QRSA OTP Authentication

Sebastian Nielsen (sebbe.eu)

เกี่ยวกับแอปนี้

นี้เป็น app ที่จะตรวจสอบผู้ใช้ผ่านทางโทรศัพท์มือถือของพวกเขาโดยการถอดรหัสรหัสผ่านครั้งเดียวเข้ารหัสโดยเซิร์ฟเวอร์โดยใช้กุญแจสาธารณะ app ที่ใช้งานได้สำหรับบริการเว็บใด ๆ ที่ใช้วิธีการตรวจสอบนี้
(ดูติดตาม GitHub สำหรับข้อมูลเพิ่มเติมเกี่ยวกับวิธีการใช้การตรวจสอบนี้ในฝั่งเซิร์ฟเวอร์)
app ที่สามารถนำมาใช้กับไม่ จำกัด จำนวนของบุคคลที่อาศัยเป็นคีย์สาธารณะเดียวกันจะใช้กับทุกฝ่าย เมื่อแอปมีการลงทะเบียน, app สร้าง keypair เฉพาะอุปกรณ์ที่มีอยู่สำหรับทั้งชีวิตของ app (จนกระทั่งยกเลิกการติดตั้งของมัน) การอัปเดตแอปจะไม่ลบที่สำคัญอย่างไร

GitHub ติดตาม: https://github.com/sebastiannielsen/QRSA

ข้อกำหนดเบื้องต้นสำหรับการใช้ app:
1. โทรศัพท์จะต้องสนับสนุนการจัดเก็บตามฮาร์ดแวร์ นี่คือการจัดเก็บข้อมูลที่ใช้ "ความปลอดภัยชิป" ในโทรศัพท์ทำให้มันเป็นไปไม่ได้ที่จะคัดลอกกุญแจสำคัญในการปิดโทรศัพท์
2. การจัดเก็บจะต้องเริ่มต้น บางครั้งเป็นไปได้ในการเริ่มต้นการจัดเก็บโดยการตั้งค่าหน้าจอล็อครหัส PIN และแล้วก็สร้างคีย์ ถอดล็อคหน้าจอมักจะเก็บกุญแจเว้นแต่คุณสมบัติที่สำคัญคือการตั้งค่าที่จะต้องใช้ล็อคหน้าจอ
3. ในบางกรณีล็อคหน้าจอที่มีความปลอดภัยจะต้องใช้ นี้ขึ้นอยู่กับรุ่นโทรศัพท์
4. ชิปที่เชื่อถือได้ในโทรศัพท์จะต้องสนับสนุนการดำเนินงานขึ้นอยู่กับอาร์เอส 2048 บิต / ECB / PKCS1.5
5. ในบางกรณีโทรศัพท์รากอย่างถาวรอาจปิดการใช้ชิปรักษาความปลอดภัยสำหรับเหตุผลด้านความปลอดภัย

การลงทะเบียนคุณต้องเปิด qrsa URL: // E จากเบราว์เซอร์หรือคล้ายกัน นอกจากนี้คุณยังสามารถลงทะเบียนผ่านทาง URL เรียกกลับโดยใช้ qrsa: // U หากต้องการใช้ U แรกคุณจะต้องผนวก "S" ถ้าคุณต้องการที่จะใช้ HTTPS หรือสิ่งอื่นสำหรับ HTTP จากนั้น URL ทั้งหมดที่จะถูกเรียกโดยไม่มีโครงการในรูปแบบ URLSafe Base64 คีย์สาธารณะจะถูกผนวกต่อท้าย URL หากอุปกรณ์ที่เข้ากันไม่ได้ก็จะกลับ INCOMPATIBLE_DEVICE และความรับผิดชอบของคุณจะกลับมาเป็นข้อผิดพลาดที่มีความหมายให้กับผู้ใช้

ในการตรวจสอบคุณเปิด qrsa URL: // หรือ qrsa: // C ตามด้วย URLSafe Base64 เข้ารหัสข้อมูลของข้อความคีย์สาธารณะ RSA เข้ารหัสใน PADDING รูปแบบ OTP :: :: ข้อความ :: กัญชา :: PADDING "S" การกระทำที่ถูกออกแบบมาสำหรับการจัดกิจกรรมการสแกนและจะแสดงเป็นข้อความ OTP บนหน้าจอ "C" การกระทำที่ถูกออกแบบมาสำหรับการคลิกเหตุการณ์ แตกต่างก็คือกิจกรรมการคลิกจะทำให้รหัส OTP ที่จะใส่ในคลิปบอร์ดของผู้ใช้แทนเพื่อให้ผู้ใช้ทันทีที่สามารถดำเนินการวางโค้ดภายในสนาม OTP
กัญชาถูกสร้างโดยการสร้าง md5 ออกจากสนข + ข้อความ + OTP ที่ไหน + หมายถึงสตริง กัญชานี้ป้องกันบางรูปแบบคร่าวๆของการโจมตีดัดแปลงเกี่ยวกับข้อความที่เข้ารหัส การก่อสร้างแซนวิชช่วยป้องกันการโจมตีจากการเคลื่อนย้ายคั่นระหว่าง OTP และข้อความ

โปรดทราบว่าภาพหน้าจอของแอปที่ได้รับการตรวจสอบโดยเจตนาเพื่อป้องกันไม่ให้เป็นเครื่องหมายการค้าและ / หรือลิขสิทธิ์การละเมิด (UI ของ Android และอื่น ๆ ปพลิเคชันที่มีการป้องกันลิขสิทธิ์) เช่นการทำงานร่วมกันในการตรวจสอบที่มีให้ผ่านกล่องโต้ตอบที่ปรากฏอยู่ด้านบนของการโทร แอปที่ก่อให้เกิดการตรวจสอบที่จะเกิดขึ้น

หากมีปัญหาใด ๆ กับ app, คุณสามารถค้นหาโค้ดตัวอย่างและคำแนะนำเพิ่มเติมเกี่ยวกับหน้า GitHub สาธารณะเป็น app นี้เป็นโอเพนซอร์ส
นอกจากนี้ยังรู้สึกอิสระที่จะสร้างปัญหาใด ๆ ในการติดตาม GitHub สาธารณะ

มีอะไรใหม่

1.4:
- Added Md5 hash verification, to further protect against malleability attacks.
1.3:
- Improved code so the app can more reliable kill itself.
1.2:
- Added OTP into @string/app_name to match Google Play app name.
1.1:
- Changed enroll function to exclude linebreaks in the public key.
- Added new "u" enroll function. Read the description or GitHub page for more information. The "u" enroll function is recommended when enrolling from a computer.