QRSA OTP Authentication

Sebastian Nielsen (sebbe.eu)

Tietoa sovelluksesta

Tämä on app käyttäjien tunnistamiseen kautta matkapuhelin, purkamalla kertaluonteinen salasana salataan palvelimelle käyttäen julkista avainta. Sovellus on käyttökelpoinen tahansa web-palvelu, joka toteuttaa tätä menetelmää todentamisen.
(Katso github tracker lisätietoja miten tätä tunnistautumiseen palvelinpuolen)
Sovellus voi käyttää rajattomasti luottavien osapuolten, koska sama julkista avainta käytetään kaikkien osapuolten kanssa. Kun sovellus on rekisteröity, sovellus luo laitekohtainen avainpari, joka on läsnä koko eliniän sovelluksen (ennen sen asennuksen). Päivittäminen sovellus ei poista avain kuitenkin.

Github Tracker: https://github.com/sebastiannielsen/QRSA

Edellytykset käynnissä app:
1. Puhelimen on tuettava korttiin perustuva varastointi. Tämä on varasto, joka käyttää "turvapiirin" puhelimen sisällä, joten on mahdotonta kopioida avaimen pois puhelimesta.
2. Kauppa on alustettava. Joskus sen mahdollista alustaa tallentaa perustamalla PIN lukitusnäytöllä, ja sitten vain tuottaa avaimen. Irrottaminen lukitusnäytön yleensä pitää avain, ellei avain kohteissa oli setup vaatia lukitusnäyttöön.
3. Joissakin tapauksissa turvallinen lukitusruutu on käytettävä. Tämä riippuu puhelimen mallista.
4. turvallinen siru sisällä puhelin, on tuettava toiminta perustuu 2048 bit RSA / EKP / PKCS1.5
5. Joissakin tapauksissa juurtunut puhelin voi pysyvästi poistaa turvapiirin turvallisuussyistä.

Ilmoittautua, sinun täytyy käynnistää URL qrsa: // e selaimella tai samanlainen. Voit myös ilmoittautua kautta kutsuosoite käyttämällä qrsa: // u. Jos haluat käyttää u, sinun täytyy ensin oheistaa "s", jos haluat käyttää HTTPS, tai jotain muuta HTTP. Sitten koko URL kutsua ilman järjestelmää, vuonna URLSafe Base64-muodossa. Julkinen avain on liitteenä loppuun URL. Jos laite ei sovellu, se palaa INCOMPATIBLE_DEVICE ja sen sinun vastuullasi palauttaa mielekästä virheilmoituksen käyttäjälle.

Todentamiseen, käynnistät url qrsa: // s tai qrsa: // c seurasi URLSafe Base64 koodatun datan RSA julkisen avaimen salattu teksti muodossa PADDING :: OTP :: VIESTI :: HASH :: PADDING. "S" toiminta on suunniteltu skannataan tapahtumia ja näyttää kuin OTP tekstiä ruudulla. "C" toiminta on suunniteltu klikkaustapahtumat. Erona on, että klikkaustapahtumat aiheuttaa OTP koodi pantavaksi käyttäjän leikepöydälle sen sijaan, joten käyttäjä heti voi edetä liittänyt koodin sisällä OTP kenttään.
HASH on rakennettu luomalla md5 ulos OTP + VIESTI + OTP, jossa + tarkoittaa merkkijonoyhdistämistä. Tämä HASH suojaa joitakin karkeita muotoja muokattavuus hyökkäyksiä salattu teksti. Alumiinifoliota rakenne estää hyökkääjä siirtymästä erottimen välillä OTP ja VIESTI.

Huomaa, että kuvakaappaukset sovelluksen on tarkoituksellisesti sensuroitu estää tavaramerkin ja / tai tekijänoikeusrikkomusten (UI androidi ja muut sovellukset ovat kopiosuojattuja), koska vuorovaikutus sovelluksen on säädetty kautta valintaikkuna, jotka näkyvät päälle kutsuvan sovellus, joka aiheutti todennus tapahtuu.

Jos on mitään ongelmia app, löytyy esimerkiksi koodin ja lisää ohjeita yleisölle GitHub sivun, koska tämä sovellus on Open Source.
Myös vapaasti luoda mitään ongelmia julkisen GitHub tracker.

Uutta

1.4:
- Added Md5 hash verification, to further protect against malleability attacks.
1.3:
- Improved code so the app can more reliable kill itself.
1.2:
- Added OTP into @string/app_name to match Google Play app name.
1.1:
- Changed enroll function to exclude linebreaks in the public key.
- Added new "u" enroll function. Read the description or GitHub page for more information. The "u" enroll function is recommended when enrolling from a computer.