Azərbaycanca
Беларускі
Dansk
Deutsch
Española
Français
Indonesia
Italiana
日本語
Қазақ
Lietuvos
Nederlands
Português
Русский
සිංහල
แบบไทย
Türkçe
Українська
中國人
United State
Afrikaans
Zaman tabanlı tek seferlik parola algoritması (TOTP), üretildiği zaman aralığının benzersizliğini alarak, tek seferlik parola üreten bir HMAC Tabanlı Bir-Zamanlı Parola algoritmasının (HOTP) uzantısıdır. İnternet Mühendisliği Görev Gücü standardı RFC 6238 olarak kabul edilmiştir. (OATH) temel taşıdır ve iki faktörlü kimlik doğrulama sistemlerinde kullanılır.
Ağ ya da insan kaynaklı gecikme veya senkronize edilmemiş saatler nedeniyle, tek seferlik parola, kimlik doğrulayıcı ile kimliği doğrulanacak taraf arasında bir süre boyunca aktif olmalıdır. Burada, taraflar arasında geçerliliği sağlamak için zaman daha büyük sürelere (örneğin, 30 saniye) düşürülür. Bununla birlikte, HOTP'de olduğu gibi, azalan benzersizlik, oran sınırlaması gibi ek önlemler gerektirir.
Algoritma
TOTP kimlik doğrulaması oluşturmak için kimliği doğrulanacak taraf ve kimlik doğrulayıcı hem HOTP parametrelerini hem de aşağıdaki TOTP parametrelerini önceden belirlemelidir:
- T0, zaman adımlarını saymaya başlamak için kullanılan Unix zamanı (varsayılan 0'dır)
- Tx, sayaç CT değerini hesaplamak için kullanılacak bir zaman aralığı (varsayılan 30 saniyedir)
Hem kimlik doğrulayıcı hem de kimliği doğrulanacak taraf, TOTP değerini hesaplar, ardından kimlik doğrulayıcı, kimliği doğrulanacak tarafından sağlanan TOTP değeriyle, yerel olarak üretilen TOTP değerinin aynı olup olmadığını kontrol eder. Bazı kimlik doğrulayıcılar, saatteki sapma, ağ gecikmesi veya kullanıcı gecikmelerinin hesaba katılması için mevcut saatten önce veya sonra üretilmiş olması gereken değerlere izin verir.
TOTP değeri
TOTP, HOTP algoritmasını kullanarak sayacı geçerli zamana göre azalan olmayan bir değerle değiştirir.
- TOTP değer (K) = HOTP değer (K, CT)
Zaman sayacı, CT, tam sayı cinsinden olacak şekilde süre sayar. Tx, Unix zaman, T'yi temel alan bir değerdir. T0 bir Unix dönemidir (epoch). Diğer değerler, tam sayı saniye cinsindendir.
Unix zamanının, özellikle artık saniye UTC'ye eklendiği durumlar başta olmak üzere, monotonik olmadığını unutmayın.
Pratik düşünceler
Kimlik doğrulama işlemlerinin çalışması için kimliği doğrulanacak taraf ve kimlik doğrulayıcının saatlerinin kabaca senkronize edilmesi gerekir (kimlik doğrulayıcı tipik olarak kimliği doğrulanacak kişinin zaman bilgisinden ± 1 zaman aralığında farklılık gösteren zaman bilgisiyle oluşturulan tek seferlik parolaları kabul eder).
Zayıf yönleri ve güvenlik açıkları
TOTP değerleri, diğer parolaların çalınabildiği gibi çalınabilir. Ancak, saldırganların kimlik bilgilerini sonradan toplamak yerine, gerçek zamanlı olarak vekil sunucuya ihtiyaçları vardır.
Oturum açma girişimlerini sınırlamayan uygulamalar, değerlerin kaba kuvvet yöntemiyle çalınmasına açık kapı bırakır.
Paylaşılan bilgiyi çalan bir saldırgan, ilerisi için yeni ve geçerli bir TOTP değeri üretebilir. Saldırgan büyük bir kimlik doğrulama veritabanını ihlal ederse, bu ciddi bir problem olabilir.
TOTP aygıtlarının pillerinin tükenmesi, senkronizasyonun bozulmasına neden olabileceği veya TOTP yazılımlarının bulunduğu telefonların çalınma ya da kaybolabilme durumu olabileceği için, tüm gerçek dünyadaki uygulamaların korumayı atlatma/iptal etme yöntemleri vardır (örneğin: basılı kodlar, e-posta sıfırlama yöntemi vs.). Bu, hatırı sayılır bir destek yüküne neden olabilir ve sahte kullanıcılara yararlanabilecekleri ek yollar sunar.
TOTP değerleri ekranda gösterdikleri süreden daha uzun süre geçerlidir (genellikle iki katı). Bu, kimliği doğrulayan ve kimliği doğrulanacak tarafların saatlerinin arasında büyük bir fark olabileceği durumlar için bir imtiyazdır.
Tüm tek seferlik parola tabanlı kimlik doğrulama şemaları (diğerlerinin yanı sıra TOTP ve HOTP dahil olmak üzere), yine de ele geçirilebilir, yani bir saldırgan, oturum açtıktan sonra kullanıcının oturumunu yönetebilir.
Tarihçe
Endüstri destekli bir standart oluşturmak için birkaç OATH üyesinin işbirliği ile bir TOTP taslağı geliştirilmiştir. Bu standart, etkinlik tabanlı tek seferlik standart HOTP'yi tamamlar ve son kullanıcı kurum ve kuruluşlarına uygulama gereksinimlerine ve güvenlik yönergelerine en uygun teknolojileri seçmede daha fazla seçenek sunar. 2008 yılında, OATH, şartnamenin taslak bir versiyonunu IETF'ye sunmuştur. Bu sürüm, yazarların IETF'ye sunulan önceki sürümlere dayanarak teknik topluluktan aldığı tüm geri bildirimleri ve yorumları içerir. Mayıs 2011'de, TOTP resmen RFC 6238 standardı olmuştur.
Kaynakça
- ^ a b Boş kaynak ()
- ^ 12 Kasım 2020 tarihinde Wayback Machine sitesinde [https://web.archive.org/web/20201112032021/https://www.wired.com/2011/06/rsa-replaces-securid-tokens/ arşivlendi.]]
- ^ "Arşivlenmiş kopya". 23 Ocak 2013 tarihinde kaynağından arşivlendi. Erişim tarihi: 7 Nisan 2019.
Dış bağlantılar
- Jupyter Not Defteri'nde adım adım Python uygulaması 6 Nisan 2019 tarihinde Wayback Machine sitesinde .
wikipedia, wiki, viki, vikipedia, oku, kitap, kütüphane, kütübhane, ara, ara bul, bul, herşey, ne arasanız burada,hikayeler, makale, kitaplar, öğren, wiki, bilgi, tarih, yukle, izle, telefon için, turk, türk, türkçe, turkce, nasıl yapılır, ne demek, nasıl, yapmak, yapılır, indir, ücretsiz, ücretsiz indir, bedava, bedava indir, mp3, video, mp4, 3gp, jpg, jpeg, gif, png, resim, müzik, şarkı, film, film, oyun, oyunlar, mobil, cep telefonu, telefon, android, ios, apple, samsung, iphone, xiomi, xiaomi, redmi, honor, oppo, nokia, sonya, mi, pc, web, computer, bilgisayar
Zaman tabanli tek seferlik parola algoritmasi TOTP uretildigi zaman araliginin benzersizligini alarak tek seferlik parola ureten bir HMAC Tabanli Bir Zamanli Parola algoritmasinin HOTP uzantisidir Internet Muhendisligi Gorev Gucu standardi RFC 6238 olarak kabul edilmistir OATH temel tasidir ve iki faktorlu kimlik dogrulama sistemlerinde kullanilir Ag ya da insan kaynakli gecikme veya senkronize edilmemis saatler nedeniyle tek seferlik parola kimlik dogrulayici ile kimligi dogrulanacak taraf arasinda bir sure boyunca aktif olmalidir Burada taraflar arasinda gecerliligi saglamak icin zaman daha buyuk surelere ornegin 30 saniye dusurulur Bununla birlikte HOTP de oldugu gibi azalan benzersizlik oran sinirlamasi gibi ek onlemler gerektirir AlgoritmaTOTP kimlik dogrulamasi olusturmak icin kimligi dogrulanacak taraf ve kimlik dogrulayici hem HOTP parametrelerini hem de asagidaki TOTP parametrelerini onceden belirlemelidir T0 zaman adimlarini saymaya baslamak icin kullanilan Unix zamani varsayilan 0 dir Tx sayac CT degerini hesaplamak icin kullanilacak bir zaman araligi varsayilan 30 saniyedir Hem kimlik dogrulayici hem de kimligi dogrulanacak taraf TOTP degerini hesaplar ardindan kimlik dogrulayici kimligi dogrulanacak tarafindan saglanan TOTP degeriyle yerel olarak uretilen TOTP degerinin ayni olup olmadigini kontrol eder Bazi kimlik dogrulayicilar saatteki sapma ag gecikmesi veya kullanici gecikmelerinin hesaba katilmasi icin mevcut saatten once veya sonra uretilmis olmasi gereken degerlere izin verir TOTP degeri TOTP HOTP algoritmasini kullanarak sayaci gecerli zamana gore azalan olmayan bir degerle degistirir TOTP deger K HOTP deger K CT Zaman sayaci CT tam sayi cinsinden olacak sekilde sure sayar Tx Unix zaman T yi temel alan bir degerdir T0 bir Unix donemidir epoch Diger degerler tam sayi saniye cinsindendir CT T T0TX displaystyle C T left lfloor frac T T 0 T X right rfloor Unix zamaninin ozellikle artik saniye UTC ye eklendigi durumlar basta olmak uzere monotonik olmadigini unutmayin Pratik dusuncelerKimlik dogrulama islemlerinin calismasi icin kimligi dogrulanacak taraf ve kimlik dogrulayicinin saatlerinin kabaca senkronize edilmesi gerekir kimlik dogrulayici tipik olarak kimligi dogrulanacak kisinin zaman bilgisinden 1 zaman araliginda farklilik gosteren zaman bilgisiyle olusturulan tek seferlik parolalari kabul eder Zayif yonleri ve guvenlik aciklariTOTP degerleri diger parolalarin calinabildigi gibi calinabilir Ancak saldirganlarin kimlik bilgilerini sonradan toplamak yerine gercek zamanli olarak vekil sunucuya ihtiyaclari vardir Oturum acma girisimlerini sinirlamayan uygulamalar degerlerin kaba kuvvet yontemiyle calinmasina acik kapi birakir Paylasilan bilgiyi calan bir saldirgan ilerisi icin yeni ve gecerli bir TOTP degeri uretebilir Saldirgan buyuk bir kimlik dogrulama veritabanini ihlal ederse bu ciddi bir problem olabilir TOTP aygitlarinin pillerinin tukenmesi senkronizasyonun bozulmasina neden olabilecegi veya TOTP yazilimlarinin bulundugu telefonlarin calinma ya da kaybolabilme durumu olabilecegi icin tum gercek dunyadaki uygulamalarin korumayi atlatma iptal etme yontemleri vardir ornegin basili kodlar e posta sifirlama yontemi vs Bu hatiri sayilir bir destek yukune neden olabilir ve sahte kullanicilara yararlanabilecekleri ek yollar sunar TOTP degerleri ekranda gosterdikleri sureden daha uzun sure gecerlidir genellikle iki kati Bu kimligi dogrulayan ve kimligi dogrulanacak taraflarin saatlerinin arasinda buyuk bir fark olabilecegi durumlar icin bir imtiyazdir Tum tek seferlik parola tabanli kimlik dogrulama semalari digerlerinin yani sira TOTP ve HOTP dahil olmak uzere yine de ele gecirilebilir yani bir saldirgan oturum actiktan sonra kullanicinin oturumunu yonetebilir TarihceEndustri destekli bir standart olusturmak icin birkac OATH uyesinin isbirligi ile bir TOTP taslagi gelistirilmistir Bu standart etkinlik tabanli tek seferlik standart HOTP yi tamamlar ve son kullanici kurum ve kuruluslarina uygulama gereksinimlerine ve guvenlik yonergelerine en uygun teknolojileri secmede daha fazla secenek sunar 2008 yilinda OATH sartnamenin taslak bir versiyonunu IETF ye sunmustur Bu surum yazarlarin IETF ye sunulan onceki surumlere dayanarak teknik topluluktan aldigi tum geri bildirimleri ve yorumlari icerir Mayis 2011 de TOTP resmen RFC 6238 standardi olmustur Kaynakca a b Bos kaynak yardim 12 Kasim 2020 tarihindeWayback Machine sitesinde https web archive org web 20201112032021 https www wired com 2011 06 rsa replaces securid tokens arsivlendi Arsivlenmis kopya 23 Ocak 2013 tarihinde kaynagindan arsivlendi Erisim tarihi 7 Nisan 2019 Dis baglantilarJupyter Not Defteri nde adim adim Python uygulamasi 6 Nisan 2019 tarihinde Wayback Machine sitesinde