Azok a számok a TOTP – az idő-alapú, egyszeri alkalomra szóló jelszavak – kategóriájába tartoznak.
Ezt a TOTP-t már nagyon sok helyen megkövetelik – a Kormányablaktól a Facebookig majdnem mindenhol.
Hogyan néz ki a működésük kívülről?
Először megkérnek minket, hogy telepítsünk az okostelefonra egy azonosító alkalmazást.
Utána, ideális esetben, adnak nekünk egy furcsa négyszögletű fekete-fehér alakzatokkal teli négyzetet, amit QR kódnak hívnak, és amit be kell a telefonunkkal szkennelnünk, és az azonosító alkalmazásban kapunk egy hat számot tartalmazó sort és hozzá egy nevet.
A továbbiakban pedig, ha be akarunk lépni a TOTP-t kérő szolgáltatásba, legyen az Kormányablak, email-fiók, Facebook, vagy akármi, a jelszó után kérni fogják azt a hatjegyű számot, ami félpercenként változik.
Hogyan néz ki belülről a működésük?
A kérdés jogos, hiszen a TOTP működik akkor is, ha az okostelefonnak nincs internet-elérése. Hogyan?
A dolog egyszerűbb, mint gondolnánk. A beállítás után működik internet nélkül is, mert a működéshez nincs szüksége internetre.
A QR kód beszkennelésekor nem kapcsoljuk a telefonunkat semmilyen másik eszközhöz. A QR kóddal egy titkosítási kulcsot másolunk le a telefonunkra.
Az TOTP-alkalmazás annyit csinál, hogy veszi az épp aktuális időt, azt elosztja harminccal, majd ezt az eredményt összevonja a titkosítási kulccsal, és azt levágja hat számjegyűre.
Közben a szolgáltatás, amihez ez a TOTP kell, ugyanezt a műveletet végzi, ugyanezekkel az elemekkel. Tehát nem küldenek sehová semmit – a két hely külön-külön jut ugyanarra az eredményre.
A dologhoz nem kell internet-elérés, csak a pontos idő, ami a telefonján már rajta van, és a titkosítási kulcs, ami most lett lemásolva a telefonra.
Ahogy a belső működése is mutatja, a számsor “keletkezésének” van egy belső logikája, tehát önmagában még nem ment meg minket – szükséges, de nem elegendő eleme a megfelelő számítástechnikai biztonságnak.
Hozzászólás