Загадочная двуфакторная авторизация гугла
Думаю, гугл аккаунт у вас уже переключен в режим двуфакторной авторизации? (http://support.google.com/accounts/bin/answer.py?hl=en&answer=180744) Если нет - рекомендую.
Что собой представляет код, который вводится с приложения?
Магии нет - это не более чем реализация RFC6238:
http://tools.ietf.org/html/rfc6238
This document describes an extension of the One-Time Password (OTP) algorithm, namely the HMAC-based One-Time Password (HOTP) algorithm, as defined in RFC 4226, to support the time-based moving factor. The HOTP algorithm specifies an event-based OTP algorithm, where the moving factor is an event counter. The present work bases the moving factor on a time value. A time-based variant of the OTP algorithm provides short-lived OTP values, which are desirable for enhanced security. The proposed algorithm can be used across a wide range of network applications, from remote Virtual Private Network (VPN) access and Wi-Fi network logon to transaction-oriented Web applications. The authors believe that a common and shared algorithm will facilitate adoption of two-factor authentication on the Internet by enabling interoperability across commercial and open-source implementations.
Пройдемся по алгоритму (криптографические ньюансы оставим rfc, просто по реализации).
1. Допустим, секретный код в base32 у нас GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQ
2. Этот же код в виде строки в десятичном представлении:
3. Основой изменяющегося кода у нас является время, а точнее его интервалы по 30 секунд.
Берем текущий Unix Time Stamp:
UnixTimeStamp (time()/30): 44376117.366667
И считаем HOTP - основанный на HMAC одноразовый пароль (http://en.wikipedia.org/wiki/HOTP)
4. По подсчетам 6-ти значного кода:
Берем целую часть 44376117 представляем в виде hex 2a52035
5(35)
(20)
¥(a5)
(2)
0
0
0
0
Если hex строка меньше 16 символов, добавляем паддинг из 0 символов слева.
Теперь считаем sha1 HMAC(Hash-based Message Authentication Code http://en.wikipedia.org/wiki/HMAС )
hash_hmac ('sha1', 'строка выше', 12345678901234567890)
Результат: af2b88048dc8979b528af4e37085061d88aaaaa5
hash_hmac это криптографическая функция, которая есть в любой криптографической библиотеке.
Заставлять пользователя вводить такой замечательный результат - оригинально.
Давайте его приведем к обычной последовательности из 6 цифр:
Шаг А: Превращаем в массив hex чисел
Array ( [0] => af [1] => 2b [2] => 88 [3] => 04 [4] => 8d [5] => c8 [6] => 97 [7] => 9b [8] => 52 [9] => 8a [10] => f4 [11] => e3 [12] => 70 [13] => 85 [14] => 06 [15] => 1d [16] => 88 [17] => aa [18] => aa [19] => a5 )
Шаг B: Превращаем в массив с десятичными эквивалентами
Array ( [0] => 175 [1] => 43 [2] => 136 [3] => 4 [4] => 141 [5] => 200 [6] => 151 [7] => 155 [8] => 82 [9] => 138 [10] => 244 [11] => 227 [12] => 112 [13] => 133 [14] => 6 [15] => 29 [16] => 136 [17] => 170 [18] => 170 [19] => 165 )
Шаг C: Берем 19-й элемент (в данном случае 165) и накладываем на него & по маске 0xf в данном случае результат: 5
Теперь, согласно rfc считаем формулу
(hmac_result[offset+0] & 0x7f) << 24 = 200& 0x7f) << 24 = 11001000&100100111<< 24 = 1001000 << 24 =1001000000000000000000000000000=1207959552
(hmac_result[offset+1] & 0xff) << 16 = 151& 0xff) << 16 = 10010111&1001010101<< 16=10111 << 16 = 100101110000000000000000 (hmac_result[offset+2] & 0xff) << 8 = 155& 0xff) << 8 = 10011011&1001010101<< 8=10111 << 16 = 1001101100000000
(hmac_result[offset+3] & 0xff) = 82& 0xff) = 1010010&1001010101=10111 << 16 =1010010
1001000000000000000000000000000 | 100101110000000000000000 | 1001101100000000 | 1010010 = 1001000100101111001101101010010 = 1217895250
Шаг D: берем получившееся число 1217895250 и делим его по модулю на 10 в степени длина кода который нам нужен (для 6 1000000).
Делим - получается 1217.89525, и соотвественно искомый остаток - 895250.
Это и есть число, которое генерирует,в частности, Google Authenticator.
Результатом Proof of concept может быть реализация того же алгоритма на javascript в виде offline html5 application. И, соответственно, реализация веб админки с дополнительным уровнем security при входе либо с использованием гугл клиента, либо с написанием собственой реализации, например с брендированием и т.п.
ellievsbear
jbbartram-illu
blakekathryn
dededos