TOTP：対称的な秘密の保管
それは私だけですか、それとも2要素認証のTOTPは、リバーシブルな方法で対称シークレットを保存する必要があるダイジェスト認証の時代へのステップのように見えますか？平文で保存されたパスワードは横行であり、現在も横行であり、最大のエンティティでさえこれらの秘密の無数の高レベルの露出がありました。
ますます熟練した攻撃者によって危険にさらされているユーザー情報の脆弱なデータベースとともに、TOTPシークレットの不可避な公開を遅らせているだけではありませんか？
2faに使用されるほとんどすべてのデバイスにハードウェア非対称暗号化エンジンがある世界で、デバイスを認証するこの方法が最も一般的になっているのはなぜですか？
Secure ElementやTouch IDなどのシステムでは、シリコンとバイオメトリクスを使用したキーアクセスが強化されているため、セキュリティへのアクセスが可能であり、政府関係者でさえも妥協する必要があり、弱体化する法律に移行しています。
派生キーを保存することは、少なくとも10年間保管されているパスワードを保護するためのベストプラクティスですが、この戦略を使用してTOTP共有シークレットを保護することはできません。これは対称暗号化を残します。これは適切に実装された場合でも、ライブシステムを保護する上で疑わしい価値があります。 PKIはさらに長く存在していますが、まだ実装スペースで足場を築くのに苦労しています。
それは、ほとんどの点で依然として野生の西部であり、キロワードのRFCと欠陥のある実装の騒々しいがらくたのシュートです。インターネット接続システムで2faのデバイスIDを安全にアサートするために、今日利用可能なPKI技術を活用して、非常に安全である必要のある既存の使いやすいシステムはありますか？
TOTPは、2005年にRFC化されたHOTP（RFC4226）から派生していることに注意する必要があります。スマートフォンがまだ普及していないのはこの頃です！
アルゴリズムは[〜＃〜]ではありません[〜＃〜] Google認証システム用に設計されました！ただし、ハードウェアトークンの場合は、コンピューターに接続されていないか、インターネットに接続されていません。したがって、人間の光学インターフェイス、目、タイピング指を使用する必要があります。
少し考えると、ワンタイムパスワードを入力できるようにするこのシナリオでは、対称鍵から生成する必要があることに気づくでしょう。OTPの作成プロセスでは、切り捨てが含まれる（OTPが十分に短いため、タイピングが楽しくなる）。非対称暗号を使用してOTPを作成している場合、切り捨てによって暗号が破壊されます。
はい、PKI、スマートカードはさらに優れていますが、多くのシナリオではドライバーの煩わしさに満足できません。
もちろん、攻撃者が認証システムまたはデータベースにアクセスした場合、あなたは失われます。ただし、攻撃者がバックエンドで秘密文書にアクセスできる場合、2FAについて心配する必要はありません。問題は、どの脅威モデルを緩和したいかということです。また、対称鍵に基づくワンタイムパスワードアルゴリズムが非常にうまく機能することはまだたくさんあります。