Kako deluje Sparkasse TOTP?

V splošnem TOTP standard zgosti shared secret in zaporedno številko 30-sekundne epohe. Danes sem opazil, da za vstop v Sparkasse spletno banko njihov TOTP na telefonu zgenerira vsakič drugo kodo znotraj 30 sekund. Ali kdo ve kaj več?

Moja razlaga:
1. Lahko so skrajšali epoho na 1 sekundo ali manj, kar pomeni, da imajo več dela z reševanjem time shifta? Morda se zanašajo, da na Androidu NTP deluje ok in time shift ni velik?
2. Ali pa uporabljajo HOTP in štejejo poskuse? V tem primeru mi bo spletna banka crknila, če se bom preveč igral?

Obe varianti se mi zdita, da kličeta po težavah. Je še kakšna tretja kombinacija v uporabi?

Aja, njihov TOTP deluje v offline načinu, če je kdo pomislil, da "goljufa" in kaj komunicira s spletno banko v ozadju.

MrStein je 8. maj 2022 ob 13:49 izjavil:

1. Preverijo večkrat, za +5 -5 sekund. Če se z enim ujema, si noter.

Zakaj bi to počeli? Na ta način imaš v vsakem trenutku 10 delujočih kod, kar poveča nevarnost.

Je pa res, da so programerji pri Sparkasse (Halcom) precej nesposobni, tako da me takšna nemnost ne bi čudila.

WhiteAngel je 5. maj 2022 ob 23:17 izjavil:

V splošnem TOTP standard zgosti shared secret in zaporedno številko 30-sekundne epohe. Danes sem opazil, da za vstop v Sparkasse spletno banko njihov TOTP na telefonu zgenerira vsakič drugo kodo znotraj 30 sekund. Ali kdo ve kaj več?

Moja razlaga:
1. Lahko so skrajšali epoho na 1 sekundo ali manj, kar pomeni, da imajo več dela z reševanjem time shifta? Morda se zanašajo, da na Androidu NTP deluje ok in time shift ni velik?
2. Ali pa uporabljajo HOTP in štejejo poskuse? V tem primeru mi bo spletna banka crknila, če se bom preveč igral?

Obe varianti se mi zdita, da kličeta po težavah. Je še kakšna tretja kombinacija v uporabi?

Aja, njihov TOTP deluje v offline načinu, če je kdo pomislil, da "goljufa" in kaj komunicira s spletno banko v ozadju.

Meni je bilo tudi sumljivo, ker odšteva od 90. Ni šanse, da bi ravno vsakič zadel začetek intervala. Pomoje to pomeni, da so vzeli interval 1 sec in je v vsakem trenutku aktivnih 90 one-time-passwordov, kar je v primerjavi z vsemi možnostmi zanemarljivo. Verjetno je bilo to zaradi boljšega UX-a (ali pa da si prisiljen uporabljati njihovo aplikacijo). Upam, da je samo ta prilagoditev, bog ne daj, da so sami izumljali tudi kaj crypto related.