Одноразовый пароль

Одноразовый пароль ( OTP ), также известный как одноразовый PIN-код , одноразовый код авторизации ( OTAC ) или динамический пароль , представляет собой пароль, который действителен только для одного сеанса входа или транзакции в компьютерной системе или другом устройстве. цифровое устройство. OTP позволяет избежать ряда недостатков, связанных с традиционной (статической) аутентификацией на основе пароля; ряд реализаций также включает двухфакторную аутентификацию , гарантируя, что одноразовый пароль требует доступа к чему-то, что есть у человека (например, небольшому брелоку со встроенным в него калькулятором OTP, или смарт-карте или конкретному мобильному телефону), а также как что-то известное человеку (например, PIN-код).

Алгоритмы генерации OTP обычно используют псевдослучайность или случайность для генерации общего ключа или начального числа, а также криптографические хеш-функции , которые можно использовать для получения значения, но их трудно обратить вспять и, следовательно, злоумышленнику сложно получить данные, которые использовались для хеш. Это необходимо, поскольку в противном случае было бы легко предсказать будущие OTP, наблюдая за предыдущими.

OTP обсуждались как возможная замена и усовершенствование традиционных паролей. С другой стороны, одноразовые пароли могут быть перехвачены или перенаправлены, а жесткие токены могут быть потеряны, повреждены или украдены. Многие системы, использующие OTP, не реализуют их безопасно, и злоумышленники все равно могут узнать пароль с помощью фишинговых атак, чтобы выдать себя за авторизованного пользователя. ^[1]

Характеристики

Наиболее важным преимуществом OTP является то, что, в отличие от статических паролей, они не уязвимы для атак с повторением . Это означает, что потенциальный злоумышленник, которому удастся записать OTP, который уже использовался для входа в сервис или проведения транзакции, не сможет его использовать, поскольку он перестанет быть действительным. ^[1] Второе важное преимущество состоит в том, что пользователь, использующий один и тот же (или похожий) пароль для нескольких систем, не становится уязвимым во всех из них, если злоумышленник получит пароль для одной из них. Ряд систем OTP также направлены на то, чтобы сеанс нельзя было легко перехватить или выдать себя за другое лицо без знания непредсказуемых данных, созданных во время предыдущего сеанса, что еще больше снижает поверхность атаки .

Существуют также разные способы сообщить пользователю о следующем OTP, который он будет использовать. Некоторые системы используют специальные электронные токены безопасности , которые носит с собой пользователь, которые генерируют одноразовые пароли и показывают их на небольшом дисплее. пользователя Другие системы состоят из программного обеспечения, которое работает на мобильном телефоне . Другие системы генерируют OTP на стороне сервера и отправляют их пользователю по внешнему каналу, например посредством SMS -сообщений. Наконец, в некоторых системах OTP распечатываются на бумаге, которую пользователь должен иметь при себе.

В некоторых схемах математических алгоритмов пользователь может предоставить серверу статический ключ для использования в качестве ключа шифрования, отправив только одноразовый пароль. ^[2]

Поколение

Конкретные алгоритмы OTP сильно различаются в деталях. Различные подходы к созданию OTP включают в себя:

На основе синхронизации времени между сервером аутентификации и клиентом, предоставляющим пароль (OTP действительны только в течение короткого периода времени).
Использование математического алгоритма для генерации нового пароля на основе предыдущего пароля (OTP фактически представляют собой цепочку и должны использоваться в заранее определенном порядке).
Использование математического алгоритма, в котором новый пароль основан на запросе (например, случайном числе, выбранном сервером аутентификации, или деталях транзакции) и/или счетчике.

Синхронизировано по времени

Синхронизированный по времени OTP обычно связан с аппаратным обеспечением, называемым токеном безопасности (например, каждому пользователю предоставляется персональный токен, который генерирует одноразовый пароль). Он может выглядеть как небольшой калькулятор или брелок-брелок с ЖК-дисплеем, на котором отображается число, которое время от времени меняется. Внутри токена находятся точные часы, синхронизированные с часами на сервере аутентификации . В этих системах OTP время является важной частью алгоритма пароля, поскольку создание новых паролей основано на текущем времени, а не на предыдущем пароле или секретном ключе или в дополнение к ним . Этот токен может представлять собой проприетарное устройство, мобильный телефон или аналогичное мобильное устройство , на котором работает или программное проприетарное, бесплатное программное обеспечение обеспечение с открытым исходным кодом . Примером стандарта OTP с синхронизацией по времени является одноразовый пароль на основе времени (TOTP). Некоторые приложения можно использовать для синхронизации OTP по времени, например Google Authenticator или менеджер паролей .

Хэш-цепочки

Каждый новый OTP может быть создан на основе использованных ранее OTP. Пример алгоритма этого типа, приписанный Лесли Лэмпорту , использует одностороннюю функцию (назовем ее $f$ ). Эта система одноразовых паролей работает следующим образом:

( Начальное значение начальное значение) $s$ выбран.
функция Хэш- $f(s)$ применяется многократно (например, 1000 раз) к начальному значению, что дает значение: $f(f(f(\ldots f(s)\ldots )))$ . Это значение, которое мы назовем $f^{1000}(s)$ хранится в целевой системе.
При первом входе пользователя используется пароль $p$ получено путем применения $f$ 999 раз до семени, то есть $f^{999}(s)$ . Целевая система может подтвердить, что это правильный пароль, поскольку $f(p)$ является $f^{1000}(s)$ , что является сохраненным значением. Сохраненное значение затем заменяется на $p$ и пользователю разрешено войти в систему.
Следующий вход в систему должен сопровождаться $f^{998}(s)$ . Опять же, это можно проверить, поскольку хеширование дает $f^{999}(s)$ который $p$ , значение, сохраненное после предыдущего входа в систему. Опять же, новое значение заменяет $p$ и пользователь аутентифицирован.
Это можно повторить еще 997 раз, каждый раз пароль будет $f$ применяется на один раз меньше и проверяется путем проверки того, что при хешировании оно дает значение, сохраненное во время предыдущего входа в систему. Хэш-функции спроектированы таким образом, чтобы их чрезвычайно сложно отменить, поэтому злоумышленнику необходимо знать начальное начальное число. $s$ для расчета возможных паролей, в то время как компьютерная система может подтвердить, что пароль в каждом конкретном случае действителен, проверяя, что при хешировании он дает значение, ранее использовавшееся для входа в систему. Если требуется неопределенная серия паролей, новое начальное значение можно выбрать после установки для $s$ исчерпан.
Хотя значение счетчика сервера увеличивается только после успешной аутентификации OTP, счетчик токена увеличивается каждый раз, когда пользователь запрашивает новый пароль. Из-за этого значения счетчиков на сервере и на токене могут быть не синхронизированы. Рекомендуется установить параметр просмотра вперед. $x$ на сервере, который определяет размер окна просмотра вперед. В случае случайной генерации пароля пользователем сервер все равно будет аутентифицировать клиента, поскольку он может пересчитать следующий пароль. $x$ значения OTP-сервера и сверить их с полученным паролем от клиента. ^[3]

Чтобы получить следующий пароль в серии из предыдущих паролей, нужно найти способ вычисления обратной функции $f^{-1}$ . С $f$ был выбран односторонним, сделать это крайне сложно. Если $f$ — это криптографическая хеш-функция , что, как правило, так и есть, предполагается, что это вычислительно неразрешимая задача. Злоумышленник, увидевший одноразовый пароль, может иметь доступ на один период времени или вход в систему, но по истечении этого периода он становится бесполезным. Система S/KEY одноразовых паролей и ее производный OTP основаны на схеме Лэмпорта.

Вызов-ответ

Использование типа «запрос-ответ» одноразовых паролей требует от пользователя предоставления ответа на запрос. Например, это можно сделать, введя значение, сгенерированное токеном, в сам токен. Чтобы избежать дублирования, обычно используется дополнительный счетчик, поэтому, если один и тот же запрос будет получен дважды, это все равно приведет к использованию разных одноразовых паролей. Однако вычисления обычно не ^{[ нужна ссылка ]} задействовать предыдущий одноразовый пароль; то есть обычно используется тот или иной алгоритм, а не использование обоих алгоритмов.

Реализации

SMS

Распространенной технологией, используемой для доставки одноразовых паролей, является обмен текстовыми сообщениями . Поскольку обмен текстовыми сообщениями является повсеместным каналом связи, он доступен практически на всех мобильных телефонах и, посредством преобразования текста в речь, на любом мобильном или стационарном телефоне, обмен текстовыми сообщениями имеет большой потенциал для охвата всех потребителей при низкой общей стоимости обслуживания. осуществлять. OTP при обмене текстовыми сообщениями может быть зашифрован с использованием стандарта A5/x , который, как сообщают некоторые хакерские группы, может быть успешно расшифрован в течение нескольких минут или секунд. ^[4]^[5]^[6]^[7] Кроме того, недостатки безопасности в протоколе маршрутизации SS7 могут использоваться и использовались для перенаправления связанных текстовых сообщений злоумышленникам; в 2017 году несколько клиентов O2 в Германии были взломаны таким образом, чтобы получить доступ к своим счетам в мобильном банкинге . США В июле 2016 года НИСТ выпустил проект специальной публикации с руководством по методам аутентификации, которая не рекомендует использовать SMS как метод реализации внеполосной двухфакторной аутентификации из-за возможности перехвата SMS . в масштабе. ^[8]^[9]^[10] Текстовые сообщения также уязвимы для мошенничества с заменой SIM-карты , при котором злоумышленник обманным путем переносит номер телефона жертвы на собственную SIM-карту , которую затем можно использовать для получения доступа к отправляемым на нее сообщениям. ^[11]^[12]

Аппаратные токены

RSA Security компании SecurID является одним из примеров токена синхронизации времени, наряду с HID Global решениями . Как и все токены, они могут быть потеряны, повреждены или украдены; кроме того, есть неудобство – разряжаются батарейки, особенно у жетонов без возможности подзарядки или с несменной батареей. Вариант проприетарного токена был предложен RSA в 2006 году и описан как «повсеместная аутентификация», при которой RSA будет сотрудничать с производителями для добавления физических чипов SecurID в такие устройства, как мобильные телефоны.

Недавно, ^{[ когда? ]} стало возможным взять электронные компоненты, связанные с обычными OTP-токенами брелоков, и встроить их в форм-фактор кредитной карты. Однако толщина карт (от 0,79 до 0,84 мм) не позволяет использовать стандартные компоненты или батареи. специальные батарейки на полимерной основе Необходимо использовать , срок службы которых значительно меньше, чем у монетных (таблеточных) элементов . Полупроводниковые компоненты должны быть не только очень плоскими, но и минимизировать потребляемую мощность в режиме ожидания и во время работы. ^{[ нужна ссылка ]}

Yubico предлагает небольшой USB-токен со встроенным чипом, который создает OTP при нажатии клавиши и имитирует клавиатуру, облегчая ввод длинного пароля. ^[13] Поскольку это USB-устройство, оно позволяет избежать неудобств, связанных с заменой батареи.

Разработана новая версия этой технологии, позволяющая встроить клавиатуру в платежную карту стандартного размера и толщины. Карта имеет встроенную клавиатуру, дисплей, микропроцессор и бесконтактный чип.

Мягкие токены

На смартфонах одноразовые пароли также могут быть доставлены непосредственно через мобильные приложения , включая специальные приложения для аутентификации, такие как Authy и Google Authenticator , или внутри существующего приложения службы, как в случае со Steam . Эти системы не имеют тех же уязвимостей безопасности, что и SMS, и для их использования не обязательно требуется подключение к мобильной сети. ^[14]^[10]^[15]

Твердые копии

В онлайн-банкинге некоторых стран банк отправляет пользователю пронумерованный список одноразовых паролей, распечатанный на бумаге. Другие банки отправляют пластиковые карты с реальными одноразовыми паролями, скрытыми слоем, который пользователь должен соскоблить, чтобы увидеть пронумерованный одноразовый код. Для каждой онлайн-транзакции пользователю необходимо ввести определенный OTP из этого списка. Некоторые системы запрашивают пронумерованные OTP последовательно, другие псевдослучайно выбирают OTP для ввода.

Безопасность

При правильной реализации OTP перестают быть полезными для злоумышленника через короткое время после их первоначального использования. Это отличается от паролей, которые могут оставаться полезными для злоумышленников спустя годы.

Как и в случае с паролями, одноразовые пароли уязвимы для атак социальной инженерии , при которых фишеры крадут одноразовые пароли, заставляя клиентов предоставить им свои одноразовые пароли. Как и пароли, одноразовые пароли могут быть уязвимы для атак типа «человек посередине» , поэтому важно передавать их по защищенному каналу, например, по протоколу Transport Layer Security .

Тот факт, что и пароли, и OTP уязвимы для подобных типов атак, стал ключевой мотивацией для Universal 2nd Factor , который призван быть более устойчивым к фишинговым атакам.

OTP, которые не включают в себя компонент синхронизации времени или запрос-ответ, обязательно будут иметь более длительное окно уязвимости, если они будут скомпрометированы до их использования. В конце 2005 года клиентов шведского банка обманом заставили отказаться от заранее предоставленных одноразовых паролей. ^[16] В 2006 году такая атака была применена к клиентам американского банка. ^[17]

Стандартизация

Многие технологии OTP запатентованы. Это затрудняет стандартизацию в этой области, поскольку каждая компания пытается продвигать свою собственную технологию. Однако стандарты существуют — например, RFC 1760 ( S/KEY ), RFC 2289 (OTP), RFC 4226 ( HOTP ) и RFC 6238 ( TOTP ).

Использовать

Мобильный телефон

Мобильный телефон сам по себе может быть портативным токеном аутентификации . ^[18] Мобильные текстовые сообщения — это один из способов получения OTAC через мобильный телефон. текстовое сообщение, содержащее OTAC, зашифрованный цифровым сертификатом, Таким образом, поставщик услуг отправляет пользователю для аутентификации. Согласно отчету, мобильный обмен текстовыми сообщениями обеспечивает высокий уровень безопасности, когда он использует инфраструктуру открытых ключей (PKI) для обеспечения двунаправленной аутентификации и неотказуемости, в соответствии с теоретическим анализом. ^[19]

SMS как метод получения OTAC широко используется в нашей повседневной жизни для таких целей, как банковские операции, кредитные/дебетовые карты и безопасность. ^[20]^[21]^[22]

Телефон

Существует два метода использования телефона для проверки аутентификации пользователя.

При первом методе поставщик услуг отображает OTAC на экране компьютера или смартфона, а затем автоматически звонит на номер, который уже прошел аутентификацию. Затем пользователь вводит OTAC, который появляется на его экране, на клавиатуре телефона. ^[23]

При втором методе, который используется для аутентификации и активации Microsoft Windows , пользователь звонит на номер, предоставленный поставщиком услуг, и вводит OTAC, который телефонная система предоставляет пользователю. ^[24]

Компьютер

В области компьютерных технологий известно, что использование одноразового кода авторизации (OTAC) через электронную почту в широком смысле и использование одноразового кода авторизации (OTAC) через веб-приложение в профессиональном смысле.

Электронная почта — один из распространенных способов использования OTAC. Используются два основных метода. При первом методе поставщик услуг отправляет персонализированный одноразовый URL-адрес на аутентифицированный адрес электронной почты, например @ucl.ac.uk; когда пользователь щелкает URL-адрес, сервер аутентифицирует пользователя. ^[25] При втором методе поставщик услуг отправляет персонализированный OTAC (например, зашифрованный токен) на аутентифицированный адрес электронной почты; когда пользователь вводит OTAC на веб-сайт, сервер аутентифицирует пользователя. ^{[ нужна ссылка ]}
Веб -приложение может генерировать уникальный персональный идентификационный номер (ПИН-код), который пользователь может ввести в настольный клиент, а настольный клиент, в свою очередь, использует этот код для аутентификации в веб-приложении . Эта форма аутентификации особенно полезна в веб-приложениях, которые не имеют внутреннего хранилища имен пользователей и паролей, а вместо этого используют SAML для аутентификации. Поскольку SAML работает только в браузере, клиент веб-приложения для настольного компьютера не может успешно пройти аутентификацию с использованием SAML . Вместо этого клиентское приложение может использовать одноразовый код авторизации (OTAC) для аутентификации в веб-приложении . Кроме того, можно использовать структуру авторизации OAuth , когда стороннему приложению необходимо получить ограниченный доступ к службе HTTP. ^[26]

Почта

OTAC можно отправить пользователю по почте или заказным письмом . Когда пользователь запрашивает OTAC, поставщик услуг отправляет его по почте или заказным письмом, а затем пользователь может использовать его для аутентификации. Например, в Великобритании некоторые банки отправляют свой OTAC для авторизации в интернет-банке по почте или заказным письмом . ^[27]

Расширение

Квантовая криптография , основанная на принципе неопределенности, является одним из идеальных методов создания OTAC. ^[28]

Более того, обсуждалось и использовалось не только использование зашифрованного кода для аутентификации, но и использование графической аутентификации с одноразовым PIN-кодом. ^[29] например QR-код , который обеспечивает метод децентрализованного контроля доступа с анонимной аутентификацией. ^[30]^[31]

См. также

Ссылки

^ Перейти обратно: ^а ^б Патерсон, Кеннет Г.; Стебила, Дуглас (2010). «Обмен ключами с проверкой одноразового пароля» (PDF) . В Стейнфельде, Рон; Хоукс, Филип (ред.). Информационная безопасность и конфиденциальность . Конспекты лекций по информатике. Том. 6168. Берлин, Гейдельберг: Springer. стр. 264–281. дои : 10.1007/978-3-642-14081-5_17 . ISBN 978-3-642-14081-5 .
^ EOTP — передача статического ключа . Defuse.ca (13 июля 2012 г.). Проверено 21 декабря 2012 г.
^ Инструменты IETF . RFC 4226 — Раздел 7.4: Ресинхронизация счетчика
^ Баркан, Элад; Эли Бихам ; Натан Келлер (2003). «Мгновенный криптоанализ зашифрованной связи GSM, содержащий только зашифрованный текст» : 600–16. Архивировано из оригинала 7 октября 2015 года . Проверено 6 октября 2015 г. {{cite journal}}: Для цитирования журнала требуется |journal= ( помощь )
^ Баркан, Элад; Эли Бихам; Натан Келлер. «Мгновенный криптоанализ зашифрованной связи GSM, основанный только на зашифрованном тексте, проведенный Барканом и Бихамом из Техниона (полная версия)» (PDF) .
^ Генейсу, Тим; Тимо Каспер; Мартин Новотны; Кристоф Паар; Энди Рапп (2008). «Криптоанализ с COPACOBANA» (PDF) . Транзакции IEEE на компьютерах . 57 (11): 1498–1513. дои : 10.1109/TC.2008.80 . S2CID 8754598 .
^ Нол, Карстен; Крис Пэджет (27 декабря 2009 г.). GSM: СРСЛИ? . 26-й Конгресс Хаос-коммуникаций (26C3) . Проверено 30 декабря 2009 г.
^ Фонтана, Джон. «Блог NIST разъясняет прекращение поддержки SMS в связи с резким спадом в СМИ» . ЗДНет . Проверено 14 июля 2017 г.
^ Мейер, Дэвид. «Время кодов безопасности для входа на основе SMS истекает» . Удача . Проверено 14 июля 2017 г.
^ Перейти обратно: ^а ^б Брэндом, Рассел (10 июля 2017 г.). «Двухфакторная аутентификация — это бардак» . Грань . Проверено 14 июля 2017 г.
^ Брэндом, Рассел (31 августа 2019 г.). «Ужасающе простая техника взлома аккаунта Джека Дорси в Твиттере» . Грань . Проверено 30 января 2020 г.
^ Тимс, Анна (26 сентября 2015 г.). « Подмена SIM-карты дает мошенникам доступ ко всем областям вашего мобильного телефона» . Хранитель . ISSN 0261-3077 . Проверено 30 января 2020 г.
^ «Юбико АБ» . Блумберг Бизнесуик . Архивировано из оригинала 14 октября 2012 года . Проверено 13 июля 2011 г.
^ Гарун, Натт (17 июня 2017 г.). «Как настроить двухфакторную аутентификацию во всех ваших онлайн-аккаунтах» . Грань . Проверено 14 июля 2017 г.
^ Маквертор, Майкл (15 апреля 2015 г.). «Valve добавляет двухфакторную аутентификацию при входе в мобильное приложение Steam» . Полигон . Проверено 8 сентября 2015 г.
^ Статья Регистра . Статья в Регистре (12 октября 2005 г.). Проверено 21 декабря 2012 г.
^ Блог безопасности Washington Post . Блог.washingtonpost.com. Проверено 21 декабря 2012 г.
^ Ву М., Гарфинкель С. и Миллер Р. (2004). Безопасная веб-аутентификация с помощью мобильных телефонов. стр. 9–10.
^ Шу, М., Тан, К. и Ван, Х. (2009). Схема мобильной аутентификации с помощью SMS. Наука в сфере услуг, менеджмент и инженерия, 2009. SSME '09. Международная конференция IITA, стр. 161–164.
^ Axisbank.com, (nd). Регистрация мобильного приложения Axis Bank. [онлайн] Доступно по адресу: http://www.axisbank.com/personal/speed-banking/how-to-download-and-register-java.aspx [Проверено 28 октября 2014 г.].
^ Код безопасности Master Card. (без даты). [онлайн] Доступно по адресу: http://www.ingvysyabank.com/pdf's/What%20is%20MasterCard%20SecureCode.pdf [Проверено 28 октября 2014 г.].
^ Inc., С. (nd). SMS-аутентификация: службы аутентификации SafeNet. [онлайн] www2.safenet-inc.com. Доступно по адресу: http://www2.safenet-inc.com/sas/sms-tokens.html [Проверено 28 октября 2014 г.].
^ Lloydsbank.com, (nd). Процедура онлайн-аутентификации Lloyds Bank. [онлайн] Доступно по адресу: http://www.lloydsbank.com/help-guidance/security/authentication-procedure.asp?srnum=1 [Проверено 28 октября 2014 г.].
^ windows.microsoft.com, (nd). Активируйте Windows 7. [онлайн] Доступно по адресу: http://windows.microsoft.com/en-us/windows/activate-windows#1TC=windows-7 [Проверено 28 октября 2014 г.].
^ Адида, Б. (2008). EmID: веб-аутентификация по адресу электронной почты.
^ Хардт, Д. (2012). Платформа авторизации OAuth 2.0.
^ Lloydsbank.com, (nd). Lloyds Bank - Интернет-банкинг - Как зарегистрироваться в онлайн-банке. [онлайн] Доступно по адресу: http://www.lloydsbank.com/online-banking/how-to-register.asp [Проверено 28 октября 2014 г.].
^ Собота М., Капчи_ски А. и Банасик А. (2011). Применение протоколов квантовой криптографии в процессе аутентификации. Интеллектуальный сбор данных и передовые вычислительные системы (IDAACS), 6-я Международная конференция IEEE, 2011 г., 2, стр. 799–802.
^ Джавар Р., Инглезант П., Куртуа Н. и Сасс М. (2011). Сделайте мне четверку: усиление безопасности графической аутентификации по одноразовому PIN-коду. стр. 81–88.
^ Ляо, К. и Ли, В. (2010). Новая схема аутентификации пользователя на основе QR-кода. Журнал сетей, 5 (8), стр. 937–941.
^ Виджаялакшми А. и Арунаприя Р. (2014). АУТЕНТИФИКАЦИЯ ХРАНЕНИЯ ДАННЫХ С ПОМОЩЬЮ ДЕЦЕНТРАЛИЗОВАННОГО КОНТРОЛЯ ДОСТУПА В ОБЛАКАХ. Журнал глобальных исследований в области компьютерных наук, 5 (9), стр. 1–4.

[:1-1] Перейти обратно: ^а ^б Патерсон, Кеннет Г.; Стебила, Дуглас (2010). «Обмен ключами с проверкой одноразового пароля» (PDF) . В Стейнфельде, Рон; Хоукс, Филип (ред.). Информационная безопасность и конфиденциальность . Конспекты лекций по информатике. Том. 6168. Берлин, Гейдельберг: Springer. стр. 264–281. дои : 10.1007/978-3-642-14081-5_17 . ISBN 978-3-642-14081-5 .

[:0-2] EOTP — передача статического ключа . Defuse.ca (13 июля 2012 г.). Проверено 21 декабря 2012 г.

[:rfc4226-3] Инструменты IETF . RFC 4226 — Раздел 7.4: Ресинхронизация счетчика

[4] Баркан, Элад; Эли Бихам ; Натан Келлер (2003). «Мгновенный криптоанализ зашифрованной связи GSM, содержащий только зашифрованный текст» : 600–16. Архивировано из оригинала 7 октября 2015 года . Проверено 6 октября 2015 г. {{cite journal}}: Для цитирования журнала требуется |journal= ( помощь )

[5] Баркан, Элад; Эли Бихам; Натан Келлер. «Мгновенный криптоанализ зашифрованной связи GSM, основанный только на зашифрованном тексте, проведенный Барканом и Бихамом из Техниона (полная версия)» (PDF) .

[6] Генейсу, Тим; Тимо Каспер; Мартин Новотны; Кристоф Паар; Энди Рапп (2008). «Криптоанализ с COPACOBANA» (PDF) . Транзакции IEEE на компьютерах . 57 (11): 1498–1513. дои : 10.1109/TC.2008.80 . S2CID 8754598 .

[7] Нол, Карстен; Крис Пэджет (27 декабря 2009 г.). GSM: СРСЛИ? . 26-й Конгресс Хаос-коммуникаций (26C3) . Проверено 30 декабря 2009 г.

[8] Фонтана, Джон. «Блог NIST разъясняет прекращение поддержки SMS в связи с резким спадом в СМИ» . ЗДНет . Проверено 14 июля 2017 г.

[9] Мейер, Дэвид. «Время кодов безопасности для входа на основе SMS истекает» . Удача . Проверено 14 июля 2017 г.

[verge-2famess-10] Перейти обратно: ^а ^б Брэндом, Рассел (10 июля 2017 г.). «Двухфакторная аутентификация — это бардак» . Грань . Проверено 14 июля 2017 г.

[11] Брэндом, Рассел (31 августа 2019 г.). «Ужасающе простая техника взлома аккаунта Джека Дорси в Твиттере» . Грань . Проверено 30 января 2020 г.

[12] Тимс, Анна (26 сентября 2015 г.). « Подмена SIM-карты дает мошенникам доступ ко всем областям вашего мобильного телефона» . Хранитель . ISSN 0261-3077 . Проверено 30 января 2020 г.

[13] «Юбико АБ» . Блумберг Бизнесуик . Архивировано из оригинала 14 октября 2012 года . Проверено 13 июля 2011 г.

[14] Гарун, Натт (17 июня 2017 г.). «Как настроить двухфакторную аутентификацию во всех ваших онлайн-аккаунтах» . Грань . Проверено 14 июля 2017 г.

[15] Маквертор, Майкл (15 апреля 2015 г.). «Valve добавляет двухфакторную аутентификацию при входе в мобильное приложение Steam» . Полигон . Проверено 8 сентября 2015 г.

[16] Статья Регистра . Статья в Регистре (12 октября 2005 г.). Проверено 21 декабря 2012 г.

[17] Блог безопасности Washington Post . Блог.washingtonpost.com. Проверено 21 декабря 2012 г.

[18] Ву М., Гарфинкель С. и Миллер Р. (2004). Безопасная веб-аутентификация с помощью мобильных телефонов. стр. 9–10.

[19] Шу, М., Тан, К. и Ван, Х. (2009). Схема мобильной аутентификации с помощью SMS. Наука в сфере услуг, менеджмент и инженерия, 2009. SSME '09. Международная конференция IITA, стр. 161–164.

[20] Axisbank.com, (nd). Регистрация мобильного приложения Axis Bank. [онлайн] Доступно по адресу: http://www.axisbank.com/personal/speed-banking/how-to-download-and-register-java.aspx [Проверено 28 октября 2014 г.].

[21] Код безопасности Master Card. (без даты). [онлайн] Доступно по адресу: http://www.ingvysyabank.com/pdf's/What%20is%20MasterCard%20SecureCode.pdf [Проверено 28 октября 2014 г.].

[22] Inc., С. (nd). SMS-аутентификация: службы аутентификации SafeNet. [онлайн] www2.safenet-inc.com. Доступно по адресу: http://www2.safenet-inc.com/sas/sms-tokens.html [Проверено 28 октября 2014 г.].

[23] Lloydsbank.com, (nd). Процедура онлайн-аутентификации Lloyds Bank. [онлайн] Доступно по адресу: http://www.lloydsbank.com/help-guidance/security/authentication-procedure.asp?srnum=1 [Проверено 28 октября 2014 г.].

[24] windows.microsoft.com, (nd). Активируйте Windows 7. [онлайн] Доступно по адресу: http://windows.microsoft.com/en-us/windows/activate-windows#1TC=windows-7 [Проверено 28 октября 2014 г.].

[25] Адида, Б. (2008). EmID: веб-аутентификация по адресу электронной почты.

[26] Хардт, Д. (2012). Платформа авторизации OAuth 2.0.

[27] Lloydsbank.com, (nd). Lloyds Bank - Интернет-банкинг - Как зарегистрироваться в онлайн-банке. [онлайн] Доступно по адресу: http://www.lloydsbank.com/online-banking/how-to-register.asp [Проверено 28 октября 2014 г.].

[28] Собота М., Капчи_ски А. и Банасик А. (2011). Применение протоколов квантовой криптографии в процессе аутентификации. Интеллектуальный сбор данных и передовые вычислительные системы (IDAACS), 6-я Международная конференция IEEE, 2011 г., 2, стр. 799–802.

[29] Джавар Р., Инглезант П., Куртуа Н. и Сасс М. (2011). Сделайте мне четверку: усиление безопасности графической аутентификации по одноразовому PIN-коду. стр. 81–88.

[30] Ляо, К. и Ли, В. (2010). Новая схема аутентификации пользователя на основе QR-кода. Журнал сетей, 5 (8), стр. 937–941.

[31] Виджаялакшми А. и Арунаприя Р. (2014). АУТЕНТИФИКАЦИЯ ХРАНЕНИЯ ДАННЫХ С ПОМОЩЬЮ ДЕЦЕНТРАЛИЗОВАННОГО КОНТРОЛЯ ДОСТУПА В ОБЛАКАХ. Журнал глобальных исследований в области компьютерных наук, 5 (9), стр. 1–4.

[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[11]

[12]

[13]

[14]

[15]

[16]

[17]

[18]

[19]

[20]

[21]

[22]

[23]

[24]

[25]

[26]

[27]

[28]

[29]

[30]

[31]