Utilizzare TOTP per impedire la simulazione delle richieste

0

Sto sviluppando un sistema API che fornisce funzionalità per un gioco. Al momento utilizziamo HMAC per impedire la simulazione di richieste (diciamo, impediamo agli hacker di simulare il gioco) ma poiché abbiamo riscontrato alcuni problemi con HMAC, ho pensato che sarebbe stato meglio usare una password temporanea. Come fa Google Authenticator.

Mi piacerebbe sapere che questo è un buon approccio per utilizzare TOTP per generare una password temporanea dal client e inviarla al server tramite richiesta HTTP e convalidarla sul server? L'obiettivo è impedire la simulazione o l'invio di richieste da parte di client di terze parti.

    
posta Afshin Mehrabani 27.09.2014 - 22:40
fonte

1 risposta

2

TOTP è un HMAC. È solo un HMAC di un timestamp con una certa granularità in cui è necessario ruotare le password. Si noti che con un HMAC basato sul tempo o con un altro HMAC, un utente malintenzionato con una copia di un client legittimo può estrarre la chiave condivisa e utilizzare quella chiave per falsificare le richieste dal proprio client.

    
risposta data 27.09.2014 - 22:47
fonte

Leggi altre domande sui tag