Sberbank 온라인의 일회용 비밀번호. 일회용 비밀번호 일회용 비밀번호란?

최근 연구에 따르면 정보 보안 분야에서 기업의 가장 심각한 문제 중 하나는 승인되지 않은 접근에게 컴퓨터 시스템. 2005년 CSI/FBI 컴퓨터 범죄 및 보안 조사에 따르면 기업의 55%가 작년에 데이터 침해를 보고했습니다. 게다가 같은 해 기업들은 무단 접근으로 인해 평균 30만3000달러의 손실을 입었고, 2004년에 비해 손실이 6배나 늘었다.

당연히, 러시아 기업손실 수치는 완전히 달라지지만 문제 자체는 변경되지 않습니다. 승인되지 않은 액세스는 이 경영진이 인식하는지 여부에 관계없이 회사에 심각한 피해를 입힙니다.

이 위협에 대한 보호의 신뢰성은 주로 사용자 인증 시스템의 품질에 달려 있음이 분명합니다. 오늘날 개인화된 액세스에 얽매이지 않고 정보 보안에 대해 이야기하고 네트워크에서 모든 사용자 작업을 추적하는 것은 단순히 의미가 없습니다. 그러나 언제 우리는 대화 중이 야기업 로컬 네트워크에 포함된 컴퓨터의 사용자 인증에 대해서는 특별한 어려움이 없습니다. 시장은 스마트 카드 및 전자 키, 생체 인증 도구 및 그래픽 암호와 같은 이국적인 것을 포함하여 다양한 솔루션을 제공합니다.

사용자가 인터넷을 통해 원격으로 회사 컴퓨터 네트워크에 연결해야 하는 경우 상황은 다소 다릅니다. 이 경우 그는 많은 문제에 직면 할 수 있으며 더 자세히 고려할 것입니다.

원격 액세스의 함정

신뢰할 수 없는 환경(사무실 외부)에 있기 때문에 사용자는 다른 사람의 컴퓨터(예: 인터넷 카페)에서 암호를 입력해야 하는 상황에 직면합니다. 암호는 컴퓨터에 입력된 다른 정보와 마찬가지로 캐시되며 원하는 경우 다른 사람이 자신의 이기적인 목적으로 사용할 수 있습니다.

오늘날 매우 흔한 유형의 컴퓨터 사기는 스니핑(영어 스니프 - 스니프에서) - 공격자가 관심 있는 정보를 식별하기 위해 네트워크 패킷을 가로채는 것입니다. 이 기술을 사용하여 해커는 사용자의 암호를 "스니핑"하여 무단 액세스에 사용할 수 있습니다.

단순 암호 보호(특히 원격 액세스의 경우)는 웹 페이지의 정상적인 "뒤집기" 중에 사용자의 컴퓨터에 조용히 침입하는 차세대 스파이웨어에 의해 심각하게 테스트되었습니다. 바이러스는 암호 역할을 할 수 있는 문자 조합을 식별하기 위해 특정 컴퓨터의 정보 스트림을 필터링하도록 프로그래밍할 수 있습니다. "스파이"는 이러한 조합을 생성자에게 보내고 그가 할 수 있는 유일한 일은 필요한 암호를 공개하는 것입니다.

네트워크에 대한 보안 액세스를 구성하는 하드웨어 방법이 단순한 암호보다 몇 배는 더 안정적이라는 것은 분명하지만, 사무실에 없을 때 스마트 카드나 USB 키를 어떻게 사용할 수 있습니까? 첫 번째 장치에는 적어도 리더가 필요하고 두 번째 장치에는 차단될 수 있는 USB 포트(인터넷 카페)가 필요하거나 더 나쁘게는 단순히 사용자가 사용하는 장치에 없을 수 있기 때문에 성공하지 못할 가능성이 큽니다. 액세스를 시도하고 있습니다(PDA, 휴대전화, 스마트폰 등). 말할 필요도 없이 하드웨어(스마트 카드 및 USB 키)를 작동하려면 동일한 인터넷 카페에 설치하기가 거의 불가능한 적절한 소프트웨어가 필요합니다.

한편, 원격으로 정보를 수신하거나 전송해야 하는 상황이 꽤 자주 발생합니다. 전자 뱅킹 시스템을 예로 들어 보겠습니다. 사용자가 자신의 계정을 원격으로 관리하기 위해 보안 뱅킹 리소스에 액세스해야 하는 상황을 쉽게 상상할 수 있습니다. 오늘날 일부 은행에서는 USB 키를 사용한 하드웨어 기반 인증의 필요성을 깨달았습니다. 그러나 위에서 설명한 여러 가지 이유로 항상 사용할 수 있는 것은 아닙니다.

많은 사람들의 사업의 세부 사항 대기업종종 그들에게 액세스 권한을 제공하도록 의무화합니다. 자신의 자원제3자 사용자 - 파트너, 고객, 공급업체. 오늘날 러시아에서는 아웃소싱과 같은 유형의 협력이 활발하게 추진되고 있습니다. 하청업체는 주문 작업을 수행하기 위해 고객의 보호된 리소스에 액세스해야 할 수 있습니다.

PDA나 스마트폰만 가지고 강력한 인증 체계로 기업 네트워크에 연결해야 하는 필요성은 사용자가 회의, 협상 또는 기타 비즈니스 행사에 참석하는 경우 심각한 문제가 될 수 있습니다. 단지를 위해 모바일 애플리케이션, 특수 소프트웨어를 설치할 수 없는 곳에서 필요한 정보에 대한 액세스를 구성할 뿐만 아니라 일회용 암호 개념인 OTP - 일회용 암호가 개발되었습니다.

일회용 비밀번호: 입력하고 잊어버린 경우

일회성 패스워드제한된 시간 동안 하나의 인증 프로세스에만 유효한 키워드입니다. 이러한 암호는 정보 가로채기 또는 진부한 엿보기의 문제를 완전히 해결합니다. 공격자가 "피해자"의 암호를 알아낼 수 있더라도 이를 사용하여 액세스할 가능성은 0입니다.

일회용 비밀번호 개념의 첫 번째 구현은 정적 키워드 세트를 기반으로 했습니다. 즉, 사용자가 사용할 수 있는 비밀번호 목록(키, 코드 단어 등)이 먼저 생성되었습니다. 비슷한 메커니즘이 첫 번째에서 사용되었습니다. 은행 시스템원격 계정 관리의 가능성. 이 서비스가 활성화되면 클라이언트는 암호 목록이 포함된 봉투를 받았습니다. 그런 다음 시스템에 액세스할 때마다 다음 키워드를 사용했습니다. 목록의 끝에 도달한 고객은 새 은행을 찾기 위해 은행에 갔습니다. 이 솔루션에는 여러 가지 단점이 있었는데 그 주요 원인은 낮은 신뢰성이었습니다. 그래도 암호 목록을 항상 휴대하는 것은 위험합니다. 잃어버리기 쉽거나 침입자에게 도난당할 수 있습니다. 그리고 목록은 끝이 없지만 적절한 순간은행에 갈 수 있습니까?

다행히 오늘날 상황은 가장 급진적으로 바뀌었습니다. 일반적으로 서구 국가에서는 정보 시스템에서 인증을 위한 일회용 암호가 보편화되었습니다. 그러나 우리 나라에서는 OTP 기술이 최근까지 접근이 불가능했습니다. 그리고 최근에야 회사 경영진은 원격으로 작업할 때 무단 액세스의 위험이 얼마나 증가하는지 깨닫기 시작했습니다. 아시다시피 수요는 공급을 만듭니다. 이제 원격 인증에 일회용 비밀번호를 사용하는 제품이 점차 러시아 시장에서 자리를 잡기 시작했습니다.

V 현대 기술 OTP 인증은 강력한 암호화 알고리즘을 사용하여 동적 키워드 생성을 사용합니다. 즉, 인증 데이터는 사용자의 개인키로 일부 초기값을 암호화한 결과이다. 이 정보는 클라이언트와 서버 모두에서 사용할 수 있습니다. 네트워크를 통해 전송되지 않으며 가로채기에 사용할 수 없습니다. 인증 과정의 양측이 알고 있는 정보를 초기값으로 사용하고, 시스템에서 초기화할 때 사용자별로 암호키를 생성한다(Fig. 1).

OTP 기술 개발의 이 단계에서 대칭 및 비대칭 암호화를 모두 사용하는 시스템이 있다는 점에 유의해야 합니다. 첫 번째 경우에는 양 당사자가 비밀 키를 가지고 있어야 합니다. 두 번째는 사용자에게만 비밀 키가 필요하고 인증 서버는 이를 공개합니다.

구현

OTP 기술은 2004년 VeriSign에서 시작한 개방형 인증(OATH) 산업 이니셔티브의 일부로 개발되었습니다. 이 이니셔티브의 핵심은 다양한 인터넷 서비스에 대한 진정으로 강력한 인증을 위한 표준 사양을 개발하는 것입니다. 더욱이, 우리는 사용자 권한의 2단계 결정에 대해 이야기하고 있으며, 그 동안 후자는 스마트 카드 또는 USB 토큰과 그의 암호를 "표시"해야 합니다. 따라서 일회용 암호는 결국 다양한 시스템에서 원격 인증의 표준 수단이 될 수 있습니다.

오늘날 일회성 암호 인증 시스템을 구현하기 위한 여러 옵션이 개발되어 실제로 사용되고 있습니다.

요청-응답 방식.작동 원리는 다음과 같습니다. 인증 절차가 시작될 때 사용자는 로그인을 서버에 보냅니다. 이에 대한 응답으로 후자는 임의의 문자열을 생성하고 다시 보냅니다. 사용자는 자신의 키를 사용하여 이 데이터를 암호화하고 서버로 반환합니다. 이때 서버는 메모리에서 주어진 사용자의 비밀 키를 "찾아서" 도움을 받아 원래 문자열을 인코딩합니다. 다음으로 두 암호화 결과를 비교합니다. 완전히 일치하면 인증이 성공한 것으로 간주됩니다. 인증 프로세스가 서버에 대한 사용자의 기록 및 기타 요인에 의존하지 않기 때문에 일회용 암호 기술을 구현하는 이 방법을 비동기식이라고 합니다.

"대답만" 방식.이 경우 인증 알고리즘이 다소 간단합니다. 프로세스의 맨 처음에 사용자의 소프트웨어 또는 하드웨어는 초기 데이터를 독립적으로 생성하며, 이 데이터는 암호화되어 비교를 위해 서버로 전송됩니다. 이 경우 문자열을 생성하는 과정에서 그 값을 사용한다. 이전 요청. 서버에도 이 정보가 있습니다. 사용자 이름을 알고 있으면 이전 요청의 값을 찾고 동일한 알고리즘을 사용하여 정확히 동일한 문자열을 생성합니다. 사용자의 비밀 키(서버에도 저장됨)를 사용하여 암호화함으로써 서버는 사용자가 보낸 데이터와 완전히 일치해야 하는 값을 받습니다.

시간 동기화 방법.그 안에 사람이 작업하는 특수 장치 또는 컴퓨터의 현재 타이머 판독 값이 초기 라인으로 사용됩니다. 이 경우 시간의 정확한 표시가 일반적으로 사용되지 않고 미리 설정된 경계가 있는 현재 간격(예: 30초)이 사용됩니다. 이 데이터는 비밀 키로 암호화되며 열린 형태사용자 이름과 함께 서버로 전송됩니다. 서버는 인증 요청을 받으면 동일한 작업을 수행합니다. 즉, 타이머에서 현재 시간을 받아 암호화합니다. 그 후에 그는 원격 컴퓨터에서 계산되고 수신된 두 가지 값만 비교하면 됩니다.

"이벤트에 의한 동기화" 방법.이 방법은 원칙적으로 앞의 방법과 거의 동일하지만 시간을 초기 문자열로 사용하지 않고 현재 수행된 인증 절차의 성공 횟수를 사용한다는 점만 다릅니다. 이 값은 양 당사자가 서로 별도로 계산합니다.

일부 시스템은 두 가지 유형 이상의 정보가 초기 값으로 사용되는 소위 혼합 방법을 구현합니다. 예를 들어 인증 카운터와 내장 타이머를 모두 고려하는 시스템이 있습니다. 이 접근 방식은 개별 방법의 많은 단점을 방지합니다.

OTP 기술 취약점

일회용 암호 기술은 매우 신뢰할 수 있는 것으로 간주됩니다. 그러나 객관성을 위해 OTP 원칙을 순수한 형태로 구현하는 모든 시스템이 겪는 단점도 있음을 알려드립니다. 이러한 취약점은 두 그룹으로 나눌 수 있습니다. 첫 번째는 모든 구현 방법에 내재된 잠재적으로 위험한 "구멍"을 포함합니다. 그 중 가장 심각한 것은 인증 서버를 스푸핑(spoofing)할 가능성이다. 이 경우 사용자는 자신의 데이터를 공격자에게 직접 보내며 공격자는 즉시 실제 서버에 액세스할 수 있습니다. 요청-응답 방식의 경우 공격 알고리즘이 약간 더 복잡합니다(해커의 컴퓨터는 서버와 클라이언트 간의 정보 교환 과정을 거쳐 "중개자" 역할을 해야 함). 그러나 실제로 그러한 공격을 수행하는 것이 전혀 쉽지 않다는 점은 주목할 가치가 있습니다.

또 다른 취약점은 동기 방식에만 고유하며 서버와 사용자의 소프트웨어 또는 하드웨어에 정보 비동기화의 위험이 있다는 사실과 관련이 있습니다. 일부 시스템에서 초기 데이터가 내부 타이머의 판독값이고 어떤 이유로 인해 더 이상 서로 일치하지 않는다고 가정합니다. 이 경우 모든 사용자 인증 시도가 실패합니다(첫 번째 종류의 오류). 다행스럽게도 이러한 경우 두 번째 종류의 오류("외부" 허용)는 발생하지 않습니다. 그러나 설명된 상황이 발생할 확률도 매우 낮습니다.

일부 공격은 일회용 암호 기술을 구현하는 특정 방법에만 적용됩니다. 예를 들어 타이머 동기화 방식을 다시 살펴보자. 우리가 이미 말했듯이 시간은 1 초의 정확도로 고려되지 않고 미리 결정된 간격 내에서 고려됩니다. 이것은 타이머 비동기화의 가능성과 데이터 전송 지연의 출현을 고려하여 수행됩니다. 공격자가 이론적으로 원격 시스템에 대한 무단 액세스 권한을 얻는 데 사용할 수 있는 것은 바로 이 순간입니다. 먼저 해커는 사용자로부터 인증 서버로 가는 네트워크 트래픽을 "경청"하고 "피해자"가 보낸 로그인 및 1회용 비밀번호를 가로챕니다. 그런 다음 그는 즉시 컴퓨터를 차단하고(과부하, 연결 끊기 등) 자신의 인증 데이터를 보냅니다. 그리고 공격자가 이를 너무 빨리 처리하여 인증 간격을 변경할 시간이 없으면 서버는 그를 등록된 사용자로 인식합니다.

이러한 공격에 대해 공격자는 트래픽을 수신할 수 있어야 하고 클라이언트의 컴퓨터를 빠르게 차단할 수 있어야 하며 이는 쉬운 작업이 아닙니다. 이러한 조건을 충족시키는 가장 쉬운 방법은 사전에 공격을 계획하고 원격 시스템에 연결하기 위해 "피해자"가 외부 로컬 네트워크의 컴퓨터를 사용하는 것입니다. 이 경우 해커는 미리 PC 중 하나에서 "작업"하여 다른 컴퓨터에서 제어할 수 있습니다. "신뢰할 수 있는" 작업 시스템(예: 랩톱 또는 PDA)과 "독립적인" 보안(예: SSL 사용) 인터넷 액세스 채널을 사용해야만 그러한 공격으로부터 자신을 보호할 수 있습니다.

구현 품질

모든 보안 시스템의 신뢰성은 구현 품질에 크게 좌우됩니다. 모든 실용적인 솔루션에는 공격자가 자신의 목적을 위해 사용할 수 있는 단점이 있으며 이러한 "구멍"은 구현되는 기술과 직접적인 관련이 없는 경우가 많습니다. 이 규칙은 일회용 암호를 기반으로 하는 인증 시스템에 완전히 적용됩니다. 위에서 언급했듯이 암호화 알고리즘의 사용을 기반으로 합니다. 이것은 그러한 제품의 개발자에게 특정한 의무를 부과합니다. 결국 알고리즘의 열악한 성능 또는 예를 들어 난수 생성기는 정보 보안을 위태롭게 할 수 있습니다.

일회용 암호 생성기는 소프트웨어와 하드웨어의 두 가지 방식으로 구현됩니다. 물론 첫 번째는 덜 안정적입니다. 사실 클라이언트 유틸리티는 사용자의 비밀 키를 저장해야 합니다. 이것은 개인 암호를 기반으로 키 자체를 암호화해야만 어느 정도 안전하게 수행할 수 있습니다. 동시에 클라이언트 유틸리티가 장치(PDA, 스마트폰 등)에 설치되어 있어야 한다는 점을 고려해야 합니다. 이 순간세션이 실행 중입니다. 따라서 직원의 인증은 알아내거나 추측하는 방법이 많다는 사실에도 불구하고 단일 비밀번호에 의존한다는 것이 밝혀졌습니다. 이것은 소프트웨어 일회성 암호 생성기의 유일한 취약점이 아닙니다.

OTP 기술의 하드웨어 구현을 위한 다양한 장치는 비교할 수 없을 정도로 더 안정적입니다. 예를 들어 계산기처럼 보이는 장치가 있습니다(그림 2). 서버에서 보낸 일련의 숫자를 입력하면 내장된 비밀 키("요청-응답")를 기반으로 1회용 암호가 생성됩니다. " 방법). 이러한 장치의 주요 취약성은 도난 또는 분실될 수 있다는 사실과 관련이 있습니다. 비밀 키로 장치 메모리를 안정적으로 보호하는 경우에만 침입자로부터 시스템을 보호할 수 있습니다.

쌀. 2. RSA SecurID OTP 장치.

이 접근 방식은 스마트 카드 및 USB 토큰에서 구현됩니다. 메모리에 액세스하려면 사용자가 PIN을 입력해야 합니다. 이러한 장치는 PIN 코드 선택으로부터 보호됩니다. 잘못된 값을 세 번 입력하면 차단됩니다. 키 정보의 안정적인 저장, 키 쌍의 하드웨어 생성 및 신뢰할 수 있는 환경(스마트 카드 칩에서)에서의 암호화 작업 실행은 공격자가 비밀 키를 추출하고 일회용 암호 생성 장치를 복제하는 것을 허용하지 않습니다.

OTP 구현 예

따라서 스마트 카드와 USB 토큰은 거의 모든 구현 취약성으로부터 보호되는 가장 안정적인 일회용 암호 생성기로 간주됩니다. 게다가 후자는 분명히 더 편리합니다. 스마트 카드에 필요한 추가 판독기 없이 모든 PC 또는 랩톱에서 사용할 수 있습니다. 또한 USB 포트 없이 작동할 수 있는 OTP 기술이 적용된 USB 동글이 구현되어 있습니다. 그러한 예 전자 열쇠- Aladdin의 eToken NG-OTP(그림 3).

위에서 언급한 OATH 이니셔티브 홍보에 Aladdin(http://www.aladdin.com)이 적극적으로 참여하고 있으며 여기에서 논의된 키는 VeriSign 통합 인증 솔루션의 주요 구성 요소로 선택되었습니다. 사실, 이 시스템에서는 다르게 호출됩니다: eToken VeriSign. 주목적 이 결정- 인터넷을 통해 체결된 거래에 대한 신뢰도를 높이고 하드웨어 키 기반의 강력한 2단계 인증을 기반으로 합니다. eToken NG-OTP 제품의 이러한 OEM 배송은 품질과 모든 OATH 사양 준수를 확인합니다.

eToken 시리즈의 장치는 러시아에서 상당히 널리 퍼져 있습니다. Microsoft, Cisco, Oracle, Novell 등과 같은 주요 제조업체는 제품에 대한 지원을 제공합니다(eToken의 "실적"에는 정보 보안 응용 프로그램과 함께 200개 이상의 구현이 있음).

따라서 eToken NG-OTP는 다른 하드웨어 키를 기반으로 하며 이 라인에서 가장 인기 있는 모델은 eToken PRO입니다. 키 정보, 사용자 프로필 및 기타 기밀 데이터를 안전하게 저장하고 하드웨어에서 암호화 계산을 수행하고 X.509 비대칭 키 및 인증서로 작업하는 데 사용할 수 있는 보안 메모리 스마트 카드 칩을 기반으로 하는 본격적인 토큰입니다.

eToken NG-OTP 동글에는 위에서 설명한 기능을 구현하는 모듈 외에도 하드웨어 일회용 암호 생성기가 있습니다(그림 4). "이벤트에 의한 동기화" 방식에 따라 작동합니다. 이것은 동기식 옵션 중에서 가장 안정적인 OTP 기술 구현입니다(비동기화 위험이 적음). eToken NG-OTP 키에 구현된 일회성 암호 생성 알고리즘은 OATH 이니셔티브의 일부로 개발되었습니다(HMAC 기술 기반). 그 본질은 HMAC-SHA-1 값을 계산한 다음 결과 160비트 값에서 6자리를 자르는(선택) 작업에 있습니다. 동일한 1회용 비밀번호로 사용됩니다.

eToken NG-OTP 결합 키의 흥미로운 기능은 키를 컴퓨터에 연결하지 않고도 일회용 암호를 사용할 수 있다는 것입니다. OTP 생성 프로세스는 장치 본체에 있는 특수 버튼을 눌러 시작할 수 있으며(그림 5), 이 경우 결과는 내장 LCD 디스플레이에 표시됩니다. 이 접근 방식은 USB 포트가 없는 장치(스마트폰, PDA, 휴대폰 등)와 차단된 컴퓨터에서도 OTP 기술을 사용할 수 있습니다.

가장 신뢰할 수있는 것은 고려 된 키의 혼합 작동 모드입니다. 사용하려면 기기가 PC에 연결되어 있어야 합니다. 여기에서는 여러 가지 방법으로 구현되는 2단계 인증에 대해 이야기하고 있습니다. 어떤 경우에는 네트워크에 액세스하기 위해 사용자 자신의 비밀번호를 사용하여 입력해야 하며 OTP 값도 필요합니다. 다른 옵션은 일회용 비밀번호와 OTP PIN 값(키 화면에 표시됨)이 필요합니다.

당연히 eToken NG-OTP 키는 디지털 인증서와 PKI 기술을 사용한 사용자 인증, 개인 키 저장 등을 위한 표준 USB 토큰으로 작동할 수 있으므로 해당 제품을 다양한 프로젝트에서 사용하는 것이 좋습니다. 보안 원격 액세스 및 이중 요소 인증의 필요성과 관련이 있습니다. 엔터프라이즈 규모에서 이러한 하이브리드 키를 사용하면 사용자가 사무실과 외부에서 키를 사용하여 작업할 수 있습니다. 이 접근 방식은 안정성을 저하시키지 않으면서 정보 보안 시스템을 만드는 비용을 줄입니다.

합산

따라서 최신 암호화 방법과 결합된 OTP 일회용 암호 개념을 사용하여 안정적인 원격 인증 시스템을 구현할 수 있습니다. 이 기술에는 여러 가지 중요한 이점이 있습니다. 첫째, 신뢰성입니다. 오늘날, 정보를 전송할 때 실제로 "강력한" 사용자 인증을 하는 방법은 많지 않습니다. 열린 채널사이. 한편, 이 문제는 점점 더 일반화되고 있습니다. 그리고 일회용 암호는 가장 유망한 솔루션 중 하나입니다.

일회용 암호의 두 번째 장점은 "표준" 암호화 알고리즘을 사용한다는 것입니다. 이는 기존 개발이 OTP를 사용하는 인증 시스템을 구현하는 데 적합하다는 것을 의미합니다. 사실 이는 국내 암호화폐 공급자와 호환되는 동일한 eToken NG-OTP 키를 분명히 증명합니다. 이러한 토큰은 다음에서 사용할 수 있습니다. 기존 시스템구조 조정 없이 기업 보안을 유지합니다. 그 결과 비교적 저렴한 비용으로 일회용 패스워드 기술을 구현할 수 있다.

일회용 암호의 또 다른 장점은 보호가 인적 요소에 약하게 의존한다는 것입니다. 사실, 이것이 모든 구현에 적용되는 것은 아닙니다. 우리가 말했듯이 많은 일회용 암호 프로그램의 신뢰성은 사용된 PIN의 품질에 달려 있습니다. USB 토큰 기반 하드웨어 생성기는 본격적인 이중 인증을 사용합니다. 마지막으로 OTP 개념의 네 번째 장점은 사용자의 편의성입니다. 일회용 암호를 사용하여 필요한 정보에 액세스하는 것은 이러한 목적으로 정적 키워드를 사용하는 것보다 어렵지 않습니다. 고려된 기술의 일부 하드웨어 구현은 장치에 존재하는 포트와 설치된 소프트웨어에 관계없이 모든 장치에서 사용할 수 있다는 점이 특히 좋습니다.

오늘날 사람들은 종종 인터넷 뱅킹을 사용하여 청구서, 위자료 및 대출금을 지불합니다. 새로운 기술을 사용하면 컴퓨터에 앉아 있는 사람이 계좌나 예금을 개설하고 카드의 잔액을 확인할 수 있습니다. 인터넷 뱅킹을 사용하면 대부분의 경우 수수료 지불에 돈을 쓰지 않고도 시간을 크게 절약할 수 있습니다. 시스템에서 개인 계정에 액세스하기만 하면 됩니다. 온라인 스베르방크.

모든 사람이 커밋을 추가로 확인하기 위해 일회용 암호 목록을 얻는 방법을 알고 있는 것은 아닙니다. 개인 계정스베르방크 운영.

식별 데이터를 얻을 필요

계정 및 카드로 작업을 수행하려면 먼저 영구 암호를 받아야 합니다. 예를 들어 은행 지점에 문의하는 등 여러 가지 방법으로 이 작업을 수행할 수 있습니다. 대부분의 사람들은 ATM을 사용하여 데이터를 얻습니다.

카드 소지자의 요청에 따라 자동으로 생성됩니다. 데이터는 나중에 변경할 수 있습니다. 개인 계정의 보안 수준을 높이려면 복잡한 조합을 사용하는 것이 가장 좋습니다.

일회용 비밀번호가 왜 필요한가요?

1회용 비밀번호가 필요합니다. 추가 검증 Sberbank 클라이언트의 신원. 이러한 식별 시스템이 필요합니다.

귀하의 개인 계정에서 승인 시;
인터넷 뱅킹 시스템을 통해 자신의 카드, 예금, 계좌로 다양한 작업을 수행할 때.

존재 다음 유형일회용 비밀번호:

ATM 또는 터미널을 사용하여 인쇄된 수표(한 번에 20개의 다른 비밀번호가 포함됨)
특정 작업 중에 Sberbank에서 전화로 직접 메시지로받은 암호.

Sberbank Online 시스템의 일부 작업은 SMS 비밀번호로 확인한 후에만 수행할 수 있습니다.

어느 금전 거래일회용 비밀번호를 사용하는 것이 좋습니다. 사용자는 Sberbank Online을 비활성화할 수 있지만 일회용 암호를 사용하지 않아도 됩니다. 따라서 다양한 은행 프로그램을 사용할 때 거래를 확인하기 위해 입력이 필요합니다.

일회용 비밀번호 받기

일회용 암호를 얻는 방법에는 여러 가지가 있습니다. 인터넷 뱅킹 시스템에서 일하려면 로그인과 영구 비밀번호가 필요하다는 것을 잊지 말아야 합니다.
Sberbank ATM을 통해
고객은 러시아 연방 Sberbank의 직불 카드(신용 카드는 작동하지 않음) 소지자여야 합니다. 급여 또는 지불 카드 일 수 있습니다. 사용 가능한 경우 이를 가지고 가장 가까운 터미널이나 ATM으로 가야 합니다(구하는 절차는 동일함).

카드 리더기에 카드를 삽입해야 합니다.
시스템의 요청에 따라 확인 코드를 입력하십시오.
"Sberbank 온라인 및 모바일 은행"섹션을 클릭해야하는 기본 메뉴가 나타납니다. ATM에 오래된 소프트웨어가 설치되어 있으면 이 항목이 없습니다. 이 경우 "인터넷 서비스" 버튼을 클릭해야 합니다.
열리는 메뉴에서 "일회성 암호 목록 가져오기" 버튼을 클릭합니다. ATM은 비밀번호 목록을 인쇄합니다. 비밀번호는 20개입니다.

목록에 있는 암호는 시대를 초월합니다. 사용자가 새 비밀번호를 인쇄하면 이전 비밀번호는 무효가 되어 더 이상 사용할 수 없습니다.

클라이언트가 암호를 보다 편리하게 사용할 수 있도록 모두 고유한 번호를 가지고 있습니다. 인터넷에서 거래를 할 때 인터넷 뱅킹 시스템은 사용자가 특정 번호의 일회용 비밀번호를 입력하도록 요구합니다. 무작위 순서로 요청되므로 1회용 암호를 입력하라는 시스템 메시지에 주의해야 합니다.

수표에서 일회용 비밀번호로 확인되는 지불 및 송금은 3,000 루블을 초과 할 수 없다는 사실에주의해야합니다.

확인에서 20개의 비밀번호가 모두 끝나면 이전 비밀번호와 동일한 방법으로 새 비밀번호를 받아야 합니다.

암호 확인이 손실되었거나 해당 데이터가 다른 사람에게 알려지면 즉시 새 암호를 인쇄하거나 이전 암호를 차단해야 합니다. 이렇게 하려면 다음 번호 중 하나로 연락 센터에 전화하십시오. –

+7 (4 9 5 ) 5 0 0 - 5 5 5 0 ;
+7 (8 0 0 ) 5 5 5 - 5 5 5 0 .

SMS를 통해
이 일회용 비밀번호 획득 방법은 이전에 모바일 뱅킹 서비스를 카드에 연결한 고객만 사용할 수 있습니다. 이것은 Sberbank의 모든 지점에 연락하거나 터미널(ATM)을 사용하여 수행할 수 있습니다. 모바일 뱅크를 연결하는 또 다른 옵션은 컨택 센터에 전화하는 것입니다. 이를 위해서는 제어 정보를 제공해야 하므로 미리 준비하는 것이 좋습니다.

Sberbank Online을 통해 작업을 수행할 때 사용자는 휴대전화일회용 비밀번호(하나의 비밀번호 - 하나의 메시지)가 있는 메시지가 도착합니다. 모바일 뱅크와 연결된 카드로 입장하셔야 합니다. 그렇지 않으면 영수증에 있는 일회용 비밀번호 목록을 사용해야 합니다.

보낸 메시지를 볼 때 작업의 세부 정보가 올바른지 확인해야 합니다. 이렇게하려면 Sberbank Online 시스템에 입력 한 데이터를 SMS의 정보와 비교해야합니다.

각 일회용 비밀번호는 한 번만 사용되며 재사용할 수 없습니다. 사용자가 새로운 1회용 비밀번호를 요청한 경우 이전 비밀번호는 취소됩니다. 더 이상 사용할 수 없습니다.

일회용 비밀번호가 포함된 메시지는 항상 Sberbank 단축 번호 900에서 전송됩니다. 다음 거래 세부 정보가 SMS에 표시됩니다.

거래가 이루어지는 카드 또는 계좌 번호
거래 금액;
작업을 확인하는 암호.

수행되는 작업 유형에 따라 다른 데이터가 있을 수 있습니다.

일회용 비밀번호 입력 절차

개인 계정의 시스템 설정에 따라 1회용 비밀번호로 하나 이상의 거래 확인 유형을 사용할 수 있습니다. 두 가지 방법을 모두 사용할 수 있는 경우 시스템은 확인 전에 수행자에게 선택권을 줍니다.

사용자가 수표에서 확인을 선택하면 채우기 필드 옆에 수표 번호와 암호가 나타납니다.

확인이 SMS 형태로 전화에 온 경우 수신된 비밀번호는 "SMS 비밀번호 입력" 행에 이미 다시 작성되어야 합니다.

암호를 입력하면 모든 세부 정보를 다시 확인하라는 메시지가 표시됩니다. 모두 올바르게 입력되었으면 "확인" 버튼을 클릭해야 합니다.

그것을 얻는 가장 좋은 방법은 무엇입니까?

온라인 Sberbank 시스템에서 일회용 암호를 사용하는 방법을 알고 있는 사람은 또 다른 질문이 있습니다. 사용 가능한 방법 중 가장 편리하고 신뢰할 수 있는 방법은 무엇입니까?

모바일 뱅크에 연결된 카드의 데이터를 사용하여 시스템에서 인증하기 위해서는 메시지로 수신된 1회용 비밀번호를 입력해야 합니다. 그러나 조작은 사용자에게 편리한 방법으로 확인할 수 있습니다. SMS 비밀번호가 항상 제 시간에 도착하는 것은 아닙니다. 때때로 그들은 지연으로 전송됩니다. 그리고 각각은 5분 동안만 유효합니다. 시스템 또는 모바일 연결실패하면 확인에서 암호를 사용하여 확인하는 것이 좋습니다.

OTP(One Time Password)의 사용은 거래 계정 작업 시 추가 보안 계층입니다. 사용자가 계정에 연결할 때마다 고유한 일회용 암호를 입력해야 합니다.

일회성 암호 생성기 역할도 합니다.

일회용 비밀번호 사용을 시작하려면 iPhone 또는 Android용 모바일 플랫폼인 비밀번호 생성기와 거래 계정을 연결해야 합니다.

iPhone에서 OTP 활성화

모바일 플랫폼의 '설정' 섹션으로 이동하여 OTP 항목을 선택합니다. 이 섹션을 처음 열 때 보안 강화를 위해 4자리 비밀번호를 설정해야 합니다. 암호 생성기에 액세스할 때마다 암호를 입력해야 합니다.

추가 명령:

시간 동기화 - 모바일 장치의 시간을 참조 서버와 동기화합니다. 정확성에 대한 요구 사항은 일회용 비밀번호가 현재 시간 간격에 묶여 있고 이 시간이 거래 플랫폼과 서버 측에서 일치해야 한다는 사실 때문입니다.

Android 기기에서 OTP 활성화

"계정"섹션으로 이동하십시오. 이동 단말기를 누릅니다. 이 섹션을 처음 열 때 보안 강화를 위해 4자리 비밀번호를 설정해야 합니다. 암호 생성기에 액세스할 때마다 암호를 입력해야 합니다.

열리는 창에서 "계정에 연결"을 선택하십시오.

그런 다음 거래 계정이 열리는 서버의 이름, 계정 번호 및 기본 암호를 지정합니다. 바인드 옵션은 활성화된 상태로 두어야 합니다. 생성기에서 지정된 계정을 해제하고 더 이상 일회용 암호를 사용하지 않으려면 이 기능을 꺼야 합니다.

창 상단에 있는 "연결" 버튼을 클릭하면 거래 계정이 생성기에 연결되고 해당 메시지가 나타납니다.

마찬가지로 생성기에 무제한의 거래 계정을 연결할 수 있습니다.

OTP 섹션 상단에 일회용 비밀번호가 표시됩니다. 그 아래에 파란색 막대가 지속 시간 표시기를 표시합니다. 주어진 비밀번호. 시간이 만료되면 암호가 무효화되고 새 암호가 생성됩니다.

추가 명령:

비밀번호 변경 - 생성기에 액세스하기 위한 비밀번호를 변경합니다.
시간 동기화 - 모바일 장치의 시간을 참조 서버와 동기화합니다. 정확성에 대한 요구 사항은 1회용 암호가 현재 시간 간격에 묶여 있고 이 시간이 클라이언트 단말기와 서버 측에서 일치해야 하기 때문입니다.

플랫폼에서 OTP 사용

를 통해 연결을 시도할 때 제너레이터에 바인딩한 후 거래 플랫폼거래 계정을 사용하면 일회용 비밀번호가 추가로 요청됩니다.

일회성 패스워드(일회성 비밀번호, OTP)는 한 세션에만 유효한 비밀번호입니다. 1회용 비밀번호의 유효 기간도 일정 기간으로 제한될 수 있습니다. 고정 암호보다 일회용 암호의 장점은 암호를 다시 사용할 수 없다는 것입니다. 따라서 성공적인 인증 세션에서 데이터를 가로챈 공격자는 복사된 암호를 사용하여 보호된 정보 시스템에 액세스할 수 없습니다. 일회용 암호를 사용한다고 해서 인증에 사용되는 통신 채널에 대한 능동적 간섭을 기반으로 하는 공격(예: 메시지 가로채기 공격)으로부터 보호되지는 않습니다.

1회용 비밀번호를 생성하기 위해 1회용 비밀번호 생성기가 사용됩니다. 주어진 사용자. 일반적으로 일회용 암호는 일련의 숫자로 표시되며 원격 서비스 시스템에 액세스하는 데 사용됩니다. 이, 내부 정보 시스템조직.

은행 업계에서 일회용 비밀번호를 제공하는 가장 일반적인 방법은 은행이 인터넷 뱅킹 시스템에서 지출하는 고객에게 보내는 SMS 메시지입니다.

또한 은행에서 일회성 비밀번호를 스크래치 카드(지울 수 있는 덮개 뒤에 비밀번호가 숨겨져 있는 플라스틱 카드)로 발급할 수 있습니다. 이 경우 인터넷 뱅킹 시스템에서 일회용 비밀번호(특정 일련 번호 포함)를 입력하라는 지시를 받은 고객은 카드에서 원하는 번호 옆의 표지를 지우고 시스템에 코드를 입력합니다.

그것은 실행되지만 시간이 지남에 따라 일회성 비밀번호 목록을 발행하는 방법은 수표에서 관련성을 잃습니다. 스크래치 카드의 비밀번호처럼 시퀀스 번호인터넷 뱅킹 시스템의 지시에 따라 입력됩니다.

사기와의 전쟁에서 은행은 확인뿐만 아니라 일회용 비밀번호를 점점 더 많이 사용하고 있습니다. 금융 거래, 그러나 인터넷 뱅킹 시스템에 대한 초기 로그인에도 사용됩니다.

일부 인터넷 뱅킹 시스템은 일회용 코드의 전자 생성기를 제공합니다.

OTP 생성 알고리즘은 일반적으로 난수를 사용합니다. 그렇지 않으면 이전 암호에 대한 지식을 기반으로 후속 암호를 쉽게 예측할 수 있기 때문에 이것이 필요합니다. 특정 OTP 알고리즘은 세부적으로 크게 다릅니다. 일회용 비밀번호를 만드는 다양한 접근 방식은 다음과 같습니다.

수학적 알고리즘을 사용하여 이전 암호를 기반으로 새 암호 생성(암호는 실제로 체인을 형성하며 특정 순서로 사용해야 함).
암호를 제공하는 서버와 클라이언트 간의 시간 동기화를 기반으로 합니다(암호는 짧은 시간 동안 유효합니다).
새 암호가 요청(예: 서버에서 선택한 난수 또는 수신 메시지의 일부) 및/또는 카운터를 기반으로 하는 수학적 알고리즘 사용.

ATM을 이용하여 이용자ID 및 1회용 비밀번호를 취득하거나SMS.

ATM을 통한 일회용 비밀번호.

Sberbank 셀프 서비스 장치를 사용하여 사용자 ID와 영구 암호를 얻을 수도 있습니다.카드를 삽입하고 PIN 코드를 입력합니다. 더 나아가목록에서 "Sberbank Online 연결 및 모바일 뱅크"", 새 페이지로 이동합니다. 여기에서 "일회성 암호 인쇄" 탭을 클릭하고 영수증 형태로 받아야 합니다.

아직 시스템에 연결하지 않은 경우 먼저 "ID 및 비밀번호 인쇄" 항목을 선택하고 영수증에서 이 데이터를 받으십시오. 그런 다음 카드를 다시 삽입하고 핀 코드를 입력하고 위에서 설명한 모든 단계를 반복합니다.

SMS를 통한 일회용 비밀번호.

보안을 위해 시스템에 로그인하거나 위험한 작업을 수행할 때 1회용 비밀번호를 사용하여 추가 사용자 인증을 수행합니다.

서비스를 이용하는 클라이언트는 1회용 비밀번호를 받을 수 있습니다. 모바일 뱅크. 은행은 작업 중에 사용자의 모바일 장치에 일회용 비밀번호를 보냅니다. 사용자는 암호가 의도된 작업의 매개변수가 포함된 SMS 메시지를 받습니다. 1회용 비밀번호는 5분 이내에 사용해야 하며 특정 작업의 완료를 확인하는 용도로만 사용해야 합니다.

주목! 1회용 비밀번호를 입력하기 전에 SMS 메시지에 지정된 내용으로 수행 중인 작업의 내용을 확인해야 합니다. 수행하지 않은 거래 세부 정보가 포함된 메시지가 Sberbank를 대신하여 수신된 경우, Sberbank 직원을 대신하여 연락하더라도 적절한 형식으로 일회용 비밀번호를 입력하지 말고 누구에게도 공개하지 마십시오. .