受信者が信頼できるように、ハードトークンをどのようにパッケージ化できますか？
パッド入りの封筒の中に小さなプラスチック製のものが入ったYubikeyNEOを購入しました。転送中にアクセスできる攻撃者は、基本的に無制限に操作することができます。
受信者がメーカーを信頼していると仮定すると、受信者がそれを使用できるようにハードトークンをパッケージ化するにはどうすればよいでしょうかなしそれを通過した郵便システムを信頼する必要はありませんか？
トークンは改ざんされないように構築されているため、トークンを開いて回路や内部コンポーネントをいじることはできません。
トークンのピンは別のチャネルを介して配信されるため（トークンまたはピンは銀行、RA、またはトークンを担当する機関から直接渡されます）、攻撃者はピンとハードウェアの両方にアクセスできません。トークン。
また、OTPの生成に使用されるキーは、入力されたピンに基づいて「可能」であるため、ピンを間違えると無効なパスワードが生成されるため、正しいピンがないと、ハードウェアトークンにアクセスできる人は多くのことを実行できません（ワンタイムパスワードの生成に使用されるキーの一部へのアクセス）。
どのような脅威/攻撃者から保護することに関心がありますか？
メーカーのみを信頼したい場合は、メーカーから直接お受け取りください。
デバイスの改ざん防止を信頼し、トークンが公開鍵と秘密鍵のペアを使用している場合（NEOはそうします）、出荷とは関係なく製造元から直接公開鍵をデジタルで取得し、到着時に比較できます。攻撃者は、トークンに何かを添付して、その使用を監視するか、リモートでアクティブ化するか、使用されているキーペアに常に注意を払っていない場合はMitMする可能性があります。
不正開封防止パッケージも重要ですが、偽造品を見つける方法を知っているため、パッケージに非常に精通している必要があり、資金の豊富な攻撃者や州の攻撃者から保護されない可能性があります。