Sto valutando un sistema di autenticazione a due fattori che utilizza un algoritmo di password monouso basato sul tempo. Funziona come un'applicazione Android.
Come ci si aspetterebbe, sembra che si stia utilizzando un seed e l'ora corrente per generare un passcode monouso. Il seme è memorizzato nella directory dati / dati, quindi è relativamente ben protetto.
Tuttavia, il tempo è completamente sotto il mio controllo. Ho impostato il tempo sul futuro, ho afferrato i codici e poi ho usato il programma.
Questo sembra un po 'un buco abbagliante nei token soft. Afferra il telefono per 10 minuti, imposta il tempo sul futuro, prendi una serie di token e ripristina il tempo.
Se avessi un token hardware, sarebbe praticamente impossibile per me cambiare il tempo nel futuro, prendere i codici e quindi ripristinare l'ora nell'arco di 10 minuti.
Ritengo che questo sia un rischio valido per molti utenti che possono essere negligenti lasciando il telefono sbloccato.
- Perché questo non è un problema?
- Come ti attenuerai se si tratta di un problema?