В классических системах криптографии пароль может использоваться для прямого шифрования ( шифр Цезаря) или в качестве основы для генерации ключевой строки ( шифр Виженера).
В современных криптографических системах пароли никогда не должны использоваться непосредственно в качестве криптографических ключей из-за относительно низкой информационной энтропии паролей и, следовательно, возможности эффективной атаки на сам пароль со сложностью ( энтропией ), например, 40 вместо атаки на полный криптографический ключ (например, 128 биты и та же энтропия).
Атака по словарю
Чтобы смягчить эти типы атак, пароли всегда должны подвергаться дополнительной обработке перед использованием в качестве входных данных для криптографического алгоритма. Первые такие преобразования были определены в 1998 году в стандарте OpenPGP под названием S2K ( строка в ключ )
Современные функции, используемые для этой цели, называются PBKDF (функция вывода ключа на основе пароля ), а их рекомендуемая конструкция определяется стандартом PKCS # 5. Функции PBKDF применяют два основных метода обработки для увеличения сложности парольной атаки:
Также предлагаются новые функции PBKDF, которые призваны обеспечить одинаковую сложность взлома паролей независимо от увеличения вычислительной мощности компьютеров в области параллельной обработки
Токен — генератор одноразового кода — электронное устройство, используемое для аутентификации онлайн- транзакций, чаще всего банковских . Его работа основана на генерации цепочек чисел с использованием односторонней функции с использованием двух параметров: одна константа для конкретного экземпляра устройства, другая переменная, вводимая с клавиатуры , загружаемая с экрана монитора или генерируемая в зависимости от времени.
Токены бывают в виде генераторов одноразовых паролей (OTP) и более продвинутого запроса-ответа. В токенах OTP отображается код, который обычно меняется каждые 60 секунд, и у них нет кнопки или только одна кнопка для отображения кода, в то время как токены запроса-ответа напоминают небольшие калькуляторы и обычно защищены PIN-кодом.
Жетоны запрос-ответ расширяются считывателями карт, которые вычисляют коды на основе ключа, хранящегося в микропроцессоре платежной карты. Однако последним решением являются токены OTP и Challenge-response, встроенные в карту формата платежной карты (это может быть карта Visa или Mastercard со встроенным токеном, либо отдельный токен, используемый только для аутентификации).
Из-за относительно высокой стоимости токена наблюдается тенденция к замене его на карту одноразовых кодов или SMS- пароли. Устройство также можно заменить мобильным телефоном с помощью специального приложения, которое функционирует как генератор паролей.
