Yubico Yubikey 2.2 [8/37] Одноразовый пароль yubico



8



2.1.3 Одноразовый пароль Yubico

Одноразовый пароль заключает в себе 128-битную последовательность, зашифрованную

по алгоритму AES-128 и закодированную с помощью алгоритма Modhex в 32-символьную

строку. Одноразовый пароль включает в себя следующие поля:

- Секретный идентификатор (Private identity), состоящий из 6 байт и использующийся для

проверки одноразового пароля. Если секретный идентификатор не используется, то в этом

поле стоят нули.

- Поле счетчика. Счетчик увеличивается на единицу каждый раз при вставке ключа. Поле

счетчика состоит из двух частей - энергонезависимого счетчика (счетчика сессий) и

энергозависимого счетчика (счетчика внутри сессии). Первый увеличивается на единицу

при каждой вставке ключа, второй - каждый раз при генерировании новой

последовательности. Эта комбинация является гарантией уникальности одноразовых

паролей.

- Временная метка. В целях увеличения энтропии и обеспечения дополнительной защиты

от фишинга, используется внутренний таймер с частотой 8 Гц. При вставке ключа Yubikey

в это 24-битное поле вписывается случайное число, которое постепенно увеличивается с

частотой приблизительно 8 Гц.

- Случайное число - это 16-битное случайное число, используемое для добавления

энтропии.

- Контрольная сумма, вычисляемая по алгоритму CRC16 по всем байтам строки.

Более подробное описание алгоритма генерирования одноразовых паролей читайте в п.

6.1.

2.1.4 OATH-HOTP

В режиме OATH-HOTP одноразовый пароль генерируется при помощи стандартного

алгоритма RFC 4226 HOTP. Публичный идентификатор, если используется, соответствует

характеристикам идентификатора Token на openauthentication.org.

2.1.5 Режим запрос-ответ

Благодаря режиму запрос-ответ Yubikey 2.2 обеспечивается программное взаимодействие

с Yubikey. С использованием клиентского интерфейса API, запрос одноразового пароля

отправляется на Yubikey, где вычисленный одноразовый пароль считывается как API

запрос, а не как ввод с клавиатуры. Кроме того, безопасность можно также повысить за

счет коэффициента, назначаемого сервером, который включается в алгоритм

генерирования одноразовых паролей.

Более подробное описание режима запрос-ответ читайте в п. 2.5.

2.1.6 Статичный режим

Хотя это и немного не соответствует идее устройства для генерирования одноразовых

паролей, но Yubikey также поддерживает т.н. «Статичный режим». Как понятно из

названия, в статичном режиме одноразовый пароль постоянен.