🚀 go-pugleaf

Szymon Sokół pisze:
> On Mon, 05 Apr 2010 20:53:07 +0200, Michoo wrote:

>> Czy są jakieś uwagi co do tej metody? - mile widziane wytknięcie błędów 
>> w rozumowaniu jak i miejsc dla możliwych przeoczeń w implementacji.
> 
> No więc mnie się cała koncepcja niezbyt podoba, z paru powodów. Jednym z
> nich jest to, że wymagany jest specjalny moduł do PAM (podczas gdy moduł do
> OPIE zwykle już masz w systemie, przynajmniej w Linuksie).
Opie też jakoś zaczynało. Projekt miałem zamiar zrealizować na własny 
użytek, ale potem przyszło mi do głowy, że a nóż się komuś jeszcze przyda.

> Trzecim to, że jeśli PIN
> jest opcjonalny, to jeśli się z niego nie korzysta, token może wykorzystać
> każdy, kto na chwilę dostanie go w ręce
Tak, ale wg mnie nie należy zabraniać posiadania nożyczek z ostrymi 
czubkami tylko dlatego, że się ktoś może nimi pociąć.

Tokeny RSA działają w taki sposób a są reklamowane jako bardzo 
bezpieczne rozwiązanie.

> Czwartym to, że w razie utraty tokena trzeba będzie
> natychmiast zmienić seed (znaczy, ten ciąg losowy) po stronie serwera
> (oczywiście rozwiązanie z hasłami na kartce też tę wadę posiada;
> software'owy generator, np. w formie aplikacji w komórce, nie, jeśli do
> generacji seedu wykorzystuje każdorazowo wprowadzany passphrase).
Tak. Pin został pomyślany właśnie na wypadek utraty tokena. Brak 
mechanizmu challenge-response ma skrócić czas logowania.

Gdyby nie zależało mi na czasie i małych rozmiarach to bym dał 
klawiaturę i wprowadzało by się najpierw hasło a potem challenge.

>> W przypadku propozycji innych algorytmów liczenia hasha proszę pamiętać 
>> o ograniczeniach:
>> 1KB RAM
>> 6KB wolnego FLASHa
>> 512B EEPROM
>> 12MHz
>> brak sprzętowego dzielenia (tylko mnożenie)
>> FPU jedynie emulowane.
> 
> SHA-256 nie jest chyba aż tak dużo bardziej złożone od MD5. MD5 w zasadzie
> nie jest już uznawane za bezpieczne. 
W tym zastosowaniu chyba jego wady nie będą problemem (OPIE też używa 
md5), ale fakt, sha wydaję się być ciekawym rozwiązaniem - dzięki za 
sugestię.


-- 
Pozdrawiam
Michoo