Firwat TOTP-Coden feelen, wann d’Auer vum Apparat drifft

Eemol-Coden kënnen op Ärem Telefon komplett richteg sinn an trotzdem vum Server an der selwechter Sekonn refuséiert ginn. Béid Säite berechnen déiselwecht Funktioun aus engem gedeelte Geheimnis an dem aktuellen Zäitschrëtt, dofir bréngt eng Uneenegkeet iwwer d’Zäit eng Uneenegkeet iwwer den Code. Dat mécht d’Auerdrifft zu engem Feeler mat Bedeitung fir d’Sécherheet an net just zu enger Plakegkeet.

Zwee Auere sinn hei wichteg, an déi sichtbar ze fixen ass deen Deel, deen d’Leit als éischt maachen. Déi, déi meeschtens Opmierksamkeet brauch, ass déi aner.

Den Code ass eng Funktioun vun der Zäit, keen Passwuert

TOTP hëlt de gedeelte Geheimnis an en Zähler, deen aus der aktueller Zäit ofgeleet ass, schéckt béides duerch en Hash mat Schlëssel an schneit d’Resultat op eng kuerz Dezimalzeechenketten of, wéi an RFC 6238 festgeluecht. Den Zähler geet bei all Zäitschrëtt weider, gewéinlech drësseg Sekonnen, dofir produzéiert deen selwechte Geheimnis en neie Wäert, wann de Schrëtt sech ännert. De Verifizéierer rechent den erwaarten Wäert fir de aktuellen Schrëtt nei a vergläicht, wat deen selwechte Geheimnis an déiselwecht Iddi vun elo erfuerdert. E Passwuert bleift weider brauchbar, bis et geännert gëtt, wärend dëse Wäert op enger Grenz ofleeft, déi de Client net gesäit.

Dofir fonctionnéiert een Code an den nächsten feelt e puer Momenter méi spéit. Dat erkläert och, firwat et sou en onzouverlässegt Gewunnecht ass, en Code aus enger Chatnoriicht ze kopéieren.

Zwou Auere mussen iwwerenee stëmmen, net eng

D’Umeldungsmaterial ass dat éischt gedeelte Saach, an d’Zäit ass dat zweet. Wann de Geheimnis richteg ass, wärend d’Auere méi wéi déi toleréiert Fënster ofwäichen, da fält all generéierte Wäert an de falsche Schrëtt a gëtt refuséiert. Wann d’Auere stëmmen, wärend de Geheimnis falsch ass, gëtt och all Wäert refuséiert, an béid Feeler gesinn aus dem Login-Ecran identesch aus. Si ze trennen heescht, den Kontagang an d’Zäit onofhängeg ze kontrolléieren, an där Reiefolleg.

D’Auer vum Verifizéierer verdéngt déiselwecht Iwwerpréiwung wéi déi vum Apparat. E Server, deem seng Zäitquell futti ass, refuséiert riichteg Coden vun alle Benotzer op eemol, an d’Rapporte wäerten eng plötzlech Ënnerbriechung beschreiwen an net eng Drifft. Dëst Muster ass et wäert ze erkennen, well seng Reparatur op de Server gehéiert an net op honnert Telefonen.

Wat d’Verbreedung vun der Fënster kascht

Implementéierungen kënnen e Code vum Nopeschschrëtt akzeptéieren, fir kleng Ënnerscheeder ze absorbéieren, an déi Toleranz ass eng Designentscheedung, keng gratis Upassung. All zousätzleche Schrëtt multiplizéiert d’Zuel vun de Wäerter, déi zu all Moment gülteg sinn, an dat ass genau dat, wat en attackéierende Rater léiwer huet. D’Regel géint Widderhuelung ass aus demselwecht Grond wichteg, well en Code, deen zweemol akzeptéiert gëtt, en Code ass, deen nëtzlech ausgelaf ass. En Administrateur, deen d’Fënster verbreet, fir Beschwéieren ze roueg ze maachen, tauscht eng richteg Eegeschaft géint eng kosmetesch Verbesserung.

D’Auer ze fixen ass d’Reparatur, wärend d’Fënster ze verbreeden en Berouegungsmëttel ass. Dat éischt hëlt d’Ursaach ewech an dat zweet verstoppt se.

Kontrolléiert béid Auere, ier Dir et nach eng Kéier versicht

Liest d’Zäit um Apparat an um Server a vergläicht d’Ofwäichungen amplaz vun den ugewisene lokalen Zäiten. D’Kommandos hei drënner weisen de Synchroniséierungszoustand an den rohen UTC-Moment op engem Linux-Host oder -Server. Féiert se op béide Säiten aus, ier Dir eng Autorisatiounsparameter ännert.

timedatectl
date -u +'%Y-%m-%dT%H:%M:%SZ'
chronyc tracking
timedatectl timesync-status

Eng Ofwäichung a Sekonnen ass harmlos, eng a Minutten erklärt eng Refuséierung, an e System, dee keng Synchroniséierungsquell mëldet, ass e Kandidat fir béides. Vergläicht déi zwou UTC-Zäitstempelen direkt, well lokal Zäit eng Zäitzone enthält, déi den Algorithmus ni gesäit. Wann d’Ofwäichungen kleng sinn an d’Coden nach ëmmer feelen, stoppt d’Auere justéieren an iwwerpréift amplaz den Umeldungsagang. Widderhuelte Versich géint e gespaarte Kont maachen de urspréngleche Feeler schwéier ze observéieren.

Notéiert d’Refuséierungszäit, d’Ofwäichung an den Feelertext, a loosst de gedeelte Geheimnis dobaussen. Den Support kann mat den éischten dräi schaffen an sollt dee véierten ni gesinn.