QRSA OTP Authentication

Sebastian Nielsen (sebbe.eu)

Հավելվածի մասին

Սա ծրագիրը իսկությունը օգտվողների միջոցով իրենց բջջային հեռախոսով, decrypting մեկ անգամ գաղտնաբառը կոդավորված է սերվերի օգտագործելով հանրային բանալին. Հավելվածը օգտագործելի ցանկացած վեբ ծառայություն, որը իրականացնում է այս մեթոդը իսկությունը:
(Տես Github բուքսիր Լրացուցիչ տեղեկությունների համար, թե ինչպես պետք է իրականացնել այս իսկությունը սերվերի կողմում)
Հավելվածը կարող է օգտագործվել անսահմանափակ թվով վստահելի կողմերի, քանի որ նույն հանրային բանալին օգտագործվում է բոլոր կողմերի հետ: Երբ ծրագիրը կներգրավվի, ծրագիրը առաջացնում է սարքի հատուկ keypair, որը ներկա է ողջ կյանքի ընթացքում ծրագրում (մինչեւ իր ապատեղադրվել): Թարմացվում հավելվածը, չի ջնջել, բանալին, սակայն.

Github Tracker: https://github.com/sebastiannielsen/QRSA

Նախադրյալները վազում հավելվածը:
1. հեռախոսը պետք է աջակցի սարքավորումային հիմնված պահպանման. Սա մի պահեստային, որը օգտագործում է «Անվտանգության Chip» ներսում հեռախոսով, դարձնելով այն անհնար է պատճենել բանալին անջատել հեռախոսը:
2. Խանութը պետք է սկզբնավորված: Երբեմն հնարավոր է initialize խանութի կողմից ստեղծման PIN արգելափակման էկրանին, ապա պարզապես արտադրող բանալին. Հեռացնելով արգելափակման էկրանին սովորաբար պահում բանալին, քանի դեռ հիմնական հատկությունները էր setup է պահանջում արգելափակման էկրանին.
3. Որոշ դեպքերում, մի ապահով փական էկրան պետք է օգտագործվի: Սա կախված է հեռախոսի մոդելից.
4. ապահով Chip ներսում հեռախոսով, պետք է աջակցի գործողությունները հիմնված 2048 քիչ RSA / ԵԿԲ / PKCS1.5
5. Որոշ դեպքերում, մի արմատավորված հեռախոսը կարող է մշտապես անջատել անվտանգության chip անվտանգության նկատառումներով:

Է ցուցակագրել, դուք պետք է գործարկել URL qrsa: // E մի բրաուզերի կամ Առանձնատուն. Դուք կարող եք նաեւ անդամագրել միջոցով հետզանգի URL, օգտագործելով qrsa: // u. Է օգտագործել u, պետք է նախ կցել է "S", եթե դուք ուզում եք օգտագործել HTTPS, կամ որեւէ այլ բան HTTP: Այնուհետեւ ամբողջ URL կոչվելու, առանց սխեման, URLSafe base64 ձեւաչափով: Հասարակությունը բանալին կլինի կցված վերջ URL: Եթե ​​սարքը անհամատեղելի, ապա կվերադառնան INCOMPATIBLE_DEVICE ԵՎ ՆՐԱ ձեր պատասխանատվությունն է վերադարձնել մի իմաստալից սխալ ուղերձ է Օգտվողի մասին.

Նույնականացնել, դուք գործարկել url qrsa: // ի կամ qrsa: // C հաջորդում են URLSafe Base64 կոդավորված տվյալների RSA հանրային բանալին ծածկագրված տեքստը ձեւաչափով լիցք :: OTP :: ՈՒՂԵՐՁԸ :: կտրտել :: լիցք: «S» ակցիան, որը նախատեսված է սկանավորված իրադարձությունների եւ ցույց կտա, ինչպես OTP տեքստի վրա էկրանին. «C» ակցիան նախատեսված է սեղմեք միջոցառումներ: Տարբերությունն այն է, որ սեղմեք միջոցառումներ կառաջացնի OTP կոդը պետք է տեղադրել օգտագործողի clipboard փոխարեն, ուստի օգտագործողը անմիջապես կարող է անցնել pasting կոդը ներսում OTP դաշտում:
Կտրտել կողմից է կառուցվում ստեղծելով MD5 դուրս OTP + ՈՒՂԵՐՁԻՑ + մեկանգամյա օգտագործման գաղտնաբառի ուղարկման, որտեղ + նշանակում լարային concatenation: Այս կտրտել պաշտպանում որոշ կոպիտ ձեւերի malleability հարձակումների վրա կոդավորված տեքստի. The sandwiched շինարարությունը կանխում է հարձակվող շարժվում իրարից բաժանող միջեւ մեկանգամյա օգտագործման գաղտնաբառի ուղարկման եւ ուղերձ:

Նշենք, որ screenshots է ծրագիրը արդեն միտումնավոր գրաքննվում է կանխել ապրանքային եւ / կամ հեղինակային իրավունքի խախտումները (UI Android- ի եւ այլ apps են, հեղինակային իրավունքը պաշտպանված), քանի որ փոխգործակցությունը հավելվածի տրամադրվում միջոցով երկխոսության վանդակում, որը հայտնվում է վերեւում կոչման ծրագիրը, որը պատճառ իսկությունը պետք է տեղի ունենա.

Եթե ​​կա որեւէ հարց է ծրագրում, դուք կարող եք գտնել Օրինակ կոդը եւ ավելի հրահանգներ Հանրային GitHub էջում, քանի որ այս ծրագիրը Open Source:
Բացի այդ, զգալ ազատ է ստեղծել ցանկացած հարցեր հանրային Github բուքսիր.

Ինչ նոր բան կա

1.4:
- Added Md5 hash verification, to further protect against malleability attacks.
1.3:
- Improved code so the app can more reliable kill itself.
1.2:
- Added OTP into @string/app_name to match Google Play app name.
1.1:
- Changed enroll function to exclude linebreaks in the public key.
- Added new "u" enroll function. Read the description or GitHub page for more information. The "u" enroll function is recommended when enrolling from a computer.