I principi di funzionamento dei token RSA SecureID

Come funziona il meccanismo di autenticazione SecureID di RSA? In queli contesti viene usato?

I token SecurID sono impiegati per autenticarsi in modo sicuro su un servizio remoto. Possono essere sia hardware (il classico esempio sono le chiavette hardware USB) che implementati via software (per PC o smartphone).

Vengono spesse fornite dagli istituti di credito ai propri clienti quale misura aggiuntiva per l’accesso ai conti bancari online. Altro tipico contesto sono le autorità governative o di difesa come ulteriore misura di sicurezza dei dati. I token vengono molto usati anche per proteggere VPN, reti intranet o extranet.

Il funzionamento è il seguente: per autenticarsi su un servizio remoto gli utenti fanno uso di una password e di un numero che viene generato dalla chiavetta SecurID. Ogni token genera, in modo pseudo-casuale, una sequenza di cifre; tipicamente ogni 30 o 60 secondi viene prodotto un nuovo numero.

Il numero inserito nella pagina web per autenticarsi deve corrispondere al numero che il server remoto, ad esempio quello dell’istituto bancario, si aspetta venga di volta in volta introdotto (cioè quello generato dal token).

In questo modo, viene data prova che l’utente conosce non soltanto la password corretta ma è anche in possesso del token ossia della chiavetta (da qui l’appellativo di autenticazione “a due fattori”).

Ciascuno di questi dispositivi sfrutta un “seed” lungo 128 bit per inizializzare la procedura di generazione delle sequenze numeriche. Lato server, ciascun account utente viene associato col “seed” impiegato dalla rispettiva chiavetta.

Qualche mese fa RSA è rimasta vittima di un attacco informatico che ha portato al furto di alcuni dati relativi ai token. RSA non ha specificato pubblicamente quali dati fossero stati trafugati, per evitare di offrire agli aggressori spunti per l’utilizzo delle informazioni sottratte dai server dell’azienda.

Fatto sta che la società ha cominciato a sostituire 40 milioni di token hardware.

Secondo gli esperti, la distribuzione di nuovi token hardware fa pensare che i criminali informatici abbiano rubato sia i “seed” che gli algoritmi impiegati per calcolare le password “one-time” (OTP). E’ quindi lecito ritenere che i nuovi token, semplicemente, facciano uso di “seed” che non sono in possesso dei malintenzionati.

Stando a quanto comunicato da RSA, i criminali si sarebbero voluti impossessare dei dati relativi al funzionamento di SecurID con lo scopo di guadagnare l’accesso a segreti militari (RSA ha già provveduto a rimpiazzare i token hardware usate dalle autorità governative).

• Come bloccare la funzione autorun per le chiavette USB?
• La sicurezza ? Un bersaglio in movimento