توکن امنیتی چیست و چگونه کار می‌کند؟
در دنیای امروز، استفاده از رمز عبور به تنهایی برای حفاظت از اطلاعات مهم کافی نیست. چرا که با بیشتر شدن حملات سایبری، نیاز به سیستم‌های امنیتی قوی‌تری احساس می‌شود. یکی از راهکارهایی که در این راستا مطرح شده، استفاده از توکن‌های امنیتی فیزیکی است. این ابزارها برای ایجاد احراز هویت چند مرحله‌ای طراحی شدهاند و در این راستا نقش مهمی در تامین امنیت و کنترل دسترسی پیدا کرده‌اند. توکن‌های امنیتی به عنوان یک لایه امنیتی در کنار روش‌های سنتی مانند رمز عبور، به اشخاص کمک می‌کنند تا از نفوذ غیرمجاز جلوگیری کرده و امنیت سیستم‌ها را افزایش دهند. در این مقاله به مفهوم توکن امنیتی، نحوه کار و انواع آن پرداخته شده است.
مقاله پیشنهادی :« توکن چیست؟»
تعریف توکن امنیتی
توکن امنیتی، یک ابزار سخت‌افزاری کوچک و قابل حمل است که برای احراز هویت کاربران طراحی شده است. این دستگاه احراز هویت دو مرحله‌ای یا چندمرحله‌ای داشته و هدف آن افزایش امنیت در هنگام دسترسی به سیستم‌های رایانه‌ای یا فضاهای فیزیکی است. توکن ممکن است به شکل کارت هوشمند، کلید USB یا یک وسیله بی‌سیم باشد و اطلاعات کاربر را به صورت رمزنگاری‌شده در خود نگه دارد. این اطلاعات می‌توانند شامل رمز عبور، کلید رمزنگاری یا داده‌های بیومتریک مانند اثر انگشت باشند.
برخی از توکن‌ها دارای صفحه‌نمایش برای نمایش رمز یک‌بارمصرف، ورودی پین یا دکمه‌ای برای فعال‌سازی هستند. همچنین در برخی مدل‌ها، بسته‌بندی مقاوم در برابر دستکاری برای حفظ امنیت بیشتر طراحی شده است. لازم به ذکر است در مواردی نیز قابلیت‌های صوتی برای کاربران دارای اختلال بینایی در نظر گرفته شده است. در ادامه نمونه‌ای از توکن امنیتی قابل مشاهده است.
نحوه کار توکن امنیتی
توکن امنیتی با تولید رمز عبورهایی که تنها برای مدت کوتاهی معتبر هستند، در فرایند احراز هویت نقش ایفا می‌کند. این رمزها ممکن است توسط دستگاه‌هایی نظیر کلیدهای USB، کارت‌های هوشمند، تلفن‌های همراه یا کارت‌های شناسایی با فناوری RFID تولید شوند. زمانی که کاربر قصد ورود به یک سیستم را دارد، رمز عبور تولید شده توسط توکن را وارد کرده و سیستم هویت شخص را بررسی می‌کند. این رمز عدد تولید شده‌ای است که با داده‌های هویتی کاربر رمزگذاری شده و به سرور ارسال می‌شود. حتی پاسخ دریافتی از سرور نیز رمزگذاری شده است و تنها توسط همان توکن قابل رمزگشایی خواهد بود.
از آن جا که رمز توکن در هر نوبت متفاوت است، دیگر نیازی به ذخیره رمزها روی سرور نیست. این موضوع سطح امنیت را افزایش داده و امکان نفوذ از طریق سرقت داده‌های ثابت را کاهش می‌دهد. همچنین برخی توکن‌ها پیش از استفاده جهت امنیت بیشتر از کاربران رمز عبور ثابت می‌خواهند. برای این رمزها شرایط ویژه‌ای تعیین نشده و افراد می‌توانند رمز دلخواه خود را تعیین کنند. به همین منظور به یاد سپردن آن کار سختی نخواهد بود.
برخی از توکن‌های امنیتی برای ورود به سیستم‌های کامپیوتری، برخی دیگر برای باز کردن درها و یا برای تایید تراکنش‌های مالی استفاده می‌شوند. با وجود تفاوت‌ها، عملکرد همه آن‌ها بر پایه اصول مشترکی چون تولید رمز عبور موقت و اعتبارسنجی آن با کمک یک سیستم مرکزی است.
انواع توکن امنیتی
در ادامه انواع توکن‌های امنیتی معرفی شدهاند.
توکن‌های متصل
توکن متصل باید به صورت فیزیکی به سیستم وصل شود. برای مثال کارت‌های هوشمند یا ابزارهایی مانند Yubikey با اتصال به دستگاه، اطلاعات احراز هویت را منتقل می‌کنند. این فرایند معمولا با وارد کردن دستگاه در یک کارت‌خوان انجام می‌شود و داده‌های لازم به صورت خودکار به سیستم ارسال می‌شوند.
توکن‌های غیرمتصل
برخلاف توکن‌های متصل، توکن‌هایی نیز هستند که نیازی به اتصال مستقیم به دستگاه ندارند. کاربر صرفا باید کدی را که توسط توکن تولید شده است وارد کند. یکی از نمونه‌های رایج توکن‌های غیرمتصل، تلفن همراهی است که برای احراز هویت دو مرحله‌ای تنظیم شده و کدهای موقتی تولید می‌کند.
توکن‌های بدون تماس
برخی دیگر از توکن‌ها به صورت بی‌سیم با سیستم ارتباط برقرار می‌کنند و بدون نیاز به ورود دستی رمز یا اتصال فیزیکی، احراز هویت انجام می‌شود. چرا که توکن‌های بی‌سیم از فناوری‌هایی مانند بلوتوث یا NFC استفاده می‌کنند. عملکرد این ابزار مشابه باز کردن درب خودرو بدون فشردن دکمه سوییچ یا چرخاندن آن در قفل است که تنها با نزدیک شدن فرد قفل درب‌ها به صورت خودکار باز می‌شوند.
انواع رمز عبور توکن امنیتی
در ادامه به انواع رمزهای عبور توکن امنیتی پرداخته می‌شود:
1. رمز عبور ثابت: این رمز همیشه یکسان است و تنها در صورتی عوض می‌شود که متخصص امنیتی آن را تغییر دهد. حتی ممکن است فردی که توکن دارد از وجود چنین رمزی بی‌اطلاع باشد.
2. رمز عبور پویا: سیستم امنیتی به صورت خودکار یک رمز عبور جدید تولید کرده و آن را به توکن ارسال کرده و کاربر باید پیش از ورود، این رمز را وارد کند. برخی سیستم‌ها رمز عبور پویا را با استفاده از یک تایمر و الگوریتم مشخص ایجاد می‌کنند و برخی دیگر از روش رمز عبور یکبار مصرف استفاده می‌کنند.
3. رمز عبور چالشی: در این روش، سرور و توکن به هم متصل می‌شوند و داده‌ها به صورت رمزگذاری شده میان آن‌ها ردو بدل می‌شوند. توکن باید داده‌ها را به صورت رمزگشایی شده برگرداند تا دسترسی به سیستم امکان‌پذیر شود.
- لازم به ذکر است توکن‌های امنیتی با توجه به نیازهای خاص یک سازمان، به صورت سفارشی نیز طراحی می‌شوند. برای مثال به منظور دسترسی به اطلاعات داخل توکن، نیاز باشد کاربر رمز عبور وارد کند و یا به گونه‌ای طراحی شود که برای فعال شدن نیاز به تایید هویت بیومتریک مانند اسکن اثر انگشت یا عنبیه چشم داشته باشد. همچنین می‌توان توکن‌ها را طوری طراحی کرد که در صورت تلاش برای دسترسی غیرمجاز به آن‌ها، اطلاعات خود را از بین ببرند تا از سرقت داده‌ها جلوگیری شود. به همین منظور سفارشی‌سازی توکن‌ها به سازمان‌ها کمک می‌کند که امنیت سیستم‌های خود را متناسب با نیازهای خاص خود تنظیم کنند.
آشنایی با رایج‌ترین توکن‌های امنیتی
در ادامه به رایج‌ترین توکن‌های امنیتی پرداخته شده است:
- RSA SecurID: این توکن برای احراز هویت دو مرحله‌ای استفاده می‌شود که کدهای یکبار مصرف به وسیله یک ساعت داخلی و کلید رمزنگاری (seed) از یک دستگاه خاص تولید می‌شوند. در این روش، کد تولیدشده توسط توکن با کد متناظر در سرور RSA مقایسه می‌شود تا صحت هویت کاربر تایید شود.
- YubiKey: یک ابزار سخت‌افزاری است که از رمزهای عبور یکبار مصرف (OTP) و پروتکل‌های امنیتی مانند FIDO2 و U2F پشتیبانی می‌کند. از یوبیکو در شرکت‌های بزرگی مانند گوگل، آمازون، مایکروسافت، توییتر و فیس‌بوک برای محافظت از حساب‌های کاربری استفاده می‌شود.
- Duo Security: از این ابزار برای تایید هویت می‌توان استفاده کرد. این فرآیند شامل گزینه‌هایی مانند پیامک، تماس صوتی، رمزهای عبور یکبار مصرف و برنامه‌های تلفن هوشمند Duo Mobile هستند.
- FIDO: این ابزار از نوعی رمزنگاری استفاده می‌کند که در آن یک «کلید عمومی» برای شناسایی کاربر استفاده می‌شود، بدون اینکه نیاز به وارد کردن رمز عبور باشد. FIDO کمک می‌کند تا کاربران مجبور نباشند برای هر حساب، رمز جداگانه به خاطر بسپارند و از روش‌هایی مثل تشخیص چهره یا صدا برای تایید هویت استفاده می‌کند.
AWS STS (Security Token Service): این یک سرویس نرم‌افزاری است کخ به کاربران اجازه می‌دهد برای مدت زمان مشخص بدون نیاز به داشتن رمز دائمی به منابع AWS دسترسی پیدا کنند. از این ابزار معمولا برای دسترسی بین حساب‌ها یا ورود کاربران سازمانی (بدون نیاز به ساخت حساب AWS جداگانه) استفاده می‌شود.
به طور کلی از توکن‌های گفته شده برای افزایش امنیت در فرآیندهای احراز هویت و جلوگیری از دسترسی غیرمجاز به اطلاعات حساس استفاده می‌کنند.
مزایا و معایب توکن‌های امنیتی
برخی از مزایای توکن‌های امنیتی شامل موارد زیر هستند:
- امنیت بالا
توکن‌های امنیتی از آن جا که به اینترنت متصل نیستند، نمی‌توان به راحتی به آن‌ها دسترسی پیدا کرد. این ویژگی باعث می‌شود که از هک شدن و دسترسی غیر مجاز به حساب کاربری جلوگیری شود.
- مقیاس‌پذیری و کارایی بیشتر
توکن‌ها به راحتی می‌توانند تعداد زیادی کاربر را پشتیبانی کنند. این به این معنا است که توکن‌ها برای وب‌سایت‌ها و برنامه‌ها مناسب هستند و مشکلی برای پشتیبانی از چندین کاربر به طور همزمان ندارند.
- انعطاف‌پذیری و عملکرد بهتر
توکن‌ها می‌توانند در چندین سرور مختلف استفاده شوند. این ویژگی به این معنی است که توکن‌ها برای انواع مختلف وب‌سایت‌ها و اپلیکیشن‌ها مفید هستند و باعث می‌شوند که همکاری میان کسب‌وکارها و پلتفرم‌های مختلف راحت‌تر شود.
در ادامه به برخی از معایب توکن‌های امنیتی پرداخته شده است:
- گم شدن و سرقت
توکن‌های امنیتی فیزیکی مانند کارت‌های USB یا ریموت‌ها به راحتی گم می‌شوند و اگر رمزگذاری نشده باشند، هر کسی که آن‌ها را پیدا کند می‌تواند به حساب‌های کاربری دسترسی پیدا کند. همچنین ممکن است مورد سرقت قرار بگیرند.
- افشای کلید مخفی
توکن‌های امنیتی تنها به یک کلید مخفی نیاز دارند. اگر این کلید به طور نادرست مدیریت شود، می‌تواند منجر به افشای داده‌های حساس شود.
- هک شدن
اگرچه توکن‌های امنیتی بسیار ایمن هستند اما در برابر هک همچنان آسیب‌پذیر خواهند بود و ممکن است توسط هکرهای ماهر امنیت آن‌ها به خطر بیفتد.
در نهایت، توکن‌های امنیتی به عنوان یک راه‌حل مهم در حوزه احراز هویت دیجیتال، مزایا و معایب خاص خود را دارند. با وجود اینکه این توکن‌ها می‌توانند لایه‌ای اضافی از امنیت را فراهم کنند، مهم است که کاربران و سازمان‌ها با درک دقیق از محدودیت‌ها و خطرات آن‌ها، از توکن‌ها به طور موثر استفاده کنند.
- مطالعه‌ی مقاله‌ی «بلاک چین چیست؟» پیشنهاد می‌شود.
