Pelo que tenho visto na internet, as pessoas não sabem mesmo como funciona o Token Bancário, por conta disto vou fazer uma explicação simples, espero ajude, tendo dúvidas comente nesta página e vamos buscar resolvê-las.
O Token é um dispositivo criado para gerar senhas numéricas que permitem o acesso dentro de um intervalo de tempo determinado.
Em geral este intervalo é de 30 à 60 segundos. A maioria dos Tokens hoje trabalham com 36 segundos.
Cada Token é identificado por um número de série, geralmente fica escrito nele ou adesivado. Saber o número de série é essencial, pois ele foi atribuido ainda na linha de montagem e não pode ser substituído.
Façamos uma experiência prática.
Token (Número de série 36-107898-1 )
O Token tem um relógio interno (a bateria dura em média 5 (cinco) anos). Este relógio conta segundo por segundo, mas os cálculos levam em conta o valor exato num tempo determinado, em geral 30 segundos.
Vejamos uma simulação.
O Token pega uma unidade de tempo (hora, minuto, segundo) faz uma conta que envolve um código interno único e o resultado é a senha que aparece no visor.
Hora | Código/Chave Interno do Token | Resultado Senha |
1º dia 15:01:05 |
36-107898-1 |
678420 |
1º dia 15:01:57 |
36-107898-1 |
787654 |
1º dia 15:01:57 | 36-107898-1 | 098653 |
1º dia 15:01:57 | 36-107898-1 | 124232 |
A cada 30 segundos, se você pressionar o botão do Token, ele pega um chave interna única (aqui colocamos o número do sérial, mas pode ser qualquer valor guardado nele, e no banco de dado do banco), e realiza um CALCULO junto com a hora e dia de vida, e produzindo assim um novo número sempre.
E como o Banco sabe qual será minha senha?
Acontece que no momento que você ativou seu Token o funcionário do Banco, seja presencial ou por telefone, registrou no sistema este 'número único' logo este ficou vinculado a sua conta.
Assim quando o Banco pede que você gere uma senha, ele já está de posse do número único, assim é feito um cálculo idêntico, geralmente o Computador do banco leva em consideração uma faixa de 90 segundos, para evitar problemas com possíveis atrasos.
Quando você se identifica no Banco (agência, senha, apelido, e senha de acesso) o banco gera uma senha dentro da margem da possibilidade:
329879 ( para o 23º dia 16:07:01)
765902 ( para o 23º dia 16:07:31)
093765 ( para o 23º dia 16:08:09)
Então é dado momento oportuno para você digitar uma senha: Você digita: 765902, o banco identifica que é uma senha válida para aquele período, e permite seu acesso.
Em regra assim,
Se senha do Token IGUAL senha do Banco -> Acesso permitido,
Se senha do Token DIFERENTE da senho do Banco -> Acesso negado,
Bem simples. Acontecem dois cálculos, um no Token, outro no Programa interno do banco,
Cálculo do Token = Cálculo do banco -> acesso permitido, SE diferente, acesso negado.
Que cálculo é este?
Existem muitas formas de cálculo, hoje a RSA é a mais usada, os dispositivos conhecidos em inglês SecurID geram senhas diferentes em intervalos de tempo, um cálculo só possível devido a tecnologia. Estamos falando de uma calculadora. (Curiosidade) Em março de 2011 hackers conseguiram furtar a 'semente' do cálculo, o que causou muita insegurança nesta ferramenta, mas até que seja superado por outra, será entendido como sendo uma tecnologia.
É possível descobrir a senha interna através de um resultado ou muitos?
Não.
É um tipo de criptografia que não permite a 'reversão'. Assim você tem uma senha A, que submetido a um cálculo B tem como resultado C.
A -> B = C
Porém o usuário só consegue visualizar C e mesmo que conhecesse B, trata-se de um logaritmo que até o momento parece ser impossível descodificar,
Exemplos:
No Brasil a BRToken oferece diversos serviços, vale a pena dar uma olhada no manual explicativo,
http://www.brtoken.com.br/catalogosPT2010/SafeSIGNATURE.pdf (O link foi modificado, a BrToken passou a se chamar DataLink, vide http://www.datablink.com/ )
Veja as instruções de patente, este token oferecido pela empresa é capaz de ler informações da tela do computador (recebe sinais de luz piscantes)
----------------------------------------
(Vide referências ao final, e no manual cujo link está nesta página)
O SafeSIGNATURE é muito mais do que um simples token OTP (One-Time Password) comum. Possui metodologia inovadora, capaz de gerar uma senha baseada em tempo (usando o padrão OATHTOTP) e, adicionalmente, um recurso da assinatura de transações, utilizando tecnologia própria para leitura e captura de informações da transação, a partir de uma imagem piscante, gerada na tela de um computador ou projeção.
O SafeSIGNATURE “fotografa” sua operação oferecendo tranquilidade e segurança.
O usuário acompanha a transação passo a passo, seja no Internet Banking ou no e-Commerce, e finaliza a operação com uma autenticação/assinatura.
Características:
- Somente o portador do token efetua a transação.
- A senha dinâmica (OTP) só será utilizada no momento da transação.
- Se alterados, os valores da operação serão detectados, rejeitados e invalidados.
- Proteção total contra ataques como os de trojans, phishing, Man-in-the-Middle e Man-in-the-Browser.
- Proteção contra assinatura cega de transações. O usuário vê e checa o que está transacionando.
- Produto nacional, excelente custo-benefício e suporte técnico local.
- Sistema de captura de dados da tela, comodidade e segurança para o cliente, pois não terá que digitar os dados da transação novamente.
- Totalmente customizável na cor e no botão (com logotipo do cliente).
- Mensagens poderão ser adicionadas ao display, que surgirão automaticamente para que o usuário acompanhe e saiba exatamente o que está validando na transação.
Patentes
pointSET™ U.S. Pat No. 6,466,145
INPI PI 0700657-8
----------------------------------------