Блог

Мне нужно использовать текущее время, потому что позже другой программе потребуется знать, когда я сгенерировал pin-код и каковы имя пользователя и пароль.

Краткие сведения:

• Имя пользователя пароль текущее время = pin [6 цифр]

• Обратный, сгенерированный PIN-код, мне нужно знать, какой именно, и проверить, прошла ли уже 1 минута.

Я не прошу прямой код, но мне нужно знать лучший, не сказать лучший, хороший способ / алгоритм для этого. Спасибо (кстати, я новичок в cpp)

Редактировать:

Прошу прощения за то, что не прояснил ситуацию. На самом деле, мне не нужен OTP, после генерации pin-кода другая программа должна будет запускаться следующим образом: validate {имя пользователя} {пароль} {pin}

999999 минут, что дает ~ 694 дня, ~ 1,9 года. Итак, если бы вы использовали всю доступную энтропию только для записи текущего времени, вы бы изменили значение менее чем за 2 года.

И все будет намного хуже, если вы захотите включить имя пользователя и пароль и избежать легкого угадывания.

С 6 десятичными разрядами вы можете хранить около 19 бит данных. Таким образом, вам нужно убедиться, что у вас есть надежная защита от перебора на стороне сервера, иначе будет тривиально пробовать все возможные комбинации.

Одноразовые пароли не имеют внутренней структуры, поддающейся декодированию, они обычно используются в дополнение к обычному паролю в качестве второго фактора при аутентификации. Тогда они могут быть основаны на времени, как вы предлагаете, но не являются обратимыми — другой конец также имеет секретный ключ и может сам генерировать возможный список.

Так, например, помимо ввода имени пользователя и (обычного) пароля, пользователь вводит значение из токена, который генерируется как AES(secretkey, currentminute) , а сервер вычисляет AES(secretkey, currentminute) и AES(secretkey, currentminute-1) т.д., Чтобы сравнить значение с. Он также может записывать, какой токен соответствует, чтобы он записывал оценку точности часов токена, что допускает некоторый сдвиг часов токена, если он используется достаточно часто. Чтобы решить, как наилучшим образом использовать 19 бит, которые у вас есть в 6-значном pin-коде, вам понадобится кто-то, кто является настоящим криптографом, поскольку я бы предположил, что простое усечение может быть небезопасным.

Добавил мой предыдущий комментарий к ответу, как запоздалую мысль:

Я почти уверен, что называть это «otp» обманчиво. OTP является чисто случайным и секретным.

То, что вы описываете, является простым хэшем.

Вы могли бы

  MD5(username password_hash (seconds_past_1970%60))
  

Я уверен, что помимо использования шифрования с открытым ключом вместо пароля, это более или менее так, как это делают ключи RSA.

Редактировать О да: будет довольно тривиально сгенерировать 6 цифр из результирующего хэша 🙂