我们很高兴地宣布两种新的可编程TOTP令牌模型，既有小型卡（
miniOTP-3 ）也有
密钥卡形式（
C301 ），现在具有
有限的时间同步功能 。
关于令牌2TOKEN2多因素身份验证产品和服务LTD（简称TOKEN2）是一家总部位于瑞士Versoix的跨国IT安全公司，提供各种安全解决方案，例如硬件令牌，移动应用程序，TOTPRadius服务器和Token2 Cloud API（两因素身份验证）作为服务）
什么是多因素身份验证？当前，对于需要强大安全性的系统，多因素身份验证是事实上的标准之一。 在大多数情况下，多因素身份验证相当复杂并且不是非常用户友好，因为就最终用户而言，它需要采取其他步骤：例如，除了输入用户名和密码外，还需要进行两因素身份验证（通常被认为是第一个因素），用户需要手动输入他们通过短信收到的其他代码（第二个因素），在先前打印的密码列表中查找或由硬件或软件令牌生成。
为什么时间同步很重要？TOTP硬件令牌的平均时间漂移可能每年最多2分钟...在一段时间（即1-2年）后，某些令牌可能会漂移到全局同步窗口之外。 很少使用的令牌可能会漂移到身份验证服务器正在使用的同步窗口之外。 此外，组织担心会保留大量的硬件令牌：根本不使用的令牌的电池将几乎像新电池一样，但是时间漂移将完全不允许使用令牌，这导致此类投资完全不受保护。 为了解决这个问题，我们开发了产品，可以使用特殊的应用程序同步硬件时钟
自2019年2月以来，我们的第一个具有时间同步功能的令牌（
miniOTP-2和
OTPC-P1 ）已在我们的在线商店上线，第一个模型是专门为DUO或Okta等服务创建的，它们忽略了RFC建议并且不会自动调整时间漂移。
不受时间限制的同步
具有时间同步功能的第一个模型的时间同步功能
不受限制 ，这意味着修改令牌的时间不会更改种子值，因此存在重播攻击的风险很小，如下所述。
重播攻击详细信息更改硬件令牌上的时间并不像调整手表那样简单：如果仅更改系统时钟，则存在潜在的安全风险（TOTP代码重播攻击）。 代码重播攻击很容易解释。 假设有一个用户受到攻击，攻击者即使只有几分钟也可以访问硬件令牌。 如果我们仅允许更改时间，则攻击者可以设置将来的时间并记下令牌生成的OTP代码。 这个过程可以重复很多次，因此，攻击者将拥有100个OTP代码，受害人的令牌将在不久（或将来）的特定时间显示。 同时，值得一提的是，此类攻击的风险很小，并且只有满足以下所有条件，才可以执行此攻击：
- 攻击者已经知道第一个因素（用户名和密码）
- 攻击者可以物理访问硬件令牌
- 攻击者可以在很长一段时间内谨慎地通过NFC访问硬件令牌（即，需要15至20分钟来设置时间，生成大量未来的OTP代码并设置时间）。
这些条件相对难以满足，可以与硬件令牌被盗的情况进行比较。
限时同步
新模型的
时间同步受到限制 ，这意味着设置时间将出于安全目的自动清除种子（以避免发生重放攻击的风险）。 但是，出于相同的原因，不建议将这些模型与不支持时间漂移的系统（例如DUO）一起使用。
因此，具有受限时间同步的硬件令牌的主要优势是可以在很长一段时间后将其注册到RFC兼容系统中（即您可以今天购买令牌，并在调整时间后几年内注册）。
如何订购？
随时
在线下订单。 使用促销代码
HABR201904可获得5％的折扣。