель вполне реальна для неких злоумышленников, но вот оправданы ли (с их точки зрения) будут средства и усилия, применённые ими ради этой цели?

1) Токен не является mass storage, для работы с его файловой системой требуются специальные средства.
Разместить на токене исполняемый файл таким образом, чтобы он запускался на компьютере пользователя мы не представляем как.
2) Теоретически в мире возможно очень много разных удивительных вещей. Практически - не все реализуемо и не все разумно и оправдано. Нам не известно ничего о такого рода случаях.
3) Исполнять какой-либо код на токене, не являющийся частью операционной системы Рутокен, не представляется возможным. В операционной системе Рутокен нет функциональности, позволяющей запускать какой-то исполняемый код. Теоретически такая ситуация возможна на Java-картах

Нужно поделить мошенников на две категории: мошенники, которые не очень сильны в области IT и самые настоящие хакеры, которые знают, как использовать вирусы и похищать ваши персональные данные в своих интересах. Что касается первых, то, как правило, они подделывают документы, либо любым другим аналогичным способом подделывают данные с простой целью – обмануть организацию. Раньше у нас можно было получить подпись по доверенностям и заверенным копиям, поэтому мошенники просто фальсифицировали доверенность. Печати там не требовалось, подпись могла стоять любая согласно закону. Соответственно, злоумышленники могли просто прийти и получить электронную подпись другого человека. Только потом, спустя время начали вводить различные ограничения. Например, подтверждение доступа к расчетному счету, подпись идентичную той, что стоит в паспорте, печать и пр. После введения данных мер контроля, воровать стало труднее.

Тем не менее, некоторые мошенники обращаются в удостоверяющие центры с поддельными оригиналами документов. Были такие случаи, когда приходил человек, представлялся директором организации, и сотрудники выписывали электронную подпись. Уже потом выяснялось, что обращался какой-то неизвестный человек, предоставлял настолько качественную подделку, что ее просто невозможно было отличить на момент оформления подписи. Доходило вплоть до того, что серия и номер были такие же, как в подлинном документе и лишь фотография отличалась. В момент выдачи такое отследить было просто невозможно.

Удостоверяющие центры по-прежнему подвергаются атакам со стороны мошенников, и остается лишь вводить новые формы контроля. Введение новых мер усложнит жизнь, как мошенникам, так и клиентам, но такова цена безопасности.

Об ограничениях со стороны государства и ответственность удостоверяющих центров.

Если вы внимательно вчитаетесь в 63-ФЗ, то станет ясно, что государство регулирует процедуру передачи электронной подписи. Однако, ответственность лежит на плечах самих пользователей. Есть определенная зона ответственности и у удостоверяющего центра, но заканчивается она ровно там, где электронная подпись выпускается и передается клиенту.

Как только электронная подпись была передана, (Если она передана в соответствии с законом и требованиями ФСБ) тогда к удостоверяющему центру вопросов больше нет. Процесс получения ЭЦП уже регламентируется удостоверяющим центром. Единственное, что требует от них государство – чтобы электронная подпись передавалась строго согласно закону. Например, если она выдается руководителю, то приходить и получать ее должен именно руководитель, а не кто-то другой. Здесь, с одной стороны, требование очень простое, но добиться его исполнения очень тяжело. Удостоверяющему центру сложно проверить – пришел клиент или мошенник. Пока мошенники могут подделывать паспорта, на месте отследить данный факт будет очень сложно.

Сейчас лишь зарождается такая инициатива, согласно которой удостоверяющие центры будут пробивать человека по паспорту, по специальному коду, который указан в паспорте. Этот код прописывается в УФМС, его будут сканировать и тогда сразу же станет ясно, кто пришел. Если же человека не находят в базе данных, то требуется дополнительная проверка, а это уже первый звоночек о том, что пришел человек с поддельным паспортом.

О токене и взаимодействии с компьютером

Вся работа происходит согласно требованиям ФСТЭК - на носителе должен стоять пин-код. Когда к компьютеру подключается электронная подпись, он сначала взаимодействует с носителем. Компьютер не может работать с токеном по умолчанию, для этого устанавливают дополнительные панели и программы. Лишь потом, если вы правильно введете пин-код, компьютер разрешит обратиться к электронной подписи. К слову, попыток для ввода кода около 10. Важно лишь то, что если вы введете пин-код неправильно указанное количество раз, токен блокируется.

На таком носителе всегда 2 уровня безопасности: пользователь и администратор. Если токен блокируется, то разблокировать сможет лишь администратор. Если же администратор также вводит неверный пин-код, тогда токен блокируется на двух уровнях, и сделать с ним вы уже ничего не сможете. Даже сбросить его или просто сделать пустым не получится, и это превращает носитель в бесполезный кусок пластика. С обычной флэшкой так сделать нельзя: даже если вы установите на нее пароль, то вводить его можно неограниченное количество раз. К примеру, если поставить на электронную подпись пароль, а на компьютере будут вирусы, и вы подключитесь с обычной флэшки, то есть риск, что один из этих вирусов украдет эту подпись, и злоумышленник попытается ее взломать. Хакер не будет взламывать ее на вашем компьютере, он украдет подпись и взломает ее уже на своем устройстве.

Некоторые просто покупают подпись и делают копии на токены. Допустим, у вас есть 4 носителя с одной и той же подписью, и вы выдаете ее тем сотрудникам, которым доверяете ее использование, к примеру, тендерный отдел. Если руководитель им доверяет, то он выдает им подпись. Тут есть юридический нюанс: тендерному отделу, понадобится доверенность о том, что руководитель действительно передал им полномочия на использования данной подписи. Реальная же ситуация такова, что таких договоренностей никто не делает, потому что никто не проверяет. 63-ФЗ прописал работу процедурно, то есть в случае какого-либо разбирательства такой документ должен присутствовать.

Как можно списать деньги

Представьте, что мошенники выпустили на ваше юридическое лицо электронную подпись по поддельным документам. Они взяли сканы ваших документов и начали представляться от вашего имени. У вас на расчетном счете лежит условный миллион рублей. В тот самый момент, когда злоумышленники получили электронную подпись, они формируют пакет документов, в которых указывают, что руководитель, который действует на данный момент, прекращает свои полномочия. Прописывают нового руководителя, ссылаясь на какого-нибудь неизвестного человека. Все это подается в налоговую, потому что документ, подписанный электронной подписью, согласно 63-ФЗ является юридически значимым. В новой поправке любая организация, получающая такие документы, обязана принимать их юридическую значимость. Соответственно, когда злоумышленники отправили документы, их начинают рассматривать, не зная, кто их подал.

Как защититься

Если вдруг вы узнали, что кто-то на вас выпустил электронную подпись, то нужно незамедлительно поменять свой паспорт и СНИЛС. Также надо обратиться в полицию, в УФМС и Пенсионный фонд. Очень важно сделать это оперативно, потому что у злоумышленника может быть просто заверенная копия, которой он будет пользоваться и в дальнейшем. Любое промедление может привести к тяжелым последствиям, потому что пока вы не поменяете свои данные, мошенники продолжат пользоваться вашей электронной подписью и оформлять договора, списывать суммы и прочее.

Это далеко не единственные способы кражи и использования вашей электронной подписи. Были такие случаи, когда мошенники пользовались данными абсолютно официально и даже выполняли работу за человека. Например, есть организации, которые сдают отчетность за компании. Такие конторы набивают себе базу, существуют на рынке какое-то время, а потом забирают подписи всех клиентов, которые у них имеются и проводят с ними запрещенные операции, списывают деньги и исчезают.

Единственно верным способом защиты было и остается бережное отношение к своим данным. Следите за тем, как и где, хранится ваша информация, кто их использует, и доверяйте только проверенным сотрудникам. Вы сами можете обеспечить безопасность своих данных.

Обращайтесь к нашим специалистам в магазин ЭЦП и наши специалисты подберут необходимую для вас подпись!

Первые программируемые TOTP токены Protectimus Slim NFC были выпущены всего пару лет назад. За это время мы получили сотни заказов, а вместе с тем и сотни вопросов о том, как работают перепрошиваемые токены, чем они отличаются от классических, как запрограммировать токен, безопасно ли использовать такие OTP токены.

В этой статье я расскажу о принципе работы классических аппаратных токенов и перепрошиваемых токенов, пошагово объясню как запрограммировать OTP токен Protectimus Slim NFC и отвечу на все популярные вопросы.

Для вашего удобства, краткое содержание статьи:

Как работают TOTP токены?

TOTP расшифровывается как Time-Based One-time Password — одноразовый пароль, основанный на времени. Соответственно, при генерации одноразовых паролей по алгоритму TOTP используется два параметра:

Секретный ключ (shared secret). Уникальный код длиной, как правило, около 16-32 символов в Base32.
Текущий интервал времени (обычно 30 или 60 секунд). Моментом начала отсчета интервалов времени считается Unix-время (полночь с 31.12.1969 на 01.01.1970 года по UTC). То есть, если токен поддерживает интервал времени 30 секунд, то количество секунд, прошедших с полуночи 1 января 1970, делится на 30, и полученное число используется для генерации одноразового пароля.

Как сервер аутентификации проверяет одноразовые пароли?

Чтобы сервер двухфакторной аутентификации мог проверить одноразовый пароль и разрешить или запретить доступ к учетной записи, ему должны быть известны те же вводные — тот же интервал времени и секретный ключ.

Интервал времени. На любом сервере есть часы, а значит и возможность вычислить текущий интервал времени.
Секретный ключ. Здесь есть два варианта:
- Или администратор загружает на сервер файл в формате csv с заранее заданными секретными ключами (так подключаются классические токены с предустановленными секретными ключами)
- Или секретные ключи генерируются самим сервером (так подключаются приложения для генерации одноразовых паролей такие как Protectimus Smart или Google Authenticator, а также прошиваемые аппаратные TOTP токены).

Это и подводят нас к объяснению разницы между классическими и программируемыми аппаратными токенами.

Чем классические TOTP токены отличаются от программируемых?

Классические TOTP токены

Классические аппаратные TOTP токены (Protectimus Two) — это OTP токены с предустановленными секретными ключами. Чтобы использовать такие токены, у клиента должна быть возможность загрузить секретные ключи на сервер.

Если клиент планирует использовать классические OTP токены со сторонним сервисом двухфакторной аутентификации (например защитить Azure MFA или Sophos XG), мы передаем ему секретные ключи в зашифрованном виде.

Если классические OTP токены будут использоваться с облачным сервисом Protectimus, мы добавляем секретные ключи сразу на сервер двухфакторной аутентификации Protectimus, поскольку это более безопасно и удобно.

Программируемые TOTP токены

Прошиваемые аппаратные TOTP токены (Protectimus Slim NFC) — отличное решение, если у вас нет доступа к серверу аутентификации и возможности загрузить csv файл с секретными ключами.

Для прошивки секретного ключа используется Android смартфон с поддержкой технологии NFC и приложение Protectimus TOTP Burner. Сервер генерирует QR-код с секретным ключом и предлагает пользователю просканировать его с помощью 2FA приложения (Protectimus Smart, Google Authenticator, т.п.). Но вместо стандартного аутентификатора обладатель токена Protectimus Slim NFC сканирует секрет с помощью приложения Protectimus TOTP Burner и прошивает его в токен через NFC.

Программируемые токены актуальны и для корпоративного (Office 365, Keycloak, Mailchimp), и для частного использования (PayPal, Dropbox, Facebook, Coinbase и т.д.).

Почему перепрошиваемые TOTP токены лучше всех остальных?

Основной плюс программируемых аппаратных токенов — универсальность.

Прошиваемые токены можно использовать и как классические, и вместо приложений для генерации одноразовых паролей. Следует отметить, что когда вы получаете перепрошиваемый TOTP токен Protectimus Slim NFC, в нем, как и в классическом, есть предустановленный секретный ключ. Мы предоставляем эти секретные ключи по запросу.

Еще одно весомое преимущество программируемых TOTP токенов Protectimus Slim NFC — синхронизация времени при каждой прошивке секретного ключа.

Перепрошивать токен можно неограниченное число раз. При этом учтите, что в одном токене есть слот только для одного секретного ключа (это НЕ мульти-токен). Каждая следующая прошивка стирает предыдущий секретный ключ и записывает на его место новый.

Безопасность

Программируемые аппаратные токены появились для замены 2FA приложений там, где классические токены подключить невозможно. Возникает вопрос: зачем вообще менять программные токены на аппаратные.

Дело в том, что аппаратные токены намного надежней программных. Аппаратный TOTP токен невозможно заразить вирусом, в отличие от смартфона, на котором установлено приложение-аутентификатор. Плюс ко всему, телефоны часто теряют, крадут, а иногда пользователи сами выполняют сброс данных до заводских настроек или по ошибке удаляют 2FA приложения, не подозревая, что это приведет к невозвратимой потере всех используемых токенов.

Возникают и случаи, когда использование смартфона просто невозможно. Например, у пользователя обыкновенный кнопочный телефон и он не сможет установить приложение. Или предприятие внедряет обязательную двухфакторную аутентификацию для доступа к корпоративным ресурсам, но некоторые сотрудники отказываются использовать свои личные телефоны.

Синхронизация времени

Одна из неизбежных проблем всех аппаратных токенов — рассинхронизация с сервером по времени. Поскольку токен — это автономное устройство, которое не подключается ни к одной сети, со временем его встроенные часы начинают немного спешить или отставать.

По стандарту RFC 6238 (TOTP) возможность рассинхронизации по времени необходимо учитывать на стороне сервера. Но не все сервисы 2FA следуют данной рекомендации. Поэтому в токенах Protectimus Slim NFC реализована автоматическая синхронизация времени при каждой прошивке токена. То есть каждый раз, когда прошивается новый секретный ключ, на часах, встроенных в токен, устанавливается точное текущее время. Это первые аппаратные TOTP токены с такой функцией.

Брендирование

Программируемые токены Protectimus Slim NFC могут быть выполнены в цветах вашей компании и с вашим лого от 1 штуки. Стоимость брендирования — 299 USD независимо от объема заказа.

Мы предлагаем брендирование для всех типов токенов, но обычно оно доступно только для крупных заказов (от 1000 штук).

Как понять к какому сервису подойдет токен Protectimus Slim NFC?

Токен Protectimus Slim NFC поддерживает секретные ключи длиной от 16 до 32 символов в Base32. Соответственно, чтобы понять сможете ли вы подключить этот токен к тому или иному сайту / системе необходимо проверить:

Можно ли на этом ресурсе настроить двухфакторную аутентификацию с помощью приложения?
Какая длина секретного ключа, который необходимо использовать для выпуска токена. Если длина ключа не превышает 32 символов, тогда TOTP токен Protectimus Slim NFC подойдет.

Периодически мы дополняем список инструкций по настройке двухфакторной аутентификации с помощью токена Protectimus Slim NFC на разных сайтах.

Малая часть сервисов, к которым можно подключить аппаратный токен Protectimus Slim NFC включает PayPal, Google, Azure MFA, Office 365, Sophos, Keycloak, Github, WordPress, Dropbox, Mailchimp, Evernote, Facebook, Twitter, Instagram, Reddit, Kickstarter, Slack, Nintendo, LiteBit, ICE3X, AdvCash, Interkassa, Exmo, Bitfinex, Bitstamp, BitKonan, Coinbase, LocalBitcoins, CEX.io, Bitlio, Luno, Livecoin, Poloniex и т.д.

Как прошить TOTP токен Protectimus Slim NFC?

Для прошивки токена необходим Android смартфон с поддержкой NFC.

Приложение для прошивки токена Protectimus Slim NFC доступно только на Android.

Секретный ключ можно прошить в токен только через NFC.

Войдите в учетную запись на сайте, к которому хотите привязать аппаратный токен Protectimus Slim NFC.

Войдите в настройки безопасности и начните активацию двухфакторной аутентификации с помощью мобильного аутентификатора (приложения Google Authenticator и т.п.)

Чтобы завершить выпуск токена, ввести одноразовый пароль с токена на сервисе, к которому вы привязываете Protectimus Slim NFC.

Часто задаваемые вопросы

Это мульти-токен? Поддерживает ли прошиваемый токен несколько секретных ключей одновременно? Если да, то сколько?

В токен Protectimus Slim NFC можно прошить только один секретный ключ. Но количество перепрошивок не ограничено. То есть вы сможете использовать токен только с одним аккаунтом одновременно, но при необходимости его можно отключить от одного аккаунта и привязать к другому. Каждая следующая прошивка стирает предыдущий секретный ключ и записывает на его место новый.

29.99 USD за штуку. При заказе от 50 штук — 28.99 USD и ниже.

Токен можно подключить практически к любому сервису, который поддерживает двухфакторную аутентификацию с помощью Google Authenticator, если длина секретного ключа не выходит за рамки допустимой — от 16 до 32 символов в Base32. Например, токен подходит для двухфакторной аутентификации в Google, PayPal, Office365, Azure MFA, Sophos, Keycloak, Dropbox, GitHub, Facebook, Twitter, Instagram, множестве платежных систем, бирж криптовалют и других сервисов.

Для прошивки токена необходим Android смартфон с поддержкой NFC и приложение Protectimus TOTP Burner. Более детальная инструкция доступна выше.

Нет. Приложение для прошивки токена Protectimus Slim NFC доступно только на Android.

Срок работы батареи — от 3 до 5 лет. На устройство действует гарантия 12 месяцев. Замена или зарядка батареи невозможна.

Безопасно ли использовать перепрошиваемый токен, может ли кто-то узнать какой секретный ключ вшит в токен с помощью приложения Protectimus TOTP Burner?

Извлечь секретный ключ из токена невозможно. Приложение также не хранит секретные ключи. Вы можете использовать один телефон для прошивки нескольких токенов и это абсолютно безопасно.

Мы не рекомендуем этого делать, так как можно случайно задеть микросхему.

Токены с вашим корпоративным дизайном можно заказывать от 1 штуки. Стоимость брендирования — 300 USD независимо от объема заказа.

Android смартфон нужен только для прошивки токена. Дальше токен работает автономно и телефон больше не нужен.

Как работают TOTP токены, чем классические TOTP токены отличаются от программируемых, Protectimus Slim NFC - это мультитокен или нет

Читайте также: