Ho acquistato un YOOkey NEO, che è arrivato in una piccola cosa di plastica, all'interno di una busta imbottita. Un utente malintenzionato con accesso in transito avrebbe avuto praticamente una capacità illimitata di manipolarlo.
Il che mi ha portato a pensare: supponendo che il destinatario si fidi del produttore, come potrebbero impacchettare un hard-token in modo che il destinatario possa usarlo senza che ha bisogno di fidarsi del sistema postale che lo ha transitato?
I token sono costruiti per resistere alle manomissioni in modo che tu non possa semplicemente aprirlo e fare confusione con il circuito e i componenti interni.
Il pin per i token viene consegnato anche tramite un altro canale (o il token o il pin viene consegnato di persona dalla banca, da RA o dall'istituto responsabile dei token) in modo che un utente malintenzionato non possa accedere a entrambi i pin e il token hardware.
Anche la chiave usata per generare OTP "può essere" basata sul pin inserito, quindi con un pin sbagliato si generano password non valide, quindi senza il pin corretto un utente che accede al token hardware non può fare molto ( egli avrà accesso a una parte della chiave utilizzata per generare password ad una sola volta).
Che tipo di minaccia / aggressore ti interessa proteggere?
Se vuoi solo fidarti del produttore, dovresti prenderlo direttamente dal produttore.
Se ti fidi della resistenza alla manomissione del dispositivo, se il token utilizza una coppia di chiavi pubblica / privata (i NEO lo fanno), puoi ottenere la chiave pubblica direttamente dal produttore indipendentemente dalla spedizione, quindi confrontarla quando arriva. Un utente malintenzionato potrebbe comunque allegare qualcosa al token per monitorarne l'utilizzo, attivarlo a distanza o potenzialmente Mentarlo se non si presta sempre attenzione alla coppia di chiavi utilizzata.
Anche l'imballaggio a prova di manomissione è una cosa, ma richiederebbe che tu abbia molta familiarità con la confezione in modo da sapere come individuare una contraffazione e potrebbe non proteggerti ancora da un aggressore ben finanziato o di stato.
Leggi altre domande sui tag hardware physical tamper-resistance