Software token
एक सॉफ्टवेयर टोकन (उर्फ। सॉफ्ट टोकन) एक दो-कारक प्रमाणीकरण सुरक्षा उपकरण का एक टुकड़ा है जिसका उपयोग कंप्यूटर सेवाओं के उपयोग को अधिकृत करने के लिए किया जा सकता है। सॉफ्टवेयर टोकन एक सामान्य-उद्देश्य वाले इलेक्ट्रॉनिक उपकरण जैसे डेस्कटॉप कंप्यूटर, लैपटॉप, पीडीए या मोबाइल फोन पर संग्रहीत किए जाते हैं और इन्हें दोहराया जा सकता है। (कंट्रास्ट हार्डवेयर टोकन, जहां क्रेडेंशियल्स को एक समर्पित हार्डवेयर डिवाइस पर संग्रहीत किया जाता है और इसलिए उन्हें डुप्लिकेट नहीं किया जा सकता है-डिवाइस पर भौतिक आक्रमण की अनुपस्थिति) क्योंकि सॉफ्टवेयर टोकन कुछ ऐसे होते हैं जो किसी के पास भौतिक रूप से नहीं होते हैं, वे अंतर्निहित क्रिप्टोग्राफिक सामग्री के डुप्लिकेशन के आधार पर अद्वितीय खतरों के संपर्क में आते हैं-उदाहरण के लिए, कंप्यूटर वायरस और सॉफ्टवेयर हमले। हार्डवेयर और सॉफ्टवेयर दोनों टोकन बॉट-आधारित मैन-इन-द-मिडल हमलों, या सरल फ़िशिंग हमलों के लिए असुरक्षित हैं, जिसमें टोकन द्वारा प्रदान किए गए एक बार के पासवर्ड का अनुरोध किया जाता है, और फिर वास्तविक वेबसाइट को समय पर आपूर्ति की जाती है। सॉफ्टवेयर टोकन के फायदे हैंः ले जाने के लिए कोई भौतिक टोकन नहीं है, उनमें बैटरी नहीं होती हैं जो खत्म हो जाएंगी, और वे हार्डवेयर टोकन की तुलना में सस्ते हैं। सुरक्षा वास्तुकला सॉफ्टवेयर टोकन के लिए दो प्राथमिक संरचनाएँ हैंः साझा गुप्त और सार्वजनिक-कुंजी क्रिप्टोग्राफी। साझा गुप्त के लिए, एक प्रशासक आम तौर पर प्रत्येक अंतिम-उपयोगकर्ता के लिए एक विन्यास फ़ाइल उत्पन्न करेगा। फाइल में एक उपयोगकर्ता नाम, एक व्यक्तिगत पहचान संख्या और गुप्त जानकारी होगी। यह कॉन्फ़िगरेशन फ़ाइल उपयोगकर्ता को दी जाती है। साझा गुप्त वास्तुकला कई क्षेत्रों में संभावित रूप से असुरक्षित है। यदि कॉन्फ़िगरेशन फ़ाइल चोरी हो जाती है और टोकन की प्रतिलिपि बनाई जाती है तो उससे समझौता किया जा सकता है। समय-आधारित सॉफ्टवेयर टोकन के साथ, किसी व्यक्ति के पीडीए या लैपटॉप को उधार लेना, घड़ी को आगे निर्धारित करना और ऐसे कोड उत्पन्न करना संभव है जो भविष्य में मान्य होंगे। कोई भी सॉफ़्टवेयर टोकन जो साझा किए गए रहस्यों का उपयोग करता है और एक सॉफ़्टवेयर क्लाइंट में साझा किए गए रहस्य के साथ पिन को संग्रहीत करता है, चोरी हो सकता है और ऑफ़लाइन हमलों के अधीन हो सकता है। साझा गुप्त टोकन वितरित करना मुश्किल हो सकता है, क्योंकि प्रत्येक टोकन अनिवार्य रूप से सॉफ्टवेयर का एक अलग टुकड़ा है। प्रत्येक उपयोगकर्ता को गुप्त की एक प्रति प्राप्त करनी चाहिए, जो समय की कमी पैदा कर सकती है। कुछ नए सॉफ्टवेयर टोकन सार्वजनिक-कुंजी क्रिप्टोग्राफी, या असममित क्रिप्टोग्राफी पर निर्भर करते हैं। यह वास्तुकला सॉफ्टवेयर टोकन की कुछ पारंपरिक कमजोरियों को समाप्त करती है, लेकिन उनकी प्राथमिक कमजोरी (डुप्लिकेट करने की क्षमता) को प्रभावित नहीं करती है। एक पिन को टोकन क्लाइंट के बजाय दूरस्थ प्रमाणीकरण सर्वर पर संग्रहीत किया जा सकता है, जिससे एक चोरी किए गए सॉफ़्टवेयर टोकन तब तक अच्छा नहीं होता जब तक कि पिन भी ज्ञात न हो। हालांकि, एक वायरस संक्रमण के मामले में, क्रिप्टोग्राफिक सामग्री को डुप्लिकेट किया जा सकता है और फिर अगली बार जब उपयोगकर्ता प्रमाणित करता है तो पिन को (कीलॉगिंग या इसी तरह के माध्यम से) पकड़ा जा सकता है। यदि पिन का अनुमान लगाने का प्रयास किया जाता है, तो इसका पता लगाया जा सकता है और प्रमाणीकरण सर्वर पर लॉग इन किया जा सकता है, जो टोकन को अक्षम कर सकता है। असममित क्रिप्टोग्राफी का उपयोग भी कार्यान्वयन को सरल बनाता है, क्योंकि टोकन क्लाइंट अपनी खुद की कुंजी जोड़ी उत्पन्न कर सकता है और सर्वर के साथ सार्वजनिक कुंजी का आदान-प्रदान कर सकता है। प्रमाणीकरण इलेक्ट्रॉनिक प्रमाणीकरण गूगल प्रमाणीकरण बहु-कारक प्रमाणीकरण सुरक्षा टोकन संदर्भ बाहरी लिंक माइक्रोसॉफ्ट पासवर्ड को छोड़ने के लिए बैंक 2006 के अंत तक 2-कारक प्रमाणीकरण का उपयोग करने के लिए क्रिप्टोग्राफी कंप्यूटर अभिगम नियंत्रण fr: प्रमाणीकरण ताकत