Hvordan virker passordkalkulator?

[Fin Skjorte]

Flere banker bruker denne passordkalkulatoren

Men har aldri fått med meg hvordan den funker.

Er den en algoritme som genererer en kode, eller er det forhåndsbestemte tall?

Er evnt tid en variabel i algoritmen?

Og hvordan samkjører banken sine servere opp mot digipasset?

 

Og ikke minst hvor sikkert er det?

 

Håper noen vet!

[V-by]

henger meg på jeg, lurer også på det

[Piratpjokken]

bruker de ikke en satellit for kontakt?

[Fin Skjorte]

bruker de ikke en satellit for kontakt?

6936132[/snapback]

neppe for de funker jo uansett om man er langt inni fjell etc!

[_WaX^_]

hmm. har også en slik som jeg har testet litt med... trykket flere ganger for å se om koden etter fks 5 trykk fungerer... vil regne med at denne fungerer akkurat som en DEFA alarm... det ligger inne ca et par hundre koder som man kan bruke.. for min del vil jeg kalle det usikkert... har noen prøvd å taste vilkårlige tall? det er vel helst den personlige koden som teller nå vil jeg tro.

[Fin Skjorte]

men om du får en kode nå så funker ikke den om ti minutter...

[Blib]

Iflg en HTML-fil jeg fant genererer den nytt passord hvert 36. sekund.

[Fin Skjorte]

men hvordan generere den den da?

[Zeph]

Kalkulatoren må jo være programmert for akkurat din konto, korleis skal den ellers vite kva passord som er riktig?

[Blib]

All tokens function by taking an input value,

encrypting it with an encryption algorithm,

and displaying the result as the one-time

dynamic password. The displayed result must be

unpredictable. The encryption process uses a secret

key within each token as part of the process to

generate the password. The secret keys are assigned

to specific users and thus tie them to a specific token.

The encryption process can use any number of

different algorithms which we won’t go into, but it is

important to know that a good encryption process is

difficult to break even if the input is known.

Regner du kan få svarene dine her:

http://72.14.221.104/search?q=cache:lco2xa...vent_Tkn_wp.pdf

[_WaX^_]

Kalkulatoren må jo være programmert for akkurat din konto, korleis skal den ellers vite kva passord som er riktig?

6938577[/snapback]

 

 

Nå skjønner iallefall jeg det.

 

Som tidligere skrevet at den fungerer som en defa alarm. den har inne mange 1000koder og skifter i takt med en server som kanskje har litt slark på at den kanskje godtar 3 koder samtidig dersom kalkulatoren din ikke klarer å passe tiden. skifter hvert 36'sec og det gjør serveren hos banken også. forskjellig kodesett per konto og syncet for å fungere mellom hverandre. og la oss si at kalkulatoren går i ring etter 100 dager? og begynner helt fra starten av igjen.

det skulle ikke være noe hokus pokus å få til noe slikt?

 

tror dere jeg er inne på noe?

[Zeph]

Høyrest fornuftig ut det, det er jo ingen kommunikasjon mellom server og kalkulator, så ei klokke som held styr på kva kode som verkar når kan eg tru på.

[Fin Skjorte]

men lager den nye koder, eller er det bare et sett med koder som går om igjen og om igjen?

[_WaX^_]

men lager den nye koder, eller er det bare et sett med koder som går om igjen og om igjen?

6938648[/snapback]

 

Garantert et sett med kodar. for dette gikk jeg igjennom med en kompiss i går. og defa alarmer skal i teorien ha samme sikkerheten som de små brikkene der. de har inne uendeligt med koder. dvs at med rette maskinen og dekrypteringsprogrammvare skulle man kunne ta opp disse numrene og kunne bruke de... men hva er vitsen.. har man først fått tak i dingsen trykker man bare på knappen ^^ hehe

[Gjest medlem-82119]

De fleste slike har mllioner av koder lagret i seg, og en database med disse kodene finnes hos banken.

Den plukker så ut den første og beste 8 siffrede koden og så taster vi selv inn de 6 første sifferne.

Når koden mottas hos banken, returneres de to siste tallene til brukeren som bekreftelse.

Tror ikke de er mer avanserte enn de gamle kodekortene som man brukte før.

Før så logget man seg inn med et passord og ble bedt om å taste inn kode 1, neste gang ble man bedt om å taste inn kode 2 osv og når det var 10-15 koder igjen på kortet fikk man nytt tilsendt.

Tror denne boksen egentlig gjør akkurat det samme, bare at man har flere koder tilgjengelige.

Hvis noen prøver å gjette passord og kode og bommer for mange ganger, så sperres tjenesten.

Med andre ord, er nok bare en liste med koder som er lagret.

[vidarlo]

De fleste slike har mllioner av koder lagret i seg, og en database med disse kodene finnes hos banken.

Den plukker så ut den første og beste 8 siffrede koden og så taster vi selv inn de 6 første sifferne.

Når koden mottas hos banken, returneres de to siste tallene til brukeren som bekreftelse.

Tror ikke de er mer avanserte enn de gamle kodekortene som man brukte før.

Før så logget man seg inn med et passord og ble bedt om å taste inn kode 1, neste gang ble man bedt om å taste inn kode 2 osv og når det var 10-15 koder igjen på kortet fikk man nytt tilsendt.

Tror denne boksen egentlig gjør akkurat det samme, bare at man har flere koder tilgjengelige.

Hvis noen prøver å gjette passord og kode og bommer for mange ganger, så sperres tjenesten.

Med andre ord, er nok bare en liste med koder som er lagret.

6950254[/snapback]

Totalt feil.

Det er somregel ein nøkkel som blir lagra både hos banken og deg.

Så tar du tida som input 1, og koden brukeren (eventuelt) taster inn som input 2, og kjører det gjennom en matematisk funksjon sammen med nøkkelen. Banken gjer det samme.

Mao, matematisk sett så blir det

f(x+y)=z der f er en funksjon som lager hash av x+y og returnerer koden du taster inn i nettbanken (z). Kva funksjon som vert nytta er uviktig. (x og y er input fra nøkkelen og brukeren). Banken gjer nøyaktig samme operasjon, og om svaret blir det samme slepp du inn.

 

Ein del løysinger, m.a RSA sine, har innebygd korreksjon av tid, slik at banken kan finne ut kva tidspunkt den skal nytte ved å heile tida vite ca. kor mykje avvik ditt token har fra banken si klokke...

[vidarlo]

Kalkulatoren må jo være programmert for akkurat din konto, korleis skal den ellers vite kva passord som er riktig?

6938577[/snapback]

 

 

Nå skjønner iallefall jeg det.

 

Som tidligere skrevet at den fungerer som en defa alarm. den har inne mange 1000koder og skifter i takt med en server som kanskje har litt slark på at den kanskje godtar 3 koder samtidig dersom kalkulatoren din ikke klarer å passe tiden. skifter hvert 36'sec og det gjør serveren hos banken også. forskjellig kodesett per konto og syncet for å fungere mellom hverandre. og la oss si at kalkulatoren går i ring etter 100 dager? og begynner helt fra starten av igjen.

det skulle ikke være noe hokus pokus å få til noe slikt?

 

tror dere jeg er inne på noe?

6938603[/snapback]

Nei. Les på wikipedia: http://en.wikipedia.org/wiki/Security_token

 

Der står ganske bra om dei, og dei har garantert ikkje innebygd kodeliste...