स्मार्टफोन का उपयोग करते हुए एक समय पासवर्ड

प्रस्तावना: यह लेख पिछले सप्ताह के दौरान तैयार किया गया था और रविवार रात सैंडबॉक्स के लिए एक लेख के रूप में भेजा गया था। आज मुझे एक आमंत्रण मिला है, लेकिन मुझे एक समान विषय के साथ एक लेख भी मिला है - मोबाइल उपकरणों का उपयोग करते हुए दो-कारक प्रमाणीकरण के मुद्दे पर , इसलिए मैं इस लेख के लेखक से पूरी तरह सहमत हूं - "हाल ही में बहुत सारे संयोग हैं।" उन्होंने लेख को प्रकाशित करने का फैसला किया क्योंकि यह मूल रूप से कल्पना की गई थी, उन्होंने सूत्रों से केवल लिंक जोड़े।

Habrahabr पर हाल के प्रकाशनों के बाद सुरक्षा, पासवर्ड, पासवर्ड क्रैकिंग आदि के लिए समर्पित। मैं एक बार के पासवर्ड का उपयोग करके प्राधिकरण के विचार के साथ आया था जो उपयोगकर्ताओं के स्मार्टफ़ोन पर एक विशेष एप्लिकेशन द्वारा उत्पन्न होता है। यह विचार उस विचार से बहुत मिलता-जुलता है जिसका उपयोग सिक्योरआईडी उपकरणों में किया जाता है (और जो हाल ही में हैब्रह्ब पर भी कवर किए गए थे)। आधुनिक स्मार्टफोन बढ़ती संख्या में लोगों के लिए उपलब्ध हैं और उनकी क्षमताएं इस तरह की योजना को लागू करने के लिए काफी हैं। इस लेख में मैं एक स्मार्टफोन + वेबसाइट बंडल, कुछ कार्यान्वयन सुविधाओं की बातचीत के विचार का वर्णन करना चाहता हूं और एक कार्यशील प्रोटोटाइप दिखाना चाहता हूं।



यह विचार सरल है - साइट पर पंजीकरण करते समय, उपयोगकर्ता को वैकल्पिक रूप से वन-टाइम पासवर्ड उत्पन्न करने के लिए स्मार्टफोन पर स्थापित प्राधिकरण के लिए एक विशेष एप्लिकेशन का उपयोग करने का अवसर दिया जा सकता है। ऐसा करने के लिए, सर्वर साइड पर, प्रत्येक उपयोगकर्ता के लिए एक अद्वितीय गुप्त कुंजी उत्पन्न होती है, जिसे स्मार्टफोन में स्थानांतरित किया जाना चाहिए। इसके अलावा, इस कुंजी के आधार पर, स्मार्टफोन के किनारे पर एप्लिकेशन एक बार पासवर्ड उत्पन्न करेगा। प्रत्येक पासवर्ड का जीवनकाल सीमित है। क्योंकि चूँकि सभी आधुनिक स्मार्टफ़ोन कैमरों से लैस हैं, मेरी राय में, एक गुप्त कुंजी को स्थानांतरित करने का सबसे आसान तरीका, एक QR कोड को पढ़ना और पहचानना है जिसमें स्मार्टफोन के कैमरे का उपयोग करके एक गुप्त कुंजी है। बेशक, आप मैन्युअल रूप से कुंजी दर्ज कर सकते हैं, एसएमएस के माध्यम से भेज सकते हैं, सर्वर द्वारा उत्पन्न लिंक का उपयोग करके कुंजी फ़ाइल डाउनलोड कर सकते हैं, लेकिन ऐसे समाधान हमेशा सुविधाजनक नहीं होते हैं। यह विधि साइटों पर प्राधिकरण की मुख्य विधि होने का दावा नहीं करती है, लेकिन इसे प्राधिकरण के वैकल्पिक साधन के रूप में इस्तेमाल किया जा सकता है।

साइट पर पंजीकरण करते समय उपयोगकर्ता की क्रियाओं का क्रम निम्नानुसार है:

• साइट पर पंजीकरण करते समय (या पंजीकरण के बाद), उपयोगकर्ता वन-टाइम पासवर्ड का उपयोग करके एक अतिरिक्त प्रमाणीकरण विकल्प चुन सकता है।
• यदि यह विकल्प चुना जाता है, तो सर्वर एक गुप्त कुंजी उत्पन्न करता है, इसे डेटाबेस में सहेजता है और इसे उपयोगकर्ता के साथ जोड़ता है।
• गुप्त कुंजी बनाने के बाद, उपयोगकर्ता को एक QR कोड के साथ एक छवि उत्पन्न होती है जिसमें गुप्त कुंजी होती है।
• उपयोगकर्ता स्मार्टफोन के कैमरे का उपयोग करके गुप्त कुंजी का मूल्य पढ़ता है।
• स्मार्टफोन पर एप्लिकेशन गुप्त कुंजी को बचाता है, इसे साइट के साथ जोड़ता है और इसका उपयोग एक-बार पासवर्ड बनाने के लिए करता है।

क्यूआर कोड व्यापक प्रसार के कारण चुने गए थे, केवल क्यूआर कोड का उपयोग करके आप काफी बड़ी मात्रा में डेटा (सैकड़ों और हजारों वर्ण) स्थानांतरित कर सकते हैं, लेकिन डेटा को एन्कोडिंग के किसी भी अन्य तरीके का उपयोग करने से कुछ भी नहीं रोकता है।
HOTP एल्गोरिथ्म को एक बार पासवर्ड बनाने के लिए आधार के रूप में लिया गया था। एल्गोरिथ्म एक खुला मानक है और स्वतंत्र रूप से उपलब्ध है। उसके लिए एक संबंधित RFC 4226 भी है।

विचार को लागू करने और परीक्षण करने के लिए, Google ऐप इंजन + एक एंड्रॉइड स्मार्टफोन का एक गुच्छा चुना गया था। साइट का डेमो संस्करण http://grey-box.appspot.com/ पर स्थित है। एंड्रॉइड स्मार्टफोन के लिए एक छोटे डेमो एप्लिकेशन का लिंक भी है, 1.6 और उच्चतर एंड्रॉइड ओएस संस्करणों का समर्थन किया जाता है। दोनों अनुप्रयोग काफी सरल हैं, इसलिए मैं उन्हें विस्तार से वर्णन नहीं करूंगा, मैं केवल सबसे दिलचस्प बिंदुओं पर ध्यान केंद्रित करूंगा।

दोनों अनुप्रयोगों का आधार वन-टाइम पासवर्ड की गणना है। जब भी कोई उपयोगकर्ता साइट पर लॉग इन करना चाहता है, वह एक विशेष एप्लिकेशन का उपयोग करके अपने स्मार्टफोन पर एक बार का पासवर्ड बनाता है। पासवर्ड समयबद्ध होते हैं और इनकी सीमित वैधता अवधि होती है। जब उपयोगकर्ता बनाया पासवर्ड दर्ज करता है, तो सर्वर एक ही कार्य करता है - अपनी तरफ से एक पासवर्ड उत्पन्न करता है। यदि पासवर्ड मेल खाते हैं, तो प्राधिकरण सफल होता है। समान पासवर्ड उत्पन्न करने के लिए, सर्वर और स्मार्टफोन को एक ही प्रारंभिक डेटा के आधार पर पासवर्ड बनाना होगा। यह प्रारंभिक डेटा उपयोगकर्ता की गुप्त कुंजी और वर्तमान समय है। जब सर्वर एक गुप्त कुंजी बनाता है, तो यह उस समय भी बचाता है जब कुंजी उत्पन्न हुई थी (यूनिक्स टाइमस्टैम्प के रूप में)। गुप्त कुंजी और मुख्य पीढ़ी का समय एक क्यूआर कोड में एन्कोड किया गया है और स्मार्टफोन को प्रेषित किया जाता है। स्मार्टफोन पर एप्लिकेशन गुप्त कुंजी और मुख्य पीढ़ी के समय को पढ़ता है और सर्वर की तरफ और स्मार्टफोन की तरफ के समय के बीच के अंतर की गणना करता है। भविष्य में, इस अंतर का उपयोग समय को सिंक्रनाइज़ करने के लिए किया जाता है।

सर्वर साइड पर, 3 मुख्य कार्य किए जाने चाहिए:

• गुप्त प्रमुख पीढ़ी
• QR कोड जनरेशन
• वन-टाइम पासवर्ड जेनरेशन और वेरिफिकेशन

निम्नलिखित पायथन कोड के प्रासंगिक भाग हैं।

#   . import time import hmac from hashlib import sha1 ... OTP_TTL = 300 #    ,   #   username = request.get(“username”) timestamp = int(time.time()) / OTP_TTL #    secret_key = hmac.new(str(timestamp) + username, digestmod=sha1).hexdigest().upper() #       .. 

क्यूआर कोड के साथ एक तस्वीर उत्पन्न करने के लिए, सबसे सरल विकल्प विभिन्न बारकोड उत्पन्न करने के लिए किसी भी सेवा का उपयोग करना है। ऐसी कई सेवाएँ हैं, इस प्रणाली में एक सेवा का उपयोग किया गया था जो कि Google Corporation - Google Charts Tools द्वारा प्रदान की जाती है। यह सेवा आपको विभिन्न ग्राफ, चार्ट और विभिन्न बारकोड बनाने की अनुमति देती है। कार्यान्वयन की आसानी के कारणों के लिए एक समान विधि का उपयोग किया गया था, वास्तविक प्रणालियों के लिए सर्वर साइड पर बारकोड उत्पन्न करना बेहतर होता है।

 QR_TPL = "https://chart.googleapis.com/chart?chs=100x100&cht=qr&chl=%s&choe=UTF-8" qr_url = QR_TPL % ('%s:%s' % (secret_key, timestamp)) #      HTML   . ... 

वन-टाइम पासवर्ड जनरेशन।

 import time import hmac from hashlib import sha1 … OTP_TTL = 300 #    ,   TRUNCATE_MASK = 0x7FFFFFFF #       MOD = 1000000 #         #   username = request.get("username") password = request.get("password") #       st = storage.gql("where user = :1", username).get() secret_key =st.secret_key #  timestamp timestamp = int(time.time()) / OTP_TTL #    ... one_time_password = str((int(hmac.new(secret_key, str(timestamp), sha1).hexdigest(), 16) & TRUNCATE_MASK) % MOD) # ...         if password == one_time_password: #   else: #  

स्मार्टफोन की तरफ, 2 मुख्य कार्य किए जाते हैं:

• डेटा स्टोरेज के बाद क्यूआर कोड को पढ़ना और पहचानना
• एक समय पासवर्ड पीढ़ी

बारकोड को पढ़ने और पहचानने के लिए कई पुस्तकालय हैं, शायद सबसे अधिक सक्रिय रूप से उपयोग किया जाने वाला और व्यापक रूप से ज़क्सिंग ओपन लाइब्रेरी है। यह लाइब्रेरी कई प्लेटफ़ॉर्म का समर्थन करती है, जिसमें Google Android और Apple iOS शामिल हैं। इस लाइब्रेरी के आधार पर, ओपन एप्लिकेशन बारकोड स्कैनर भी लागू किया गया है, यह एप्लिकेशन भी काफी सामान्य है और अक्सर कई नए एंड्रॉइड स्मार्टफोन्स पर प्रीइंस्टॉल्ड होता है। यह मूल रूप से इस लाइब्रेरी को एप्लिकेशन में एकीकृत करने के लिए बनाया गया था, लेकिन इंटरनेट और दस्तावेज पर लंबी खोजों के बाद, यह एहसास हुआ कि यह सबसे तेज़ और आसान तरीका नहीं था। एंड्रॉइड प्लेटफॉर्म प्रदान करने वाले इरादे कॉल तंत्र का उपयोग करने का निर्णय लिया गया था। इस दृष्टिकोण के साथ, आवेदन में आवश्यक कार्यक्षमता को एकीकृत करना बहुत आसान है, हालांकि यदि आवश्यक हो तो उपयोगकर्ताओं को बारकोड स्कैनर स्थापित करना होगा। यह इस दृष्टिकोण का एक माइनस है, लेकिन प्लसस हैं - आपको सभी संभावित स्मार्टफोन मॉडल, वर्तमान और भविष्य के साथ-साथ समर्थन करने की आवश्यकता नहीं है - यह वही है जो ज़क्सिंग विकास दल करता है । आप अन्य बारकोड पहचान अनुप्रयोगों के लिए समर्थन भी लागू कर सकते हैं और एक बारकोड स्कैनर तक सीमित नहीं हैं।

निम्नलिखित जावा कोड का एक छोटा सा टुकड़ा है जो बारकोड स्कैनर एप्लिकेशन की प्रतिक्रिया को कॉल करने और संसाधित करने के लिए उपयोग किया जाता है।

 ... //  Barcode Scanner Intent,      Intent intent = new Intent("com.google.zxing.client.android.SCAN"); intent.putExtra("SCAN_MODE", "QR_CODE_MODE"); startActivityForResult(intent, 0); ... //           Barcode Scanner public void onActivityResult(int requestCode, int resultCode, Intent intent) { if (requestCode == 0) { if (resultCode == RESULT_OK) { //      String contents = intent.getStringExtra("SCAN_RESULT"); // …      … } } } ... 

वन-टाइम पासवर्ड जनरेशन।

 //   import java.math.BigInteger; import java.security.InvalidKeyException; import java.security.NoSuchAlgorithmException; import javax.crypto.Mac; import javax.crypto.spec.SecretKeySpec; ... // ,       long OTP_TTL = 300; long TRUNCATE_MASK = 0x7FFFFFFF; long MOD = 1000000; ... //     String secret_key = key_storage.getString("secret_key", ""); //     long time_delta = key_storage.getLong("time_delta", 0); long local_time = (System.currentTimeMillis()/1000) / TIME_MASK; long server_time = local_time + time_delta; try { SecretKeySpec keySpec = new SecretKeySpec(secret_key.getBytes(), "HmacSHA1"); Mac mac = Mac.getInstance("HmacSHA1"); mac.init(keySpec); byte[] result = mac.doFinal(Long.toString(server_time).getBytes()); password = Long.toString((new BigInteger(1, result).intValue() & TRUNCATE_MASK) % MOD); } catch (NoSuchAlgorithmException e) { ... } catch (InvalidKeyException e) { ... } //     ... 

स्मार्टफोन के लिए एक सरल साइट प्रोटोटाइप और डेमो एप्लिकेशन http://grey-box.appspot.com/ पर उपलब्ध है। एंड्रॉइड एप्लिकेशन को प्रामाणिक आईडी कहा जाता है और इसे काम करने के लिए किसी विशेष अनुमति या एक्सेस अधिकार की आवश्यकता नहीं होती है। एकमात्र आवश्यकता बारकोड स्कैनर एप्लिकेशन की उपलब्धता है, जिसका उपयोग QR कोड को स्कैन करने के लिए किया जाता है। फिलहाल, प्रामाणिक आईडी एप्लिकेशन की कार्यक्षमता न्यूनतम है, एप्लिकेशन केवल एक उपयोगकर्ता के लिए और केवल डेमो साइट के लिए कुंजी को बचा सकता है। यदि आप किसी अन्य उपयोगकर्ता के तहत पंजीकरण करते हैं, तो गुप्त कुंजी मौजूदा एक के ऊपर फिर से लिखी जाएगी। भविष्य में, आप विभिन्न साइटों और उपयोगकर्ताओं के लिए कुंजियों के संरक्षण को जोड़ सकते हैं, यह सब, बेशक, बशर्ते कि यह प्राधिकरण योजना वितरित हो। मुझे किसी भी टिप्पणी और सुझाव पर खुशी होगी।

संदर्भ:
http://ru.wikipedia.org/wiki/QR-%D0%BA%D0%BE%D0%B4 - QR कोड क्या हैं
http://en.wikipedia.org/wiki/HOTP - HOTP एल्गोरिथ्म का वर्णन
http://tools.ietf.org/html/rfc4226 - HOTP एल्गोरिथ्म के लिए RFC 4226
https://chart.googleapis.com - Google चार्ट उपकरण
http://code.google.com/p/zxing/ - विभिन्न बारकोड को स्कैन करने और पहचानने के लिए लाइब्रेरी को ज़ोक्स करना।
http://grey-box.appspot.com/ - डेमो साइट और एप्लिकेशन आइडिया को दर्शाते हैं।

पीएस स्रोत परीक्षण पंजीकरण और लॉगिन के बाद उपलब्ध हैं। कोड परीक्षण है और विचार की कार्य क्षमता को सत्यापित करने के लिए पूरी तरह से बनाया गया था, यह वास्तविक उपयोग के लिए अनुशंसित नहीं है।