Contraseñas de ingeniería inversa para sistemas de autenticación de dos factores

Si el algoritmo de generación de OTP es bueno (y HOTP es bueno):

• el mejor ataque al conocer la contraseña generada por uno , y tratar de adivinar la siguiente, debe ser una búsqueda exhaustiva de la clave (y la búsqueda exhaustiva no es factible si la clave es lo suficientemente grande, por ejemplo, Clave de 128 bits);
• conocer muchas contraseñas anteriores no debería dar ninguna ventaja adicional al atacante.

El Apéndice A de RFC 4226 detalla el análisis de seguridad de HOTP; en su núcleo se encuentra la hipótesis de que HMAC / SHA-1 es una función aleatoria seleccionada por teclas:

  

Para ser más precisos, los mapas (c, n) denotan el conjunto de todas las funciones      mapeo de {0,1} ^ c a {0,1} ^ n. El algoritmo idealizado tiene clave.      Mapas espaciales (c, n), de modo que una "clave" para tal algoritmo es una función      h de {0,1} ^ c a {0,1} ^ n. Imaginamos que esta tecla (función) sea      dibujado al azar.

Este es el random oracle modelo. HMAC con una función hash segura, o incluso HMAC con una función hash ligeramente débil como SHA-1, es la mejor aproximación práctica de un oráculo aleatorio que los criptógrafos tienen en la tienda.

Para resumir la prueba de seguridad de HOTP:

• con un oráculo aleatorio, no sabes nada de la salida para una entrada dada hasta que lo pruebas en esa entrada exacta ;
• las contraseñas generadas son (derivadas de) la salida de HMAC / SHA-1, que se cree que son indistinguibles de un oráculo aleatorio, sobre un valor de contador;
• por lo tanto, nadie sabe nada de una contraseña que se generará hasta que el valor de contador correspondiente se ingrese realmente como entrada de HMAC / SHA-1, algo que no ocurrió anteriormente (para las contraseñas generadas más antiguas) porque es un contador y no se "envuelve".

Hay detalles que cuidar, por supuesto, pero los escritores de RFC son criptógrafos conocidos y la prueba detallada en el apéndice A es sólida y clara (y ha sido revisada por muchos otros criptógrafos, que es la verdadera prueba de seguridad) .

Según el RFC:

  

El análisis demuestra que estos pasos finales introducen una      sesgo insignificante, que no afecta a la seguridad del HOTP      algoritmo, en el sentido de que el mejor ataque posible contra el      La función HOTP es el ataque de fuerza bruta.      Asumiendo que un adversario es capaz de observar numerosos intercambios de protocolo.      y recopilar secuencias de valores de autenticación exitosos. Esta      adversario, tratando de construir una función F para generar valores HOTP basados      En sus observaciones, no tendrá una ventaja significativa sobre un      conjetura aleatoria      La conclusión lógica es que la mejor estrategia será una vez      una vez más, realizar un ataque de fuerza bruta para enumerar e intentar todo el      valores posibles.

De acuerdo con el análisis de seguridad, prácticamente no hay diferencia si almacena o tiene acceso a los antiguos valores de OTP. Básicamente, no puede usarlos para aumentar las posibilidades de encontrar un valor OTP correcto.

La seguridad del generador de contraseñas de un solo uso, obviamente, no debe debilitarse al conocer las contraseñas anteriores.

El punto clave es que el uso de criptografía simétrica con un key known only to the token and the validation service ( RFC 4226 ) no le permite limitar lo que llama posibles semillas debajo de espacio de búsqueda para la combinación de clave / algoritmo simétrico utilizada para el cifrado, que a su vez se debe elegir lo suficientemente grande / seguro para hacer que un ataque de fuerza bruta no sea práctico.