OTP도 건전지 교체 가능하게 만들면 안되는걸까요?72
- 비브레
- 등록일 2018-10-13 20:25
- 조회수 17970
|
||
3
추천하기
다른의견
0
|
파워링크 
등록안내
등록안내
|
 3
 0
 인절미아몬드
시계까진 아니구요.. 제조사의 보안 로직이랑 토큰 씨리얼 넘버로 일회용번호를 생성하는 방식입니다. 로직에 의해서 순서대로 보여지는 넘버가 이미 짜여져 있는건데 이 순서가 안 맞을때 보정으로 잡는거구요.
로직이 제조사 오티피 제조의 핵심입니다. 이게 유출이 돼서 오티피 회수하는 사태가 일어나기도 하구요. |
|
|
1
8
나무그루터
당연히 시계 있겠죠..;;
시계까지 아니긴.. 왜 아니겠어요. 보안에서 시간은 매우 중요합니다..; 브라우저로 사용하시는 https 도 시간 바꾸면 잘 동작 안해요.. 로직에 의해서 순서대로 보여지는 방식도 있겠지만.. 보통은 시간에 의해서 타임윈도우에 따라 번호가 보인다고 봐야 할 것 같은데요.. 그리고 로직이 핵심이 아니에요... 로직이 공개 되더라도 사전에 나눠 갖은 대칭키가 유출되지 않는 이상 안전해야 올바른 otp 고요... 구글 otp 생각해보세요... 오픈소스로 누구나 시스템은 다 만들수 있을거에요. 거래소에서도 쓰고요.. 은행에서 써도 안전할거에요. 구글은 엄청 위험한 otp 를 쓰고 있나요..? 방식은 시간을 seed 로 사용하여 단순하게 단방향으로 번호를 만드는 방식이면 뭘 사용해도 될겁니다... 심지어 번호가 순서대로 미리 짜여져 있지도 않습니다.. 시간마다 만들죠.. (대칭키는 사용자마다 다릅니다) 물론 로직이 공개되도 회수할수는 있습니다만, 로직이 공개되면 위험한 otp 는 좀 이상한거에요. 미리 삽입된 대칭키를 온라인이 아닌 오프라인의 별도 채널로 공유 했기 때문에 안전한겁니다. 만들어지는 결과물로 키를 유추 할 수 없게 되있거든요. 로직은 개똥 별것 없어요. 시간마다 바뀌는데.. 시계가 없으면 어떻게 서로 똑같은 번호를 만들어서 체크해요..; 보정 한다고 하셨는데 시간을 보정하지 뭘 보정하겠어요;; 물론 이벤트 방식 otp 도 있습니다만.. 요즘 은행권에서 보기 힘든것 같은데요... 너무 당당하게 완전 틀리게 말씀하셔서 순간 제 상식이 잘못된 줄 알고 찾아봤네요.. 한번 검색이라도 해보세요.. |
|
|
0
0
잠팅쓰
순서대로 보이는게 아니라 특정시간에 특정번호가 보이도록 약속되어있는 겁니다.
따라서 RTC는 매우 중요합니다. 그 특정번호는 유추가 불가능하도록 암호학자들이 잘 설계했겠죠. 덧붙임 순서대로라고 해버리면 OTP에서 버튼 한번 누르고 그 번호를 사용하지 않으면.. 그 이후에는 검증하는 쪽에서는 번호를 확인할 수 없습니다. 즉 그냥 아무의미 없이 버튼 한번 눌러버리면 그 이후에는 OTP는 사용이 불가능 하겠죠. 덧붙임2 예전에 중국에서 잠시 일할때 공상은행의 OTP를 썻었는데요. 그동네 OTP는 버튼없이 항상 번호를 노출시킵니다. 그리고 시간이 지남에 따라 숫자가 바뀌죠. |
|
1
1
보안카드와 OTP는 비교불가한 보안수준 차이입니다.
보안카드는 촬영해서만 다녀도 되죠. OTP의 배터리 교환은 OTP의 보안수준을 포기해야 가능합니다. 물리보안의 가장 기본적인 내용을 확인해보신다면 배터리교환은 상상도 못할일입니다. |
|
|
1
2
나무그루터
이미 배터리만 바꿔 끼울수 있게 되있고
인터넷 보면 개인적으로 분해해서 배터리만 갈아 끼우는 분들이 계실텐데.. 말씀대로라면 지금 은행들의 otp 는 보안수준을 포기한 otp 라는 말이 되는군요..? 말씀하신게 확실하신가요..? https://m.clien.net/service/board/use/7779950 otp 가 왜 안전한지 동작 방식등을 생각해보면 이렇게까지 할 필요가 있을까 싶네요. |
|
0
0
법인이건 개인이건... OTP 하나를 가지고 여러 금융사를
분실 또는 고장대비 없이 들입다 등록해서 쓰는 건 좋은 생각이 아닙니다. 보안 Card 는 일종의 실물 난수표라고 보아도 되는데, 그 번호대가 고정되어 있어서 유추해 내기가 쉽다고 하죠. 반면에, OTP 는 그때그때 난수를 생성하는 방식입니다. (물론, 그 난수를 생성하는 핵심이 털리면, 답이 없긴 합니다만... 그래서 RSA 社 OTP 경우 무료 교체가 된 적이 있죠.) Cracking 기법은 고도화 되어서 OTP 라고 꼭 안전하다는 보장이 없겠으나, 근본적으로 보안 Card 와 OTP 는 동일 선상의 보안성으로 생각하심 아니됩니다. |
|
0
0
인절미아몬드
기존에는 못해서 안한게 아니고 보안때문에 전원 공급이 차단 되는 순간 작동이 못되게 막아놓은 상태에요
보안성 유지하면서 교환 가능한건 개발중 |
|
|
2
0
나무그루터
https://m.clien.net/service/board/use/7779950
막아놓은 상태가 확실한가요..? 말씀하신대로라면 동작하지 않아야 할텐데요.. ------------ 이 부분은 제가 확인이 부족했군요. 휘발성 메모리를 사용하나 봅니다. 그럼 비휘발성 메모리와 전파 시계 등으로 현재 시간을 동기화 할 수 있게 변경해야 겠군요. |
|
|
0
0
캡틴아메리카
배터리를 교체하기 위해서는 OTP 본체에 전원이 끊임 없이 공급되어야 한다는 것이 매우 중요합니다.
- 먼저 배터리 소켓을 OTP 본체의 소켓을 참고하여 연결합니다. 이후 재사용 및 견고한 연결을 위해 납땜을 했습니다. - 소켓을 연결한 후 소켓에 새로운 배터리를 연결합니다. ------------------------------------------------------------------------------- 헌 배터리가 죽기전에 새 배터리로 전원을 지속 공급하고, 그 후에 헌 배터리를 죽이는 방식인것 같네요. 고로 아직까진 otp 전원 사망하면 못쓰는게 맞는것 같습니다. |
|
|
1
0
나무그루터
잠팅스님//
https://m.blog.naver.com/bluely35/220626841480 이미 시간은 변경 가능한 변수 같네요.. 시간이 늦거나 빠르면 다른 번호가 나오고 자동 시간 동기화로 해결할수 있습니다. 그리고 좋은 otp ux는 지금 번호를 사용할 수 있는 남은 시간. 바로 다음 otp 번호도 보여주면 사용성이 올라가죠.. 원래 시간은 절대적인게 아니고 상대적입니다.. |
|
|
0
1
lui
시간이 변경가능한 변수 인게 아니라 시간은 상수여야 otp의 보안성이 유지 되는 겁니다.
그런데 기계마다 시간이 조금씩 다를 수가 있으니 서버와 해당 사용자하고 인증할때 에러가 날 수 있고 그럴 경우 몇초정도 보정을 해주는데 이 보정이라는게 그냥 서버시간 상수를 몇초 앞당기는 수준입니다. 일정범위 벗어나면 보정도 안되고 시간을 맘대로 앞뒤로 바꿀 수도 없습니다. 시간이 변경 가능한 변수가 되어버리면 otp의 보안성은 갖다버리는겁니다. 미래의 시간에 대한 otp값 미리 만들어서 해당 시간에 사용하면 되니깐요. 당연히 otp의 원리상 동작은 하죠. 시간과 키에 따른 인증값이니. 그리고 시간이 상대적인건 맞는데 서버들끼리 주기적으로 표준시로 맞춥니다. 오차를 최소화하기 위해서요. |
|
|
4
0
[* 비회원 *]
이거 제가 알기론 교체형 가능한데 돈 벌려고
일부러 교체 안되게 한걸로 알아요. (국내긍융법때문이라는군요) 외국엔 배터리교체도 가능한걸로 알고, 적어도 배터리가 차단되는 순간이 있으면 안된다면 충전식으로라도 만들었겠죠 |
|
|
|
 |
|
| △ 이전글▽ 다음글 | 목록보기 |
|
나무그루터 / 당연히 시계 있겠죠..;; 시계까지 아니긴.. 왜 아니겠어요. 보안에서 시간은 매우 중요합니다..; 브...
와이프가보고있다 / 낼게요 내면될거아니요