1. eToken PASS У продукті «1С-Бітрікс: Управління сайтом» починаючи з версії 8.0 передбачена можливість...
2. ініціалізація
3. одноразові паролі

eToken PASS

У продукті «1С-Бітрікс: Управління сайтом» починаючи з версії 8.0 передбачена можливість використання технології аутентифікації по одноразових паролів, що генеруються за допомогою спеціального пристрою eToken PASS. При натисканні кнопки на корпусі eToken PASS дисплей пристрою відображає одноразовий пароль (OTP PIN). Даний пароль діє тільки протягом одного сеансу зв'язку, а значить користувач може не турбуватися про те, що пароль буде подсмотрен або перехоплений. Технологія OTP підсилює стандартну систему авторизації продукту, підвищуючи рівень захисту інтернет-проектів на базі продукту. Коректність роботи електронних ключів eToken PASS для системи «1С-Бітрікс: Управління сайтом 8.0» підтверджується відповідним сертифікатом компанії Aladdin, виданими на підставі серії випробувань

Сергій Груздєв, генеральний директор Aladdin, коментує: «Використання eToken PASS - це зручний і легкий спосіб забезпечити безпечний доступ до ресурсів порталу або веб-сайту з будь-якої точки світу: продукт не вимагає установки драйверів, працює з будь-якою операційною системою і при цьому без підключення до комп'ютера. Ми високо оцінюємо досягнуті результати технологічного співробітництва з «1С-Бітрікс»: комплексний підхід партнера до питань безпеки є відображенням тенденції зростання попиту серед замовників на продукти з посиленими функціями захисту ».

One-Time Password - OTP

Система авторизації з використанням одноразових паролів (One-Time Password - OTP) розроблена в рамках ініціативи OATH .

Реалізація заснована на алгоритмі HMAC і хеш-функції SHA-1. Для розрахунку значення OTP приймаються два вхідних параметра - секретний ключ (початкове значення для генератора) і поточне значення лічильника (кількість необхідних циклів генерації). Початкове значення зберігається як в самому пристрої, так і на сайті після його запуску. Лічильник в пристрої збільшується при кожній генерації OTP, на сервері - при кожному вдалому аутентифікації по OTP.

Партія пристроїв OTP поставляється з зашифрованим файлом, що містить початкові значення (секретні ключі) для всіх пристроїв партії, пов'язаного з серійним номером пристрою (друкується на корпусі пристрою).

У разі порушення синхронізації лічильника генерації в пристрої і на сервері, її можна легко відновити - привести значення на сервері у відповідність значенням, що зберігається в пристрої. Для цього адміністратор системи або сам користувач (при наявності відповідних дозволів) повинен згенерувати два послідовних значення одноразових паролів (OTP) і ввести їх в форму на сайті.

ініціалізація

При ініціалізації або повторної синхронізації пристрою з користувачем необхідно заповнити два послідовно згенерованих одноразових пароля, отриманих з пристрою.

одноразові паролі

система одноразових паролів доповнює стандартну систему авторизації та дозволяє значно посилити систему безпеки інтернет-проекту. Для включення системи необхідно використовувати апаратний пристрій або відповідне програмне забезпечення, що реалізує OTP.
Що вам дає така технологія? Однозначну впевненість, що на сайті авторизується саме той користувач, якому видано брелок. При цьому якесь викрадення і перехоплення паролів втрачає будь-який сенс, тому що пароль одноразовий. Брелок же фізичний, дає унікальні одноразові паролі і тільки при натисканні. А це означає, що власник брелка не зможе передати пароль іншій людині, продовжуючи користуватися входом на сайт.
Як користуватися?
При включенні системи одноразового пароля, цей користувач зможе авторизуватися тільки з використанням свого імені (login) і складеного пароля, що складається з пароля і одноразового пароля пристрою (6 цифр). Одноразовий пароль (див. 2 ​​на малюнку) вводиться в поле "Пароль" стандартної форми авторизації на сайті відразу після звичайного пароля (див. 1 на малюнку) без пробілів.
Розширена аутентифікація з одноразовим паролем почне працювати після введення секретного ключа і двох послідовно згенерованих одноразових паролів, отриманих з пристрою.
Модуль «Проактивний захист» продукту «1С-Бітрікс: Управління сайтом» дозволяє включити підтримку одноразових паролів і використовувати їх вибірково для будь-яких користувачів на сайті. Однак особливо рекомендується задіяти систему одноразових паролів адміністраторам сайтів, оскільки це сильно підвищує рівень безпеки для користувача групи «Адміністратори».