Għaliex il-Kodiċi TOTP ifallu meta l-arloġġ tal-apparat jiċċaqlaq

Kodiċi ta’ darba jistgħu jkunu perfettament korretti fuq il-telefon tiegħek u xorta jiġu miċħuda mis-server fl-istess sekonda. Iż-żewġ naħat jikkalkulaw l-istess funzjoni minn sigriet kondiviż u mill-pass taż-żmien attwali, għalhekk nuqqas ta’ qbil dwar il-ħin iwassal għal nuqqas ta’ qbil dwar il-kodiċi. Dan jagħmel id-differenza fl-arloġġ żball rilevanti għas-sigurtà u mhux biss fastidju.

Hawnhekk huma importanti żewġ arloġġi, u t-tiswija ta’ dak viżibbli hija l-parti li n-nies jagħmlu l-ewwel. Dak li normalment jeħtieġ attenzjoni huwa l-ieħor.

Il-kodiċi huwa funzjoni tal-ħin, mhux password

TOTP jieħu s-sigriet kondiviż u kontatur derivat mill-ħin attwali, jgħaddi t-tnejn minn hash b’ċavetta u jaqta’ r-riżultat fi string deċimali qasir, kif speċifikat fi RFC 6238. Il-kontatur javvanza f’kull pass taż-żmien, normalment tletin sekonda, għalhekk l-istess sigriet jipproduċi valur ġdid meta jinbidel il-pass. Il-verifikatur jerġa’ jikkalkula l-valur mistenni għall-pass attwali u jqabbel, li jeħtieġ l-istess sigriet u l-istess idea ta’ issa. Password jibqa’ jista’ jerġa’ jintuża sakemm jinbidel, filwaqt li dan il-valur jiskadi fuq konfini li l-klijent ma jistax jara.

Għalhekk kodiċi wieħed jaħdem u dak li jmiss ifalli ftit mumenti wara. Dan jispjega wkoll għaliex l-ikkupjar ta’ kodiċi minn messaġġ taċ-chat hija drawwa daqshekk mhux affidabbli.

Żewġ arloġġi jridu jaqblu, mhux wieħed

Il-materjal tar-reġistrazzjoni huwa l-ewwel ħaġa kondiviża, u l-ħin huwa t-tieni. Jekk is-sigriet huwa tajjeb filwaqt li l-arloġġi jvarjaw aktar mit-tieqa tollerata, kull valur iġġenerat jaqa’ fil-pass ħażin u jiġi miċħud. Jekk l-arloġġi jaqblu filwaqt li s-sigriet huwa ħażin, kull valur jiġi miċħud ukoll, u iż-żewġ fallimenti jidhru identiċi mill-iskrin tad-dħul. Li tifridhom ifisser li tiċċekkja l-entrata tal-kont u l-ħin b’mod indipendenti, f’dik l-ordni.

L-arloġġ tal-verifikatur jistħoqqlu l-istess eżami bħal dak tal-apparat. Server li s-sors tal-ħin tiegħu huwa miksur jiċħad kodiċi korretti mill-utenti kollha f’daqqa, u r-rapporti se jiddeskrivu waqfa f’daqqa minflok differenza. Dan il-mudell jistħoqqlu jintgħaraf, għax it-tiswija tiegħu tappartjeni lis-server u mhux lil mitt telefon.

X’jiswa t-twessigħ tat-tieqa

L-implimentazzjonijiet jistgħu jaċċettaw kodiċi mill-pass biswit biex jassorbu differenzi żgħar, u dik it-tolleranza hija deċiżjoni tad-disinn, mhux aġġustament b’xejn. Kull pass żejjed jimmultiplika n-numru ta’ valuri validi fi kwalunkwe mument, li huwa eżattament dak li jippreferi attakkant li jaqta’ bl-addoċċ. Ir-regola kontra t-tieni użu hija importanti għall-istess raġuni, għax kodiċi aċċettat darbtejn huwa kodiċi li nixxa b’mod utli. Amministratur li jwessa’ t-tieqa biex isikket l-ilmenti jbiddel proprjetà reali għal titjib kosmetiku.

Is-sewwa tal-arloġġ hija t-tiswija, filwaqt li t-twessigħ tat-tieqa huwa serħan. L-ewwel ineħħi l-kawża u t-tieni jaħbiha.

Iċċekkja ż-żewġ arloġġi qabel ma terġa’ tipprova

Aqra l-ħin fuq l-apparat u fuq is-server, u qabbel id-differenzi minflok il-ħinijiet lokali murija. Il-kmandi hawn taħt juru l-istat tas-sinkronizzazzjoni u l-mument UTC mhux maħdum fuq host jew server Linux. Mexxihom fiż-żewġ trufijiet qabel ma tbiddel kwalunkwe setting tal-awtentikazzjoni.

timedatectl
date -u +'%Y-%m-%dT%H:%M:%SZ'
chronyc tracking
timedatectl timesync-status

Differenza mkejla f’sekondi hija bla ħsara, waħda mkejla f’minuti tispjega ċaħda, u sistema li ma tirrappurtax sors ta’ sinkronizzazzjoni hija kandidata għat-tnejn. Qabbel iż-żewġ timestamps UTC direttament, għax il-ħin lokali jinkludi żona tal-ħin li l-algoritmu qatt ma jara. Jekk id-differenzi huma żgħar u l-kodiċi għadhom ifallu, waqqaf l-aġġustament tal-arloġġi u minflok eżamina l-entrata tar-reġistrazzjoni. Tentattivi ripetuti kontra kont imsakkar jagħmlu l-ħsara oriġinali aktar diffiċli biex tiġi osservata.

Irreġistra l-ħin taċ-ċaħda, id-differenza u t-test tal-iżball, u ħalli s-sigriet kondiviż barra minn dan. Is-support jista’ jaħdem bl-ewwel tlieta u qatt m’għandu jara r-raba’.