Zergatik huts egiten duten TOTP kodeek gailuaren erlojua desbideratzen denean

Behin erabiltzeko kodeak erabat zuzenak izan daitezke zure telefonoan, eta zerbitzariak segundo berean uka ditzake. Bi aldeek funtzio bera kalkulatzen dute partekatutako sekretu batetik eta uneko denbora-urratsetik, beraz, denborari buruzko desadostasunak kodearen inguruko desadostasuna sortzen du. Horrek erlojuaren desbideratzea segurtasunari dagokion akats bihurtzen du, eta ez gogaikarri hutsa.

Bi erloju dira garrantzitsuak hemen, eta ikus daitekeena konpontzea da jendeak lehenengo egiten duen zatia. Arreta behar izaten duena bestea da.

Kodea denboraren funtzio bat da, ez pasahitza

TOTPk partekatutako sekretua eta uneko denboratik eratorritako kontagailu bat hartzen ditu, biak gakoa duen hash batetik pasarazten ditu eta emaitza hamartar kate laburrera mozten du, RFC 6238 zehaztapenak dioen bezala. Kontagailua denbora-urrats bakoitzean aurrera doa, normalean hogeita hamar segundo, beraz, sekretu berak balio berria sortzen du urratsa aldatzen denean. Egiaztatzaileak uneko urratsaren espero den balioa berriz kalkulatzen du eta konparatu egiten du, eta horrek sekretu bera eta orainaren ideia bera eskatzen ditu. Pasahitza berrerabilgarri jarraitzen du aldatzen ez den arte, balio hau bezeroak ikusi ezin duen muga batean iraungitzen den bitartean.

Horregatik funtzionatzen du kode batek eta hurrengoak huts egiten du une batzuk geroago. Hori dela eta, txat-mezu batetik kodea kopiatzea hain ohitura fidagaitza da.

Bi erlojuk bat etorri behar dute, batek ez

Erregistratze-materiala da lehenengo gauza partekatua, eta denbora bigarrena. Sekretua zuzena bada erlojuak onartutako leihoa baino gehiago desberdintzen diren bitartean, sortutako balio bakoitza urrats okerrean erortzen da eta baztertu egiten da. Erlojuak bat badatoz sekretua okerra den bitartean, balio bakoitza ere baztertzen da, eta bi hutsek berdinak dirudite saioa hasteko pantailatik. Haiek bereiztea kontu-sarrera eta denbora independenteki egiaztatzea esan nahi du, ordena horretan.

Egiaztatzailearen erlojuak gailuarenaren arreta bera merezi du. Denbora-iturria hautsita duen zerbitzari batek erabiltzaile guztien kode zuzenak aldi berean baztertzen ditu, eta txostenek bat-bateko etenaldi bat deskribatuko dute, desbideratze bat izan beharrean. Eredu hori ezagutzea merezi du, bere konponketa zerbitzarian baitago, ehun telefonotan ez.

Zer kostatzen du leihoa zabaltzeak

Inplementazioek urrats albokoko kode bat onar dezakete desberdintasun txikiak xurgatzeko, eta tolerantzia hori diseinu-erabakia da, ez doako doikuntza. Urrats gehigarri bakoitzak une jakin batean baliozko diren balioen kopurua biderkatzen du, eta hori da, hain zuzen, asmatzen duen erasotzaileak nahi duena. Errepikapenaren aurkako araua arrazoi beragatik da garrantzitsua, bi aldiz onartutako kodea erabilgarri filtratu den kodea baita. Leihoa zabaltzen duen administratzaileak kexak isilarazteko, benetako propietate bat trukatzen du hobekuntza kosmetiko baten alde.

Erlojua zuzentzea konponketa da, leihoa zabaltzea lasaigarri bat den bitartean. Lehenengoa kausa kentzen du eta bigarrena ezkutatu egiten du.

Egiazta itzazu bi erlojuak berriro saiatu aurretik

Irakurri ordua gailuan eta zerbitzarian, eta konparatu desbideratzeak, erakutsitako ordu lokalak baino. Beheko komandoek sinkronizazio-egoera eta UTC une gordina erakusten dute Linux ostalari edo zerbitzari batean. Exekuta itzazu bi muturretan autentifikazio-ezarpena aldatu aurretik.

timedatectl
date -u +'%Y-%m-%dT%H:%M:%SZ'
chronyc tracking
timedatectl timesync-status

Segundotan neurtutako desbideratzea kaltegabea da, minututan neurtutakoak arbuioa azaltzen du, eta sinkronizazio-iturririk adierazten ez duen sistema bat bietarako hautagaia da. Konparatu bi UTC denbora-zigiluak zuzenean, ordu lokalak algoritmoak inoiz ikusten ez duen ordu-zona bat barne hartzen baitu. Desbideratzeak txikiak badira eta kodeek huts egiten jarraitzen badute, utzi erlojuak doitzen eta aztertu erregistro-sarrera. Blokeatutako kontu baten aurkako saiakera errepikakorrek jatorrizko akatsa behatzea zailtzen dute.

Erregistratu arbuioaren ordua, desbideratzea eta errore-testua, eta utzi partekatutako sekretua horretatik kanpo. Laguntzak lehen hirurekin lan egin dezake eta ez luke inoiz laugarrena ikusi behar.