QRSA OTP Authentication

Sebastian Nielsen (sebbe.eu)

ამ აპის შესახებ

ეს არის აპლიკაცია, სინამდვილის წევრებს მეშვეობით მათი მობილური ტელეფონის მიერ ამოცნობის ერთჯერადი პაროლი დაშიფრული სერვერზე გამოყენებით საჯარო გასაღები. ოთახი არის გამოსადეგი ნებისმიერი ვებ მომსახურება, რომელიც ახორციელებს ამ მეთოდით ავტორიზაციის.
(იხილეთ github tracker მეტი ინფორმაცია იმის შესახებ, თუ როგორ უნდა განახორციელოს ამ ავტორიზაციის სერვერული)
App შეიძლება გამოყენებულ იქნას შეუზღუდავი რაოდენობის დაყრდნობით პარტიების, იგივე საჯარო გასაღები გამოიყენება ყველა მხარეს. მას შემდეგ, რაც app ჩაირიცხა, app წარმოშობს მოწყობილობის სპეციფიკური keypair, რომელიც არის მთელი სიცოცხლის app (სანამ მისი წაშლა). განახლება app არ წაშალოს გასაღები გულშემატკივარს.

Github Tracker: https://github.com/sebastiannielsen/QRSA

წინაპირობა გაშვებული ოთახი:
1. ტელეფონი მხარი უნდა დაუჭიროს ტექნიკის საფუძველზე შენახვა. ეს არის შენახვის, რომელიც იყენებს "უსაფრთხოების Chip" შიგნით ტელეფონი, რაც შეუძლებელს კოპირება გასაღები off ტელეფონი.
2. მაღაზიაში უნდა იყოს ინიცირებული. ზოგჯერ შესაძლებელია ინიციალიზაცია მაღაზიის შექმნის PIN lock screen, და შემდეგ უბრალოდ მომტანი გასაღები. მოხსნის lock screen, როგორც წესი, შენარჩუნება გასაღები, თუ გასაღები თვისებები იყო კონფიგურაცია მოითხოვს lock screen.
3. ზოგიერთ შემთხვევაში, უსაფრთხო lock screen უნდა იქნას გამოყენებული. ეს არის დამოკიდებული ტელეფონის მოდელი.
4. უსაფრთხო ჩიპი ტელეფონი, მხარი უნდა დაუჭიროს ოპერაციების საფუძველზე 2048 bit RSA / ECB / PKCS1.5
5. ზოგიერთ შემთხვევაში, შერწყმულია ტელეფონი შეიძლება მუდმივად გაუქმდება უსაფრთხოების ჩიპი უსაფრთხოების მიზნით.

რათა ისწავლოთ, უნდა დაიწყოს URL qrsa: // e ბრაუზერის ან similiar. ასევე შეგიძლიათ ისწავლოთ მეშვეობით გადმორეკე URL, გამოყენებით qrsa: // u. იმისათვის, რომ გამოიყენოთ u, თქვენ უნდა დაურთოს ა "s" თუ გსურთ გამოიყენოთ HTTPS, ან არაფერი, HTTP. მაშინ მთელი URL ეწოდოს, გარეშე სქემა, URLSafe Base64 ფორმატში. საჯარო გასაღები იქნება დაერთოს ბოლომდე URL. თუ მოწყობილობა შეუთავსებელია, დაუბრუნდება INCOMPATIBLE_DEVICE და თქვენი პასუხისმგებლობა დაბრუნების მნიშვნელოვანი შეცდომა შესახებ.

სინამდვილის, თქვენ დაიწყოს url qrsa: // ან qrsa: // c მოჰყვა URLSafe Base64 კოდირებით მონაცემები საჯარო გასაღები RSA დაშიფრული ტექსტი ფორმატში padding :: OTP :: MESSAGE :: hash :: padding. "S" აქცია განკუთვნილია დასკანირებული მოვლენები და გამოჩნდება, როგორც OTP ტექსტი ეკრანზე. "C" აქცია განკუთვნილია click მოვლენები. განსხვავება ისაა, რომ დაწკაპუნებით მოვლენების გამოიწვევს ერთჯერადი კოდი ჩაიდოს მომხმარებლის clipboard ნაცვლად, ასე რომ, მომხმარებელს მაშინვე შეგიძლიათ გააგრძელოთ pasting კოდი შიგნით პროკურატურის სფეროში.
სახელწოდება აგებულია შექმნით md5 გარეთ OTP + MESSAGE + OTP, სადაც + ნიშნავს string გაერთიანების. ამ hash იცავს ზოგიერთი უხეში ფორმები malleability თავდასხმების დაშიფრული ტექსტი. მოქცეული მშენებლობა ხელს უშლის თავდამსხმელი მოძრავი გამყოფი შორის OTP და გაგზავნა.

გაითვალისწინეთ, რომ ეკრანის app უკვე შეგნებულად ცენზურა, რომ თავიდან ავიცილოთ სასაქონლო ნიშნის ან / და საავტორო დარღვევები (UI Android და სხვა apps საავტორო დაცული), როგორც ურთიერთქმედების ოთახი მეშვეობით დიალოგური ფანჯარა, რომელიც, როგორც ჩანს, თავზე ნომრებზე app, რამაც ავტორიზაციის უნდა მოხდეს.

თუ არსებობს რაიმე საკითხი, app, შეგიძლიათ მაგალითად კოდი და ინსტრუქციები საჯარო GitHub გვერდზე, როგორც ეს ოთახი არის ღია.
ასევე, შეგიძლიათ შექმნათ რაიმე საკითხებზე საჯარო github ისტორიაზე.

რა არის ახალი

1.4:
- Added Md5 hash verification, to further protect against malleability attacks.
1.3:
- Improved code so the app can more reliable kill itself.
1.2:
- Added OTP into @string/app_name to match Google Play app name.
1.1:
- Changed enroll function to exclude linebreaks in the public key.
- Added new "u" enroll function. Read the description or GitHub page for more information. The "u" enroll function is recommended when enrolling from a computer.