Ключи аутентификации в информационной безопасности¶
Ключи аутентификации (КИ) — это секретные или полусекретные данные, используемые в информационной безопасности для подтверждения подлинности субъектов, устройств или процессов при обмене информацией. В широком смысле ключами называют любые параметры криптографических алгоритмов, определяющие результат преобразования данных: симметричные ключи шифрования, ключи электронной подписи, ключи хеширования (MAC). В узком, прикладном смысле под КИ понимают средства аутентификации — пароли, PIN-коды, одноразовые коды, ключевые файлы, аппаратные токены, — которые предъявляются субъектом для доступа к ресурсу.
¶Классификация
Ключи аутентификации принято разделять по нескольким основаниям.
По типу используемой криптографии:
- Симметричные ключи — один и тот же ключ используется для создания и проверки аутентифицирующей информации (например, HMAC). Применяются в протоколах типа Kerberos, IPsec, WPA2-Enterprise (EAP-TLS с общим ключом).
- Асимметричные ключи — аутентификация строится на паре «закрытый ключ — открытый ключ»: закрытый ключ используется для подписи, открытый — для проверки. Основа протоколов TLS-мутуальной аутентификации, SSH, S/MIME, ГОСТ Р 34.10-2012.
По способу хранения:
- Программные ключи — хранятся в файловой системе, реестре, защищённом хранилище (Windows DPAPI, KMS-серверы, HSM).
- Аппаратные ключи — реализованы на защищённых носителях: смарт-карты, USB-токены (например, JaCarta, Рутокен, eToken), аппаратные модули безопасности (HSM).
По количеству предъявлений:
- Статические ключи — предъявляются многократно (пароль, ключевой файл).
- Одноразовые ключи (OTP) — генерируются заново при каждом входе (TOTP по RFC 6238, HOTP по RFC 4226). Используются в двухфакторной аутентификации.
По субъекту:
- Ключи пользователей — идентифицируют физическое лицо.
- Ключи устройств — идентифицируют узел, сервер, IoT-устройство (сертификаты X.509, PSK в протоколах машинного взаимодействия).
- Ключи процессов/сервисов — используются для аутентификации программных компонентов (API-ключи, токены доступа OAuth 2.0).
¶Стандарты и нормативная база в России
В российской практике управление ключами аутентификации регулируется рядом стандартов и отраслевых документов:
- ГОСТ Р 34.10-2012 — процедуры создания и проверки электронной подписи, определяют генерацию пар ключей ЭЦП.
- ГОСТ Р 34.12-2015 и ГОСТ Р 34.13-2015 — блочные шифры и процедуры аутентификации на их основе.
- ГОСТ Р 57580.1-2018 — методики оценки соответствия средствам защиты информации, включая требования к генераторам ключей.
- Приказ ФСТЭК России № 21 (в редакции 2021 года) — базовая модель угроз и требования к защите персональных данных, где ключи аутентификации рассматриваются как объект защиты.
- RFC 2104, RFC 4231 — стандарты HMAC, определяющие структуру ключей аутентификации сообщений в сетевых протоколах.
¶Жизненный цикл ключей
Управление ключами (key management) включает следующие этапы:
- Генерация — должна обеспечивать криптостойкость: использование аппаратных генераторов случайных чисел (ГСЧ), соблюдение требований к энтропии. В России для криптографии на эллиптических кривых используются кривые ГОСТ Р 34.10-2012 (например, id-GostR3410-2001-CryptoPro-A, CryptoPro-CryptoPro-B).
- Распространение — защищённая доставка ключа адресату (Key Exchange): протокол Диффи — Хеллмана, KDC в Kerberos, защищённые каналы TLS.
- Хранение — ключи должны находиться в защищённом хранилище: HSM (сертифицированные по ФСТЭК и ФСБ модули), токены, зашифрованные файлы.
- Использование — ключ не должен покидать защищённое хранилище в открытом виде; операции подписи и шифрования выполняются внутри HSM или токена.
- Ротация (обновление) — периодическая замена ключей с заданным сроком жизни. Для HMAC и паролей рекомендуется ротация не реже одного раза в год.
- Отзыв — прекращение действия ключа до истечения срока (CRL, OCSP для сертификатов).
- Уничтожение — физическое стирание ключа с носителя.
¶Двухфакторная аутентификация
КИ являются одним из трёх факторов аутентификации:
| Фактор | Примеры |
|---|---|
| Что вы знаете | Пароль, PIN, кодовая фраза |
| Что у вас есть | Смарт-карта, USB-токен, OTP-генератор, телефон |
| Кем вы являетесь | Биометрия: отпечаток, радужка, голос |
Комбинирование факторов (например, пароль + аппаратный токен) существенно повышает устойчивость к взлому. В России двухфакторная аутентификация обязательна для ряда категорий информационных систем, обрабатывающих персональные данные, в соответствии с требованиями ФСТЭК.
¶Типичные угрозы
Основные атаки на ключи аутентификации:
- Брутфорс и словарные атаки — перебор паролей и PIN-кодов; противодействие: политика сложности, блокировка после неудачных попыток, внедрение CAPTCHA.
- Фишинг — выманивание ключа у пользователя поддельным интерфейсом; противодействие: аппаратные токены, привязка к домену, FIDO2/WebAuthn.
- Компрометация хранилища — кража ключевых файлов, извлечение ключей из HSM; противодействие: сертифицированные модули, раздельное хранение.
- Повторное использование перехваченного ключа (replay attack) — противодействие: одноразовые ключи, nonce, временные метки.
- Сайд-канальные атаки — анализ энергопотребления и электромагнитных излучений при работе с аппаратными токенами; противодействие: маскирование, генерация шума.
¶Применение
Ключи аутентификации используются повсеместно:
- Сетевые протоколы — TLS (сертификаты сервера и клиента), SSH (пары ключей RSA/Ed25519), IPsec (PSK или сертификаты), WPA2/WPA3-Enterprise.
- Операционные системы — аутентификация пользователей (Kerberos в Windows-доменах, PAM в Linux), UEFI-подпись загрузчиков.
- Электронный документооборот — квалифицированная и неквалифицированная электронная подпись (Федеральный закон № 63-ФЗ «Об электронной подписи»).
- Банковские системы — платёжные карты с чипом (EMV), системы дистанционного банковского обслуживания, криптографические протоколы ГОСТ.
- IoT и промышленные системы — аутентификация устройств в SCADA-системах, защищённый запуск прошивок.
¶Историческая справка
Практическое применение ключей аутентификации началось с развитием симметричной криптографии: DES (1977) и его преемник AES (2001) задали модель, где обе стороны обмениваются общим секретным ключом. Появление асимметричной криптографии (RSA, 1977; ГОСТ Р 34.10-94 в России, 1994) позволило разделить функции подписи и проверки, что разрешило проблему безопасного распределения ключей. Стандарт X.509 (1988) и протоколы PKI создали инфраструктуру открытых ключей, ставшую основой современной аутентификации в интернете. В России развитие собственной криптографической школы — ГОСТ Р 34.10-2001 и ГОСТ Р 34.10-2012 — обеспечило нормативную базу для ключей аутентификации в государственных и корпоративных системах.
¶Источники
- ГОСТ Р 34.10-2012. Процедуры создания и проверки электронной подписи.
- ГОСТ Р 57580.1-2018. Защита информации. Методики оценки соответствия.
- Приказ ФСТЭК России от 11.02.2021 № 21. Требования по защите персональных данных.
- RFC 2104 / RFC 4231 — HMAC: Keyed-Hashing for Message Authentication.
- RFC 6238 / RFC 4226 — одноразовые пароли TOTP и HOTP.
- Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи».