Hogyan működik a Blizzard Authenticator?

[link]

A lényeg, hogy több módszer is van ilyenek generálására.

2 fő, gyakori fajta az idő és a számláló alapú.

A lényege, hogy egy adott pillanatban tudható egy érték, ebből generálja a számsorozatot, amit a szerver is legenerál és ellenőriz. Ennyi.

Pl.:

Számláló alapú:

Szerveren: 1

Token: 1

Ha a tokenen megnyomod a gombot, legenerálja a számot.

Beírod, ha sikerült a belépés a szerveren is nő egyet a számláló. -> Ha ezek szinkronban változnak, akkor lehet olyan jelszót generálni, ami 1* érvényes, 1 loginra.

(Mert ugye a számláló változik.)

De persze ott van, hogy mi van akkor, ha kiesik a szinkronból a cucc. Nos ilyenkor ált. 2-3 érték bekérésével a szerver oldalon ki lehet találni, hogy mennyin kell lennie a számlálónak.

Az idő alapú is ilyen, az adott időpillanatban generálódik a cucc. Az ellenőrzéskor pedig egy (mivel írtad is) 30 seces ráhagyással ellenőrzi. Ha stimmel, elfogadja.

Mind 2 módszernél van amúgy egy titkos kulcs is, hogy egyedi legyen a kód.

Tehát valahogy úgy állítja elő a számokat, hogy van neki egy titkos kulcsa és a számláló értéke.

Azért biztonságos ez mert a kulcs mellett a változó érték miatt nem lehet visszakövetkeztetni, hogy mi volt eredetileg. (Vagyis nem lesz tudható a kulcs.)

A Google is csinált ilyen 2 lépcsős azonosítást, telóra le lehet tölteni, az is 30 seces.

Nem rég írtam is egy python próba kódot egy idő alapú OTP generálásra, itt van: [link]