¿Cómo funcionan las OTP de hardware, desde la perspectiva de un desarrollador?

Te puede interesar leer:

• HOTP: un algoritmo de contraseña de un solo uso basado en HMAC (RFC 4226)
• TOTP: Una sola vez basada en el tiempo Algoritmo de contraseña (RFC 6238)

Ambos describen formas estándar de crear una contraseña única.

  

¿Todos los tokens OTP de hardware (estándar) requieren que el desarrollador pase el OTP al servidor del fabricante para su verificación?

Hay dos opciones aquí: * El token OTP es específico para su aplicación, ya sea que fabrique su propio token de hardware, flash con su propio token secreto creado por otros o comprado el token a un fabricante (que le proporcionará un archivo con las claves secretas para su token ( s)), en cuyo caso no se necesita comunicación con el fabricante durante la operación.

Sin embargo, si el fabricante proporciona el token OTP como un servicio para varias entidades (como YubiCloud), entonces sí, la aplicación tendría que preguntar al servidor del fabricante cada vez que el token OTP es válido.

Suponga que tiene una forma de verificar tokens sin un registro central, tal vez porque el token tiene una firma incrustada (puede verificar con una clave pública asociada al dispositivo). Luego, cuando intenta iniciar sesión en el sitio web A, podría copiar su token y hacerse pasar por él en el sitio web B.

(U2F está diseñado para evitar este problema al incluir un desafío, pero ya no es un token OTP simple)

  

Si un token OTP (por ejemplo, una tarjeta inteligente) no tiene una conexión USB ni una pantalla, ¿cómo se transfiere la contraseña única al usuario? ¿A través del acceso directo a la API? ¿A través de una nueva ventana? ¿A través de un lector de tarjetas no conectado al PC?

Por lo general, la tarjeta inteligente se transfiere al usuario a través de un lector de tarjetas USB, aunque cualquier dispositivo que se abra, como el lector de tarjetas con una pantalla independiente que sugiera, realmente funcionará.

Como se indica en tu otra publicación:

No . No es necesario que pase el valor OTP al sitio de los fabricantes. Por lo general, si está comprando tokens OATH / HOTP puros en China (como Feitian), ni siquiera podrá hacer esto. Debe ejecutar su propio servidor como privacyIDEA .

La tarjeta inteligente generalmente no es un token OTP. Sin embargo, algunas tarjetas inteligentes como las de Gemalto sí tienen una aplicación OTP. En este caso, debe insertar la tarjeta inteligente en un lector de tarjetas inteligentes y necesita tener una aplicación adicional en su cliente. Esta aplicación se comunicará con la tarjeta inteligente para recuperar el valor OTP.