Passworte: eierlegende Wollmilchsau gesucht

[Rollo62]

Ja danke für die Links, da gibt es auch das schöne Live-Demo.

Die Frage bleibt bei mir aber offen, was wenn kein Internet und Anlage und Handy komplett andere Datetime gesetzt haben ( Offline-Betrieb ).
Z.B. Anlage 11.06.22 14:00 und Handy 12.08.22 17:00

Ich habe das TOTP nicht im Detail gecheckt, aber ich bin aber immer davon ausgegangen das ein Timeserver oder zumindest eine einigermaßen verlässliche, gemeinsame Uhrzeit vorhanden sein muss.
Siehe auch hier mal in einfachen Worten

Vermutlich kann man dann nur noch HOTP mit einem Zähler benutzen, was aber auch Nachteile hat.

Eine Idee wäre der URI einfach die aktuelle Datetime der Anlage mitzusenden, welche dann der Authenticator nutzen kann.
Ich vermute mal mit der offenen Parameterbeschreibung wäre es möglich weitere, kundenspezifische Parameter anzuhängen.

Oder braucht das Handy zum Entschlüsseln die Datetime gar nicht zu wissen ?

[rabatscher]

TOTP ist ja Zeitbasiert und naja es ist ja das Ziel den SHA-1 hash mit key und counter zu errechnen wobei counter
Zeitbasiert ist - konkret die Unix UTC Zeit modulo der Periode.
Die "Windowsize" ist ja dazu da um nicht ganz gleich laufende Systeme zu unterstützen aber bei
Stunden wenn nicht Tagen macht das Verfahren ja wenig Sinn.

Also entweder den counter selbst immer um eins hochzählen wenn die Eingabe gemacht wurde oder
evt. noch besser: Einen Fido Key nehmen das ist grad das so ziemlich Sicherste was es gibt.
Das Funktioniert dann auch ganz ohne Passwort bzw. man muss es nur beim Erstellen angeben wenn gewünscht
-> also einstecken, draufdrücken, fertig

[Uwe Raabe]

Zitat von rabatscher:

-> also einstecken, draufdrücken, fertig

Kann man das auch zum Laufen bringen, wenn der Service-Techniker z.B. per Remote-Desktop oder TeamViewer auf das System geht?

[rabatscher]

Der Guide besagt, dass User Authentication (pin) und
oder User Presence (also drücken des Keys) benutzt werden können. Also ein Pin reicht prinzipiell bzw.
auch ein einfaches drücken.

WebAuthn ist ja eigentlich auch fürs Web konzipiert und auch in allen aktuellen Browsern implementiert (über die Webauthn.dll).

Das Ding ist nur... wenn die Zeit nicht aktuell ist, dann wird er auch kein Internet haben also in diesem Fall muss ein Techniker vor Ort sein.

[HolgerX]

Hmm...

Wenn die Uhrzeiten nicht übereinstimmen, kann es eigentlich nicht funktionieren (TOTP) und Webbasierende Authendkeys gehen wegen fehlendem Internet nicht.

Alternativ kannst Du Dir deine eigene, angepasste TOTP KeyGen-Routine erstellen, bei der nicht die Uhrzeit des lokalen Systems genommen wird, sondern eine übergebene.

Der Techniker muss dann in der HandyApp neben dem OQ-Code z.B. eine zusätzlich angezeigte Uhrzeit mit angeben, welche dann für den KeyGen verwendet wird, oder dein QRCode enthält zusätzlich die Uhrzeit zum Einscannen mit der Handy-App.

Da beide Seiten (Maschinen und Handy-App) von Dir kommen, kannst Du hier ja beliebig erweitern.

Kannst dann zwar keine fertigen Tools für TOTP verwenden, aber die Implementierung in Delphi und deiner App ist simpel und kannst Du als Source im Netz finden.

[dummzeuch]

Zitat von HolgerX:

Da beide Seiten (Maschinen und Handy-App) von Dir kommen, kannst Du hier ja beliebig erweitern.

Kannst dann zwar keine fertigen Tools für TOTP verwenden, aber die Implementierung in Delphi und deiner App ist simpel und kannst Du als Source im Netz finden.

Oder man sieht im Programm die Möglichkeit einer Zeitangabe vor. Dann kann man auf dem Handy eine Standard-App nehmen. Natürlich ist das unsicherer, denn bei Eingabe einer beliebigen Zeit kann man ja einen beliebigen Code generieren lassen. Vielleicht kann man diese Zeitangabe ja beschränken auf +/-24h der Rechnerzeit. Das ist dann zwar immernoch nicht 100% sicher, aber schon deutlich besser. Das setzt natürlich voraus, dass die Rechnerzeit nicht beliebig abweicht.

[himitsu]

Dann kann aber auch ein böser Junge*innen einfach "irgendeine" Zeit mitgeben ... vorzugsweise Die, von der er den Code bereits kennt.

Das ist ja grade der Grund, warum dafür eine externe, nicht beeinflussbare, Zeit verwendet wird.



Andersrum ginge es, also die Authentificator-App bekommt die Zeit vom Server (nicht der Server die Zeit von der App), so lange man den Server als sicher betrachten kann.



Wenn dein Rechner also kein "Internet" hat, dann gib ihm doch einfach eine andere Uhr?
DCF77

[Rollo62]

Zitat von himitsu:

Das ist ja grade der Grund, warum dafür eine externe, nicht beeinflussbare, Zeit verwendet wird.

Ja nur woher nehmen, wenn nicht (Zeit) stehlen ?

Soweit ich weiß hat schon Albert Einstein an dem Problem gearbeitet, als er noch im Patentamt bechäftigt war, und hat wohl auch keine Lösung gefunden

Mein Projekt war z.B. eines mit einem kleinen 32-Bit Controller, ohne Wifi, ohne RTC, ohne großes Display ( nur kleines TN ), ohne sonstwas.
Da muss man halt etwas tricksen, was dann natürlich nicht 100% sicher sein muss.
Da habe ich mit einem OTP-Pool an PIN-Codes gearbeitet, die natürlich irgendwann mal aufgebraucht sein können, aber auch nur extrem selten benötigt werden.

So habe ich auch die Aufgabe von dem den TN verstanden, nur ein paar vorwitzige Bediener abhalten.

[rabatscher]

Probier mal:
https://webauthn.io/

Die Seite zeigt recht schön was mit Webauthn/Fido2 so möglich ist
-> die API sind nur ein paar Funktionsaufrufe.
Wie gesagt... man braucht da halt nen Fido Key