Генерируйте и проверяйте временные одноразовые пароли (TOTP) из секрета в кодировке base32. Совместимо с Google Authenticator и RFC 6238.
Одноразовые пароли, RFC 6238. Сгенерируйте текущий TOTP для секрета в кодировке base32 и проверьте полученный код. Счётчик выводится из текущего времени, поэтому коды обновляются каждые 30 или 60 секунд. Работает полностью в вашем браузере.
TOTP определён в RFC 6238 и является тонким слоем поверх HOTP. Обе стороны хранят один и тот же секрет, обычно передаваемый однажды как QR-код и сохраняемый в приложении-аутентификаторе. Чтобы создать код, каждая сторона берёт текущее время Unix, делит его на размер шага (по умолчанию 30 секунд), получая счётчик, вычисляет HMAC-SHA1 этого счётчика под секретом и усекает результат до требуемого числа разрядов.
Поскольку счётчик берётся из часов, а не из сообщения, после регистрации ничего не нужно передавать между сторонами. Сервер не отправляет вызов, а приложению не нужен сетевой доступ — поэтому приложения-аутентификаторы работают в режиме «в самолёте».
Вывод HMAC — 20 байт, что гораздо больше 6-разрядного кода. Динамическое усечение использует младший полубайт последнего байта как смещение, читает четыре байта, начиная с него, сбрасывает старший бит во избежание проблем со знаком и берёт это число по модулю 10^digits. Использование переменного смещения вместо фиксированного означает, что атакующий не может сосредоточить анализ на известном куске дайджеста.
Шесть разрядов — почти повсеместное значение по умолчанию. Восемь разрядов поддерживается большинством приложений и даёт примерно два лишних десятичных разряда устойчивости к угадыванию, что гораздо менее важно, чем ограничение частоты — 6-разрядный код имеет шанс 1 к миллиону на одну попытку, так что реальная защита — блокировка после нескольких неудач.
Устройства дрейфуют. Серверы обычно принимают код из предыдущего и следующего окна, а также текущего, давая допуск ±30 секунд. Расширение этого окна более чем на минуту-две начинает заметно увеличивать поверхность атаки и обычно является признаком того, что часы устройства нужно исправить.
Два свойства стоит помнить при развёртывании. Код остаётся действительным в течение всего своего окна, поэтому перехваченный код может быть воспроизведён в этом окне, если сервер не помечает использованные счётчики как израсходованные. А секрет симметричен: тот, кто хранит серверную копию, может генерировать действительные коды вечно, поэтому он требует той же защиты, что и база паролей, — зашифрован в покое, никогда не логируется, никогда не попадает в git-репозиторий.