一次性密码安全风险

Question

我们正在开发一个 Web 应用程序，用户必须输入一次性密码（我们通过电子邮件发送给用户）才能完成操作。然而，如果恶意用户开发了一个机器人并猜测了我们生成一次性密码的模式，他可以输入一些随机电子邮件 ID，甚至不需要查看电子邮件就可以确认交易。这样他就可以通过错误确认来攻击系统。有人可以告诉我们人们如何处理这个问题吗？

谢谢

Answer 1

如果您的随机一次性密码与常规密码具有相同的熵，那么这应该与任何其他密码解决方案一样好。

这是一个示例密码生成片段，它应该是相当不可预测的：

import java.security.SecureRandom;
import java.util.Random;

class Test {

    public static String generatePassword() {
        String chars = "abcdefghijklmnopqrstuvwxyz"
                     + "ABCDEFGHIJKLMNOPQRSTUVWXYZ"
                     + "0123456789!@%$%&^?|~'\"#+="
                     + "\\*/.,:;[]()-_<>";

        final int PW_LENGTH = 20;
        Random rnd = new SecureRandom();
        StringBuilder pass = new StringBuilder();
        for (int i = 0; i < PW_LENGTH; i++)
            pass.append(chars.charAt(rnd.nextInt(chars.length())));
        return pass.toString();
    }

    public static void main(String[] args) {
        System.out.println(generatePassword());
        System.out.println(generatePassword());
        System.out.println(generatePassword());
    }
}

输出：

Qp';Md#93Dxh\0|%%Ny7
oqvntn2).~W@%P'EM*AS
WEo2sz2Sm~a'm=Ss&Lu[

Answer 2

我从你的问题描述中猜测，你生成的“一次性密码”实际上是某种形式的粗加密，你可以逆转该过程以找出他们所指的帐户。

这是错误的方法，一次性密码需要是随机的，因此无法根据电子邮件地址计算密码。您需要将一次性密码（最好是经过哈希处理）与帐户信息一起存储在数据库中，并使用它进行查找。

Answer 3

使用高熵源生成密码 - 在 unix 中尝试 /dev/urandom - 这将有效地为您提供一次性密码。

Answer 4

不要这样做。向他们发送一个URL链接，其中包含一个巨大的密码（安全票证）作为URL参数，并安排你的结尾，以便如果该参数存在并且正确（i）他们会登录并且（ii） ) UUID 的有效性立即终止或在发送后一两天内终止。可能需要一些操作，具体取决于您的容器，但它更安全。我使用 java.util.UUID 来实现这一点，很好而且很长。

Answer 5

你是对的，你的计划中有一个很大的安全漏洞，但你发现了错误的漏洞！

您的问题是您通过电子邮件发送出去 - 电子邮件不安全。

至于猜测问题，只要使用足够长的密码，统计上应该是不可能的。当人们猜错 100 次后，你可能想将他们拒之门外。

我见过的一个技巧是要求用户提供 Paypal 或银行帐号。然后您可以随机存入一些金额。因此，他们看到的存款金额为 34、91 和 82 美分。然后他们使用这些数字作为密码！很聪明吧？

Answer 6

实施一个一次性密码，该密码在计算上无法猜测。

例如，使用随机字符串生成器生成一个 15 个字符长的字符串，其中使用大写字母、小写字母和数字的池。

这会产生 62^15 种可能的组合，这对于暴力程序来说是极难破解的。

Answer 7

使用 6 位随机数作为 OTP 并不存在安全风险，只要您在首次使用后使 OTP 失效。一次猜出 6 位数字几乎是不可能的。而且由于您只能尝试一次，因此也不用担心暴力破解。只需确保生成真正的随机数，例如使用 SecureRandom。

因此，要采取的步骤：

1. 列表项
2. 生成 6 位随机数 OTP
3. 将其与帐户关联（例如，用户输入电子邮件和 OTP）
4. 在给定用户电子邮件的每次身份验证尝试中，使 OTP 无效，无论登录是否成功不

使用 Java，您可以使用以下方法生成 OTP：

public static final String getOTP(int length) {

    Random r = new SecureRandom();
    return String.valueOf(r.nextInt((int)Math.pow(10, length)));
}

希望这是有道理的。

Answer 8

只需使用没有模式的随机密码。优点是如果密码在邮件中可单击，则可以使密码更长，因为用户不必键入密码。