QRSA OTP Authentication

Sebastian Nielsen (sebbe.eu)‏

מידע על האפליקציה הזו

זוהי אפליקציה על מנת לאמת משתמשים באמצעות הטלפון הסלולרי שלהם, על ידי פענוח סיסמה חד-פעמית מוצפן על ידי השרת באמצעות מפתח ציבורי. האפליקציה היא שמישה עבור כל שירות אינטרנט מיישם שיטה זו של אימות.
(ראו את גשש GitHub לקבלת מידע נוסף על אופן היישום של אימות זה על-בצד השרת)
האפליקציה ניתן להשתמש עם מספר בלתי מוגבל של הצדדים להסתמך, כמו אותו מפתח ציבורי משמש עם כל הצדדים. ברגע שהאפליקציה נרשמה, האפליקציה יוצרת keypair מכשיר ספציפי כי קיים עבור החיים השלמים של האפליקציה (עד שהוסר שלה). עדכון האפליקציה לא ימחק את המפתח זאת.

Tracker Github: https://github.com/sebastiannielsen/QRSA

תנאים מוקדמים להפעלת האפליקציה:
1. הטלפון חייב לתמוך אחסון מבוסס חומרה. זהו אחסון המשתמשת "שבב אבטחה" בתוך הטלפון, מה שהופך אותו בלתי אפשרי להעתיק את המפתח לנתק את הטלפון.
2. חייב להיות מאותחל החנות. לפעמים שלה ניתן לאתחל את החנות על ידי הגדרת מסך נעילת PIN, ולאחר מכן פשוט יצירת מפתח. הסרת מסך הנעילה בדרך כלל תשמור את המפתח, אלא אם כן את מאפייני המפתח היה התקנה לדרוש מסך נעילה.
3. במקרים מסוימים, מסך מנעול מאובטח יש להשתמש. זה תלוי בדגם הטלפון.
4. השבב המאובטח בתוך טלפון, חייב לתמוך בפעולות מבוססות על 2048 קצת RSA / ECB / PKCS1.5
5. במקרים מסוימים, טלפון מושרש עלול להשבית את שבב האבטחה לצמיתות מסיבות ביטחוניות.

כדי להירשם, עליך להפעיל את qrsa URL: // e מדפדפן או similiar. אתה גם יכול להירשם באמצעות כתובת URL התקשרות, באמצעות qrsa: // u. כדי להשתמש u, תחילה עליך לצרף "ים" אם אתה רוצה להשתמש ב- HTTPS, או כל דבר אחר לצורך HTTP. אז את כתובת האתר כולו להיקרא, ללא אשרות עבודה, בפורמט URLSafe Base64. המפתח הציבורי יצורף בסופו של כתובת האתר. אם ההתקן אינו תואם, היא תחזיר INCOMPATIBLE_DEVICE שלה באחריותך להחזיר הודעת שגיאה משמעות למשתמש.

כדי לאמת, שתפעיל את qrsa url: // s או qrsa: // C ואחריו נתוני URLSafe Base64 מקודדים של הטקסט המוצפן המפתח הציבורי RSA ב הריפוד בפורמט :: OTP :: הודעה :: חשיש :: ריפוד. הפעולה "של" מיועדת אירועים נסרקים יוצגה כטקסט OTP על מסך. הפעולה "ג" מיועדת לאירועים קליק. ההבדל הוא כי האירועים לחץ יגרום קוד OTP שביקשה שיצרפו ללוח של המשתמש במקום, כך שהמשתמש יכול מיד להמשיך להדבקת הקוד בתוך שדה OTP.
חשיש הוא נבנה על ידי יצירת MD5 מתוך OTP + MESSAGE + OTP, שם + מציין שרשור מחרוזת. חשיש זה מגן מפני צורות מסוימות גסות של התקפות גמישות על הטקסט המוצפן. בניית הדחוקה מנע תוקף לנוע המפריד בין OTP ומסר.

ראוי לציין, כי צילומי המסך של היישום צונזר בכוונה למנוע הפרות זכויות מסחריות ו / או זכויות יוצרים (UI של אפליקציות אנדרואיד ואחרים זכויות יוצרים מוגנים), כאינטראקציה ביישום מסופקת באמצעות תיבה דו-שיח שמופיעה על גבי הקורא אפליקציה שגרמה האימות לקרות.

אם יש בעיות על האפליקציה, אתה יכול למצוא קוד לדוגמא נוספות והוראות בדף ציבור GitHub, כמו יישום זה הוא קוד פתוח.
כמו כן, אל תהססו ליצור כל בעיה בתצורה של גשש GitHub הציבור.

מה חדש

1.4:
- Added Md5 hash verification, to further protect against malleability attacks.
1.3:
- Improved code so the app can more reliable kill itself.
1.2:
- Added OTP into @string/app_name to match Google Play app name.
1.1:
- Changed enroll function to exclude linebreaks in the public key.
- Added new "u" enroll function. Read the description or GitHub page for more information. The "u" enroll function is recommended when enrolling from a computer.