🚀 go-pugleaf

Michoo <michoo_news@vp.pl> writes:

> Projekt ten to sprzętowy generator haseł jednorazowych służących do
> logowania po ssh (a właściwie to każdego via PAM).

Ale tak w ogole, wiesz jak to wyglada teoretycznie?
Teoretycznie takie urzadzenia sa bezuzyteczne :-)
W praktyce nie jest wiele lepiej, IMHO ich jedyne zastosowanie to praca
w sytuacji awaryjnej, gdy nie mamy dostepu do "bezpiecznego terminala",
i gdy kazdorazowo oceniamy ryzyko i wybieramy "mniejsze zlo".

Dlaczego? Bo haslo (logowanie sie itd) nie jest wartoscia sama w sobie,
ono tylko i wylacznie ma ograniczac dostep do czegos. Nie ma sensu
bardziej chronic hasla (logowania itd) niz samego dostepu (np. sesji).
Jesli nie uzywamy bezpiecznego terminala, sesja nie jest chroniona.

Jesli jednak uzywamy bezpiecznego terminala (tj. takiego, ktory jest
nasza wlasnoscia, o ktorym wiemy, ze np. nikt w nim nie grzebal w czasie
naszej nieuwagi itd), to caly ten patent z haslami moze byc czescia
terminala, i np. moze to byc po prostu logowanie kluczem asymetrycznym
w ssh, np. z jakims haslem na starcie do szyfrowanego systemu plikow,
zeby po utracie terminala nie bylo katastrofy.

> Ich głównymi
> zaletami jest brak dodatkowych urządzeń (generator w komórce albo
> lista na kartce).

Owszem. Ale biorac pod uwage, ze z tego nie wyjdzie zadne zastosowanie
"militarne", to pewnie taki generator i lista sa wystarczajaco
bezpieczne.

> Jako hasło generowane będzie md5 z:
> 1. losowego ciągu kilkudziesięciu znaków zapisanych w pamięci EEPROM - 
> jego zadaniem jest utrudnienie ataków brute-force, wyciągnięcie go z
> urządzenia jest teoretycznie niemożliwe (zmiana programu wymaga
> wyczyszczenia EEPROMu), chyba, że znajdzie się na nie (urządzenie)
> eksploit, no i jest potrzebny fizyczny dostęp

Czyli staly seed.

> 2. numeru sekwencyjnego - system będzie sprawdzał np 100 następnych
> haseł (albo znacznie mniej aby utrudnić ataki brute-force umożliwiając
> jednocześnie atak DOS) i po poprawnym zweryfikowaniu nie akceptował
> wcześniejszych tak więc wygenerowane w chwili nieuwagi właściciela
> hasło na nic się nie przyda jeżeli tylko się on zaloguje przed jego
> wykorzystaniem, przypadkowe wygenerowanie hasła też nie będzie
> problemem

Dosc typowe w niektorych zastosowaniach, gdzie ryzyko nie jest wielkie
(np. moj pilot do samochodu tak robi).

> 3. (opcjonalnie) kodu pin generowanego za pomocą naciskania 2
> przycisków - dodatkowe zabezpieczenie aby ktoś, kto "pożyczy" sobie
> token nie mógł się zalogować, ani wygenerować zestawu haseł do zużycia
> przed naszym kolejnym logowaniem. W połączeniu z wykładniczymi
> opoźnieniami (np 2^n sekund gdzie n jest liczbą błędnych prób) już 4
> kliknięcia (16 możliwości) poważnie utrudniają a 6-8 (64-256
> możliwości) praktycznie uniemożliwia sprawdzenie wszystkich
> kombinacji.

Ale tez nie interesujemy sie wszystkimi kombinacjami, a tylko interesuje
nas sumaryczna szansa na trafienie w ilus tam probach. Przeciez lamacze
MD5 albo innego DESa nie musieli sprawdzac 100% kombinacji.

Wykladnicze opoznienia to, z drugiej strony, potencjalnie bardzo powazny
problem, gdyz umozliwiaja odciecie dostepu prawdziwej uprawnionej osoby
(np. mozna uniemozliwic adminowi reakcje na wlasnie przeprowadzany
atak). Takie cos moze jest dobre, jesli wiadomo, ze takie odciecie nie
spowoduje zadnych powazniejszych skutkow, ale normalnie nie mozna tego
zalozyc.

> W przypadku propozycji innych algorytmów liczenia hasha proszę
> pamiętać o ograniczeniach

To nie tak, to procesor dobiera sie do potrzeb.
MD5 jest podatny na ataki (a) praktyczna latwosc generowania kolizji
oraz b) (mozliwe ze w dalszym ciagu niepotwierdzona w praktyce)
mozliwosc znalezienia takiego m' do danego m, by md5() obu byly
jednakowe).
"a" nie ma tu wielkiego znaczenia, "b" - to zalezy od szczegolow.
Tak czy owak MD5 w wielu dziedzinach zycia zostal wycofany, w innych
jest wycofywany, i chyba nigdzie nie jest polecany do nowych zastosowan.

> do urządzenia zostaje domontowany RTC (jest to pewien problem, gdyż
> tanie są niedokładne a dokładne są drogie i prawie niedostępne w
> Polsce, więc się nim zajmę tylko jeżeli otrzymam sample od Maxima)

Poleganie na dokladnosci takiego RTC to nie jest dobry pomysl.
Polegac mozna na monotonicznosci.
-- 
Krzysztof Halasa