Yubico Yubikey 2.2 [12/37] Режим oath hotp



12



2.4 Режим OATH-HOTP

Устройство Yubikey версии 2.1 поддерживает стандарт OATH-HOTP (RFC 4226).

Генерация одноразового ключа привязана к событию, переменный фактор сохраняется в

энергонезависимую память Yubikey. Выходная строка идентификатора Token может быть

обрезана до 6 или 8 знаков.

В режиме OATH Yubikey также поддерживает идентификаторы Token

(OpenAuthentication.org), где каждый Token может быть единственным образом

идентифицирован в системе OATH. Идентификаторы Token можно настроить таким

образом, чтобы они автоматически отправлялись вместе с НОТР.

В Yubikey версии 2.2 режим OATH-HOTP имеет конфигурацию с заранее заданным

переменным фактором. В таком случае инструмент конфигурации может назначить

случайное «зерно», чтобы переменный фактор нельзя было предугадать.

Режим OATH доступен в только таких конфигурациях, когда одно устройство Yubikey

может генерировать и одноразовые пароли, и OATH HOTP.

2.5 Режим запрос-ответ

Для случаев, когда необходимо автоматическое взаимодействие с клиентским

приложением или требуется серверный фактор при генерации одноразового пароля, был

добавлен режим запрос-ответ (начиная с версии устройства 2.2). Запрос позволяет

проводить криптографическое преобразование генерированного сервером запроса для

создания ответа, который мог бы быть проверен сервером. Режим запрос-ответ, конечно,

не ограничивается настройкой типа «клиент-сервер» и может быть использован для таких

приложений, как «программный ключ» (программная защита), электронный ключ

рабочего места и т.п.

Доступны два основных режима работы:

- Режим Yubico OTP (режим одноразовых паролей)

Режим Yubico OTP принимает 6-байтовый запрос и создает ответ с использованием

алгоритма генерирования одноразовых паролей Yubico. Пароли, включающие в себя

несколько полей, не повторяются, даже если запрос один и тот же.

- Режим HMAC-SHA1

Режим HMAC-SHA1 создает код аутентификации сообщения, представляющий собой 0-

64 байтный (0-512 битный) блок данных с использованием 20-байтного (160-битного)

фиксированного секретного идентификатора. При этом само устройство не заполняет

никакие поля в пароле, и, если запрос не изменится, ответ на него останется точно таким

же.

Кроме того, режим запрос-ответ можно настроить таким образом, чтобы требовалось

участие пользователя. Пример: пользователь должен нажать на кнопку Yubikey, чтобы

отправить ответ на запрос.