Teclas TOTP de hardware programables con la capacidad de sincronizar el tiempo

Nos complace anunciar la nueva línea de teclas TOTP de hardware programable de TOKEN2. La principal innovación es la capacidad de sincronizar el reloj del sistema de las teclas de hardware a través de la API NFC mediante aplicaciones especiales: actualmente se está preparando un lanzamiento para Android y Windows 10.

Todavía no hay aplicaciones para iOS: a pesar de que los chips NFC están físicamente presentes en los últimos modelos de iPhone, Apple aún no proporciona una API pública para su uso.

¿Para qué es esto?

A diferencia de las aplicaciones TOTP móviles, en las teclas de hardware no hay forma de sincronizar la hora a través de NTP, a través de una red celular o una señal de radio: las teclas de hardware del dispositivo están completamente aisladas y son independientes, y usan el reloj en su placa como fuente de hora precisa. En los años 1933-1934. Los físicos Scheibe y Adelsberger del Instituto Imperial de Física y Tecnología de Berlín aprovecharon las posibilidades de utilizar el efecto piezoeléctrico para medir el tiempo. Es este efecto el que subyace al reloj del sistema de las llaves de hardware. La precisión de estos relojes varía de ± 0.3 a ± 1.1 s / día, dependiendo de la calidad. Si esta precisión es suficiente para un reloj de pulsera convencional, en las llaves de hardware una diferencia de tiempo mayor que un cierto límite puede conducir a un rechazo de la activación y / o autenticación. Este límite depende del sistema específico (por ejemplo, Microsoft Azure MFA permite hasta 600 segundos de sesgo en ambas direcciones) cuando se trata del primer registro de una clave de hardware. Además, el proceso de sincronización de desplazamiento durante el uso de la tecla para ingresar ya se describe claramente en RFC 6238


Es decir, si el servidor de autenticación cumple con todos los requisitos del RFC, y si la clave no se usa muy raramente para la autenticación, por ejemplo, al menos un par de veces al año (el número exacto se puede calcular teniendo en cuenta la precisión del oscilador y la compensación de tiempo permitida por el servidor), entonces se tendrán en cuenta las compensaciones de tiempo en el lado del servidor y no deberían surgir problemas. Cuando se usan teclas en esas condiciones, la función de sincronización horaria no es, en principio, necesaria.

Sin embargo, la función de sincronización horaria puede ser útil en los siguientes casos:

• Si la implementación del servidor de TOTP no sigue la Recomendación RFC6238 # 6. Un ejemplo de tal implementación es DUO :

  La deriva de token TOTP y la resincronización no son compatibles. Como resultado, los tokens TOTP importados pueden no funcionar para la autenticación con Duo Security, o pueden no funcionar para la autenticación después de un período de tiempo variable ...

• Si se compró un lote de llaves de hardware durante mucho tiempo, pero tuvieron que activarse solo después de un tiempo, en este caso simplemente no existe un mecanismo de sincronización en muchos sistemas.
• Si el dongle se usa para iniciar sesión con menos frecuencia de la necesaria para la sincronización. Por ejemplo, si un usuario quiere "copiar" el mismo perfil TOTP (más precisamente, un secreto compartido) en dos dispositivos: a) en una aplicación móvil en el teléfono para uso diario yb) en una llave de hardware programable como respaldo, para un día lluvioso . Por lo tanto, si este día lluvioso llega en 3-4 años, el token de hardware ya no se puede usar precisamente debido a la diferencia horaria. Además, la batería del token, que no se encendió durante mucho tiempo, casi no pierde capacidad. Por lo tanto, en este caso, es bastante simple "traerles" el reloj para que vuelvan a funcionar.