В системе управления доступом RooX UIDM реализована поддержка алгоритма Argon2 — современного и устойчивого к вычислительным атакам способа хеширования паролей. Используется версия Argon2id с гибкой настройкой параметров. Поддерживается два варианта перехода на новый алгоритм хеширования.
Пароли на сервере аутентификации не хранятся в открытом виде. Вместо этого на сервере, как правило, сохраняются только хеши. Argon2 — современный алгоритм хеширования, признанный мировым сообществом как наиболее эффективный и безопасный способ защиты паролей. Он стал победителем международного конкурса Password Hashing Competition (PHC) и включён в рекомендации таких организаций, как NIST и IETF.
Интеграция Argon2 в RooX UIDM — это следующий шаг в развитии платформы управления доступом, направленный на соответствие самым высоким требованиям информационной безопасности и повышение доверия со стороны корпоративных заказчиков. Используемая в RooX UIDM версия Argon2id, настроенная в соответствии с рекомендациями OWASP, повышает стойкость системы аутентификации к вычислительным атакам, что снижает риск компрометации паролей.
В отличие от устаревающих решений, Argon2 позволяет гибко настраивать параметры безопасности: например, объём используемой памяти, количество итераций, уровень параллелизма, соль, длину хеша. Это обеспечивает устойчивость к атакам с использованием специализированного оборудования (GPU, ASIC) и делает подбор паролей экономически нецелесообразным. В RooX UIDM поддержана функция настройки этих параметров.
Кроме того, Argon2 поддерживает пароли произвольной длины, что является его преимуществом по сравнению с некоторыми другими алгоритмами, например, bcrypt, где длина ограничена 72 байтами. Пользователи могут использовать длинные парольные фразы. Это согласуется с современными рекомендациями уделять большее значение длине пароля, а не только разнообразию символов в нем.
«Для текущих клиентов мы предлагаем два регламента перехода на новый алгоритм хеширования. В первом варианте смена алгоритма произойдет при плановой смене пароля, например, регламентной смене согласно политикам безопасности. В этом случае пользователи сохранят возможность использовать старый пароль до этого момента. Также в RooX UIDM есть функция принудительной смены пароля. С ее помощью можно оперативно перейти на алгоритм хеширования Argon2 в любой момент», — прокомментировал директор по сервисам RooX Егор Леднев.
Справка о компании
RooX — российская ИТ-компания с 13-летним опытом, разработчик собственного продукта — системы управления аутентификацией и авторизацией RooX UIDM. Компания имеет лицензию ФСТЭК на разработку и производство средств защиты конфиденциальной информации.
Специализация RooX:
П аутентификация и авторизация: разработка и внедрение проектов различной сложности, консультации по вопросам архитектуры, импортозамещение;
П цифровые каналы взаимодействия с клиентами и партнерами для корпоративного сектора (личные кабинеты физлиц и юрлиц, агентские порталы, интернет-банки, порталы сервисов государственных компаний и другие.
В портфолио RooX проекты с крупными компаниями из финтех сектора, телеком-операторами, госкомпаниями, представителями FMCG и другими. Решениями компании пользуется 50 миллионов человек в год.
RooX UIDM (uidm.ru) — российская система для управления аутентификацией и авторизацией из Реестра отечественного ПО Минцифры России. Система разработана для управления доступом сотрудников, клиентов и партнеров в веб, мобильные и десктопные приложения. Включает в себя IDM и IAM составляющие и отвечает требованиям безопасности ГОСТ, ЦБ РФ.