Considerando i token hardware che implementano OATH TOTP (c.f. RFC6238 ), è risaputo che l'orologio in tali pedine deriva. È probabile che un token che non viene utilizzato molto spesso vada alla deriva oltre la finestra di sincronizzazione utilizzata da un server di autenticazione, pertanto potrebbe essere necessaria la risincronizzazione.
Una semplice forma di risincronizzazione è semplicemente quella di allargare la finestra di ricerca, e probabilmente potrebbe funzionare nella maggior parte dei casi. Ma se la finestra di ricerca è troppo grande, c'è un piccolo rischio che il token sia sincronizzato erroneamente (supponendo che venga ripetuta una OTP). Non ho fatto i conti, ma questo è probabilmente raro.
Ho sentito parlare dei metodi di risincronizzazione che eseguono una risincronizzazione di una sequenza di OTP. Ciò darebbe sicuramente una risincronizzazione accurata, ma a spese dell'avere l'utente in attesa di due o tre OTP.
So che alcuni token e provider di servizi di autenticazione hanno implementato un metodo in cui l'utente può ottenere parziali informazioni sull'orologio nel display, in modo che le informazioni temporali + OTP vengano utilizzate come input per la risincronizzazione processo.
Non ho visto nessuno degli RFC OATH che forniscano una raccomandazione concreta su come risincronizzare. Mi chiedo se qualcuno su questo forum conosce i metodi comunemente usati nel settore; in particolare qual è la tua opinione sull'ultima variante che descrivo?