QRSA OTP Authentication

Sebastian Nielsen (sebbe.eu)

Rakenduse teave

See on app autentida kasutajaid kaudu oma mobiiltelefoni, dekrüptides ühekordne parool krüpteeritud serveri avaliku võtmega. Rakendus on kasutatav mis tahes veebiteenus, mis rakendab seda meetodit autentimist.
(Vt github tracker rohkem teavet selle kohta, kuidas rakendada seda autentimise server-side)
Rakendus saab kasutada piiramatu arv tuginedes poolte sama avalikku võtit kasutatakse kõigi osapooltega. Kui rakendus on registreerunud, app genereerib seade-spetsiifilisi võtmepaari, mis on olnud kogu eluaja jooksul app (kuni selle paigaldamata). Uuendamine app ei kustuta võti aga.

Github Tracker: https://github.com/sebastiannielsen/QRSA

Eeldused töötab app:
1. telefon peab toetama riistvara põhine säilitus-. See on ladustamine mis kasutab "turvalisuse kiip" telefoni sees, mis muudab võimatuks kopeerida võti telefonist.
2. poodi tuleb vormindatud. Mõnikord on võimalik initsialiseerida poodi luues PIN lock ekraani ja siis lihtsalt tekitama võti. Eemaldamine lukustuskuva tavaliselt hoida klahvi, välja arvatud juhul, Põhiomadusteks oli setup nõuda lukk ekraan.
3. Teatud juhtudel on turvaline lukk ekraan tuleb kasutada. See sõltub telefoni mudelist.
4. turvaline kiibile telefoni, peab toetama põhinevate 2048 bit RSA / EKP / PKCS1.5
5. mõnel juhul juurdunud telefoni võib püsivalt blokeerida turvalisuse kiip turvakaalutlustel.

Et registreeruda, siis tuleb käivitada URL qrsa: // e alates brauseri või sarnane. Samuti saab registreeruda kaudu kutse URL, mida kasutades qrsa: // u. Et kasutada u, siis tuleb kõigepealt lisab "s", kui soovid kasutada HTTPS, või midagi muud HTTP. Siis kogu URL, mida nimetatakse ilma skeemi, nii URLSafe BASE64 vormingus. Avalik võti on lisatud lõpuni URL. Kui seade ei sobi, siis taastub INCOMPATIBLE_DEVICE ja tema teie kohustus tagastada sisukas veateate kasutaja.

Autentida, siis käivitada url qrsa: // s või qrsa: // c järgneb URLSafe Base64 andmed RSA avaliku võtme krüpteeritud teksti kujul PADDING :: OTP :: SÕNUM :: HASH :: PADDING. NN "s" tegevus on mõeldud skaneeritud sündmusi ja näitab nagu OTP teksti ekraanil. «C» tegevus on mõeldud klikisündmused. Erinevus on selles, et klikisündmused paneb OTP koodi panna kasutaja lõikelauale asemel, et kasutaja kohe saab sõita kleepida koodi sees OTP valdkonnas.
Räsi on ehitatud luues md5 välja OTP + message + OTP, kus + tähendab stringi liitmise tehe. See HASH kaitseb mõned töötlemata vormid deformeeritavus rünnakud krüpteeritud teksti. Asuvast ehitus takistab ründaja liigub eraldaja OTP ja sõnumi.

Pange tähele, et ekraanikuvasid app on tahtlikult tsenseeritud et vältida kaubamärgi ja / või autoriõiguse rikkumise (UI Android ja teised rakendused on autoriõigusega kaitstud), kui suhtlemist app on sätestatud kaudu dialoog, mis ilmuvad peal helistaja rakendus, mis põhjustas autentimise juhtuda.

Kui on mingeid küsimusi app, võite leida näiteks kood ja juhised avalike GitHub lehele, sest see app on avatud lähtekoodiga.
Samuti võite luua mingeid probleeme avalikus github tracker.

Mis on uut?

1.4:
- Added Md5 hash verification, to further protect against malleability attacks.
1.3:
- Improved code so the app can more reliable kill itself.
1.2:
- Added OTP into @string/app_name to match Google Play app name.
1.1:
- Changed enroll function to exclude linebreaks in the public key.
- Added new "u" enroll function. Read the description or GitHub page for more information. The "u" enroll function is recommended when enrolling from a computer.