google OTP 같은 time base OTP 에 문제는 안생기나요?
글쓴이: trymp / 작성시간: 월, 2020/10/05 - 9:56오전
google OTP 를 사용하는데요.
문득 궁금한게 생겨서 그러는데요
사용자 key 와 time(시간값) 을 조합해서 hmac sha1 방식으로 키를 조합한 hash 값으로
패스워드를 사용자단말기(또는 app) 과 서버가 각각 일회용패스워드를 생성하는 방식으로
같은지 비교해서 인증성공여부를 리턴한다고 알고 있는데요.
단말기와 서버가 각자 패스워드를 생성한 때 시간값이 어느정도 오차가 생길 수 있지 않나요?
UTC 시간이 똑같이 맞추어져 있다고 하더라도 사용자입력시간이나 네트워크 지연등으로
인증 실패가 나는 경우도 있지 않을까? 생각이 되서요
아시는 분 조언해주시면 감사하겠습니다.
Forums:
일회용 P/W가 매초마다 생성하는게 아니라 바뀌는
일회용 P/W가 매초마다 생성하는게 아니라 바뀌는 주기가 있습니다.
(국내 금융은 30초인가 그럴겁니다)
그리고 허용 시간오차에 따라 몇 개까지는 받아주기도 합니다.
30초 주기로 바뀌는 OTP 인증에서 2분내로 인증해야 되는 건이면 인증시작시점부터 인증완료시점까지 나올 수 있는 4개~5개의 P/W 중 하나라도 입력 들어오면 OK이고, 인증 직전에 나왔던 2~3개/시간 경과후 나오는 2~3개면 OTP기계의 시계 고장났으니 as 보내라고 하고, 그이상 경과하면 틀린걸로 간주하는 식으로.
Written By the Black Knight of Destruction
댓글 달기