Token (chave eletrônica)

 Nota: Se procura Token em informática, veja Token.

Token OTP RSA

Token é um dispositivo eletrônico gerador de senhas, geralmente sem conexão física com o computador, podendo também, em algumas versões, ser conectado a uma porta USB. O modelo OTP (One Time Password) pode ser baseado em tempo (time based), gerando senhas dinâmicas a cada fração de tempo previamente determinada (ex. a cada 36 segundos), ou ainda baseado em evento (event based), gerando senhas a cada clique do botão, sendo essa senha válida até ao momento da sua utilização, não dependendo do tempo.

Existem outras funções do Token OTP, tais como Desafio/Resposta, onde o usuário lê um desafio numérico gerado num site ou aplicação, digita esse desafio no token e obtém uma resposta que deve ser digitada na página da Internet ou aplicação - essa função tem a finalidade de verificar a veracidade do site ou aplicação. Outra aplicação é a assinatura de transação, onde o usuário digita os dados da transação (ex. dados de uma conta corrente e valor de uma transação de transferência de valores entre contas), o token, com base nesses dados, gera uma senha que serve somente para essa transação - essa função tem a finalidade de proteção contra ataques do tipo [man-in-the-middle]. Já existem dispositivos onde essa função tem a entrada de dados com captura óptica.

Existem variações de Tokens OTP, chamadados de Tokens Híbridos, que suportam também a função PKI (Public Key Infrastructure) ou Tokens Criptográficos, que geram e armazenam as chaves privadas e os certificados digitais, e possuem suporte para vários algoritmos de criptografia como o RSA, DES e 3DES.

Existe também a variante para smart cards e celulares, que são capazes de realizar as mesmas tarefas do token.

Esses dispositivos são, geralmente, utilizados como um fator de segurança adicional em transações financeiras realizadas em canais remotos/Internet - conhecidos como segundo fator de autenticação.

Esse tipo de dispositivo, eleva o nível de segurança e privacidade em caso de roubo de senhas, através de programas espiões como os trojans, mas ataques recentes mostram que os tokens são pouco efetivos como demonstrado na invasão da Lockheed Martin, fabricante dos caças F22 e F35 do governo dos EUA, em que se utilizou tokens "falsos" para invadir o systema.