Chaves TOTP de hardware programável com a capacidade de sincronizar o tempo

Temos o prazer de anunciar a nova linha de chaves TOTP de hardware programável do TOKEN2. A principal inovação é a capacidade de sincronizar o relógio do sistema de chaves de hardware por meio da API NFC usando aplicativos especiais - uma versão para Android e Windows 10 está sendo preparada.

Ainda não há aplicativos para iOS: apesar dos chips NFC estarem fisicamente presentes nos modelos mais recentes do iPhone, a Apple ainda não fornece uma API pública para seu uso.

Para que é isso?

Diferentemente dos aplicativos TOTP móveis, nas chaves de hardware, não há como sincronizar a hora via NTP, através de uma rede celular ou de um sinal de rádio: as chaves de hardware do dispositivo são completamente isoladas e independentes, e usam o relógio na placa como fonte de tempo preciso. Nos anos 1933-1934. Os físicos Scheibe e Adelsberger, do Instituto Imperial de Física e Tecnologia de Berlim, aproveitaram as possibilidades de usar o efeito piezoelétrico para medir o tempo. É esse efeito subjacente ao relógio do sistema das chaves de hardware. A precisão desses relógios varia de ± 0,3 a ± 1,1 s / dia, dependendo da qualidade. Se essa precisão for suficiente para um relógio de pulso convencional, nas chaves de hardware, uma diferença de tempo maior que um determinado limite pode levar a uma recusa de ativação e / ou autenticação. Esse limite depende do sistema específico (por exemplo, o Microsoft Azure MFA permite até 600 segundos de viés nas duas direções) quando se trata do primeiro registro de uma chave de hardware. Além disso, o processo de sincronização de deslocamento durante o uso da tecla para entrar já está claramente descrito na RFC 6238


Ou seja, se o servidor de autenticação atender a todos os requisitos da RFC e se a chave não for usada muito raramente para autenticação, por exemplo, pelo menos duas vezes por ano (o número exato pode ser calculado levando em consideração a precisão do oscilador e o tempo permitido pelo servidor), as compensações de tempo serão levadas em consideração no lado do servidor e os problemas não devem surgir. Ao usar chaves nessas condições, a função de sincronização de tempo não é, em princípio, necessária.

No entanto, a função de sincronização de horário pode ser útil nos seguintes casos:

• Se a implementação do servidor TOTP não seguir a Recomendação 6 da RFC6238. Um exemplo dessa implementação é o DUO :

  O desvio de token TOTP e a ressincronização não são suportados. Como resultado, os tokens TOTP importados podem não funcionar para autenticação com o Duo Security ou podem não funcionar para autenticação após um período variável de tempo ...

• Se um lote de chaves de hardware foi comprado por um longo tempo, mas elas precisaram ser ativadas apenas após algum tempo - nesse caso, simplesmente não há mecanismo de sincronização em muitos sistemas.
• Se o dongle for usado para login com menos frequência do que o necessário para sincronização. Por exemplo, se um usuário deseja "copiar" o mesmo perfil TOTP (mais precisamente, um segredo compartilhado) para dois dispositivos: a) em um aplicativo móvel no telefone para uso diário eb) em uma chave de hardware programável como backup, para um dia chuvoso . Portanto, se esse dia chuvoso chegar em 3 a 4 anos, o token de hardware não poderá mais ser usado precisamente devido à diferença de horário. Além disso, a bateria do token, que não liga há muito tempo, quase não perde capacidade. Portanto, neste caso, é bastante simples "trazer" o relógio para eles para retorná-los à operação.