RSA SecurID

Dispositivo de Autenticação Pessoal

Também pode existir como um módulo de software (para smartphones)

Gera um valor único em intervalos fixos

tipicamente 30s ou 60s

Sequência de valores é única para um sujeito (User ID)

Valor é calculado com base em:

• Chave de 64 bits armazenada no dispositivo

• Instante temporal atual

• Algoritmo proprietário (SecurID hash)

• Por vezes: um código PIN

Sujeito gera OTP combinando o UserID com o número do dispositivo

OTP = UserID | Token

O servidor RSA ACE realiza a mesma operação

Servidor possui todos os User ID e chaves geradoras

Servidor e dispositivo possuem os relógios sincronizados

Robusto contra ataques por dicionário

Senhas não são escolhidas pelos sujeitos

Vulneráveis contra ataques ao servidor

2011: incidente iniciado por um 0-day no Adobe Flash dentro de um XLS