Comments

20 евро за OTP токен? За такие деньги можно купить полноценный ключ безопасности, а то и два. И он не будет подвержен атаке посередине, фишингу, атаке повтором. Не говоря о легкости применения и возможности беспарольной аутентификации.

полноценный ключ безопасности

Вы про FIDO/FIDO2? если так, то можно еще дешевле найти (Token2 скоро запустит u2f по цене около 8-10 евро). Только некорректно их сравнивать, это разные устройства, и u2f/fido2 пока не везде поддерживаются. Теоретически, такие ключи конечно удобнее для пользователя (при определенной комбинации условий) и дешевле (нет дисплея и даже батареи, и один ключ можно использовать лет 10-15 на разных акаунтах), но видимо из-за сложности реализации, TOTP все еще популярнее.

Данное решение тоже как-то не стандартно, и тоже требует отдельного аппаратного комплекса. Базовая реализация FIDO не сложнее чем TOTP. Поддержка была лимитированна из-за отсутствия поддержки браузером, но и сие сейчас решено.

Данное решение тоже как-то не стандартно
никак нет, все полностью стандартно. это полноценная замена приложениям типа Google Authenticator, только логиниться потом можно будет только с применением самого токена, без смартфона
отсутствия поддержки браузером, но и сие сейчас решено
чему я лично рад несказанно (я тоже фанат идей FIDO и u2f мне использовать гораздо удобнее)
но я все еще считаю что сравнивать например u2f и TOTP некорректно, они не всегда взаимозаменяемы
А почему разрешено изменять время по nfc (вашим приложением) без индивидуального пароля TOTP ключа?
я понимаю это вопрос не только по данной модели, но вообще по всем программируемым токенам (на других можно менять только секретный ключ).

думаю можно это обьяснить стремлением к упрощению процесса, опять же не забываем про баланс- на одной чаше комфорт пользователя и логистика/организация процесса установки индивидуального пароля на каждый токен (плюс механизм восстановления), на другой потенциальный риск компромизации через NFC
Понятно. Как вариант, можно, чтобы приложение получало «время + соль» в зашифрованном виде с ваших серверов, а расшифровка проходила непосредственно на самом ключе. И для каждого серийного номера ключа свой ключ шифрования.
я понимаю с асинхронным шифрованием? хорошая идея
Одна проблема- многие клиенты с подозрением отнесутся к самой идее обмена данными со сторонними серверами. В нынешнем варианте, комп с софтом для прошивки может работать в оффлайне — так можно быть уверенным что ничего (а в частности секретные ключи) никуда не отсылаются
Да. Согласен. Тогда добавить опцию добавления пароля (на ключ) на установку времени/секретного ключа. Кому надо, тот установит пароль.
это надо делать на уровне чипа, что приведет к удорожанию продукта.
А разве нельзя ограничить перевод времени только вперед? А если вдруг в ключе часы спешат «замораживать» устройство (не давать использовать устройство пока часики не оттикают разницу) тем самым предотвратив компрометацию будущих ключей, а точнее создать условия в которых будет очевиден факт компрометации устройства.
При синхронизации часов по NFC мы знаем точное время, не? Если ключ обнаруживает наличие опережения своих часов и знает, как давно была последняя синхронизация, то он может сравнить на основе примерной точности своего кварца (теоретически возможное расхождение секунд) реальное ли ему дают время или пытаются применить атаку повтора.
Понятно, то есть надо хранить лог изменений времени, причём именно лог так как точность осциллятора тоже не константа и меняется в зависимости от разных факторов. Там логи хранить просто негде, мы лишние пару байтов не можем разместить для хранения сида (сейчас максим. длина 32 символа base32) — иначе увеличивается размеры и цена
Можно в принципе не усложнять и просто ограничить окно изменений — например точностью помноженной на жизнь батареи (например при максимально возможном смещении в 2 минуты в год и сроком аккумулятора 5 лет — разрешать не более 10 минут в каждую сторону).

Вы считаете риск существенным? Ведь он ровно такой же как при утере обычного ключа (без синхронизации времени) — только атка должна будет осуществлена сразу (в течении 5-10 минут) а не через неделю, например. Стоят ли свеч усилия по ограничению изменения времени в таком случае?
единственный в мире, серийно выпускающийся аппаратный TOTP токен с возможностью синхронизации времени.

Так что, впереди планеты всей?

Не нашли аналогов во всяком случае. Сноску что ли добавить чтобы не раздражало никого?
Only those users with full accounts are able to leave comments. Log in, please.