QRSA OTP Authentication

Sebastian Nielsen (sebbe.eu)

O tej aplikaciji

To je aplikacija za avtentikacijo uporabnikov prek svojega mobilnega telefona, ki ga dešifriranjem enkratno geslo, ki ga strežnik z uporabo javnega ključa šifrirano. Aplikacija je uporabna za vse spletne storitve, ki izvaja ta način preverjanja pristnosti.
(Glej GitHub sledilnik za več informacij o tem, kako izvajati to overjanja strani strežnika)
Aplikacija se lahko uporablja z neomejenim številom opirajo stranke, se ista javni ključ se uporablja z vsemi strankami. Ko je aplikacija vpisanih, aplikacija generira par ključev, specifične za napravo, ki je prisoten za celotno življenjsko dobo aplikacije (do njegove odstranjen). Posodabljanje aplikacijo, ne bo izbrisalo ključ vendar.

GitHub Tracker: https://github.com/sebastiannielsen/QRSA

Predpogoji za zagon aplikacije:
1. Telefon mora podpirati strojne opreme za shranjevanje, ki temelji. To je za shranjevanje, ki uporablja "varnostni čip" v notranjosti telefona, zaradi česar je nemogoče, da bi kopirali ključ s telefona.
2. Trgovina treba inicializirati. Včasih njegova mogoče inicializirati trgovino z vzpostavitvijo zaklepanje zaslona PIN in potem samo ustvarja ključ. Odstranjevanje zaslona za zaklepanje običajno vodi ključ, če je ključni lastnosti nastavitev zahtevati zaklepanje zaslona.
3. V nekaterih primerih je treba uporabiti zaklenjenem zaslonu. To je odvisno od modela telefona.
4. varen čip v notranjosti telefona, morajo podpirati dejavnosti, ki temelji na 2048 bit RSA / ECB / PKCS1.5
5. V nekaterih primerih lahko zakoreninjena telefon trajno onemogoči varnostni čip iz varnostnih razlogov.

Vpisati, morate zagnati qrsa URL: // e od brskalnika ali podoben klasičnim. Prav tako lahko vpišejo preko URL za povratni klic, s pomočjo qrsa: // u. Za uporabo u, morate najprej priloži "S", če želite uporabljati HTTPS, ali karkoli drugega za HTTP. Potem je celotna URL se imenuje, brez sistema, v obliki URLSafe Base64. Javni ključ bo dodan na konec URL. Če je naprava združljiva, se bo vrnil INCOMPATIBLE_DEVICE in vaša odgovornost, da se vrnete smiselno sporočilo o napaki za uporabnika.

Za preverjanje pristnosti, zaženete url qrsa: // s ali qrsa: // c sledi URLSafe base64 kodirane podatke šifrirano besedilo RSA javni ključ v obliki oblazinjenje :: OTP :: SPOROČILO :: HASH :: oblazinjenja. "S" ukrep je namenjen za skenirane dogodkov in prikazati kot OTP besedila na zaslonu. "C" ukrep je namenjen za klik dogodkov. Razlika je, da klik dogodkov povzroči koda OTP je treba dati v uporabnikovem odložišče namesto, da uporabnik takoj lahko nadaljujete z prilepite kodo znotraj področja OTP.
HASH je zgrajena z ustvarjanjem md5 iz OTP + message + OTP, kjer + označuje niz združevanje. Ta HASH ščiti pred zelo težke oblike raztegljivost napadov na šifriranega besedila. Sendvič konstrukcija preprečuje, da bi napadalec iz premikanjem ločilo med OTP in sporočilo.

Ugotavlja, da je bila zaslona aplikacije namerno cenzurirani za preprečevanje kršitev glede blagovne znamke in / ali avtorskih pravic (vmesnik za Android in druge aplikacije so avtorsko zaščitene), saj je interakcija v aplikaciji na voljo prek pogovornega okna, ki se pojavljajo na vrhu kliče aplikacija, ki je povzročil za preverjanje pristnosti, da se zgodi.

Če obstaja kakršna koli vprašanja o aplikaciji lahko najdete primer kodo in več navodil o javnem GitHub strani, kot je ta aplikacija je Open Source.
Prav tako vas prosimo, da ustvarite težav v javnem GitHub tracker.

Kaj je novega

1.4:
- Added Md5 hash verification, to further protect against malleability attacks.
1.3:
- Improved code so the app can more reliable kill itself.
1.2:
- Added OTP into @string/app_name to match Google Play app name.
1.1:
- Changed enroll function to exclude linebreaks in the public key.
- Added new "u" enroll function. Read the description or GitHub page for more information. The "u" enroll function is recommended when enrolling from a computer.