Google Authenticator

Материал из Википедии — свободной энциклопедии
Перейти к навигации Перейти к поиску
Google Authenticator
Google authenticator.png
Тип authenticator[d]
Разработчик Google
Операционная система Android, iOS, BlackBerry OS
Первый выпуск 20 сентября 2010[1]
Аппаратная платформа Мобильная
Лицензия Проприетарная (прошлые версии выпускались под Apache License 2.0)
Сайт github.com/google/google…[2]

Google Authenticator - приложение для двухэтапной аутентификации с помощью Time-based One-time Password Algorithm (TOTP) и HMAC-based One-time Password Algorithm (HOTP) от Google. Сервис реализует алгоритмы, указанные в RFC 6238 и RFC 4226.[3]

Authenticator представляет 6- или 8-значный одноразовый цифровой пароль, который пользователь должен предоставить в дополнение к имени пользователя и пароля, чтобы войти в службы Google или других сервисов. Authenticator также может генерировать коды для сторонних приложений, такие как менеджеры паролей или услуг хостинга файлов. Предыдущие версии программы были доступны с открытым исходным кодом на GitHub, но последние выпуски являются частной собственностью Google.[4]

Пример использования[править | править код]

Как правило, пользователи должны сначала установить приложение на своё мобильное устройство. Для того, чтобы войти на сайт или воспользоваться услугами сервиса, требуется ввести имя пользователя и пароль, запустить приложение Authenticator и ввести в специальное поле сгенерированный одноразовый пароль.

Для этого сайт предоставляет общий секретный ключ пользователю, который должен быть сохранен в приложение Google Authenticator. Этот секретный ключ будет использоваться для всех будущих входов на сайт.

С двухэтапной аутентификацией простое знание логина/пароля не является достаточным для взлома учётной записи. Злоумышленник также должен знать секретный ключ или иметь физический доступ к устройству с Google Authenticator. Альтернативным путем является MITM-атака: если компьютер пользователя заражен трояном, то имя пользователя, пароль и одноразовый код могут быть перехвачены, чтобы затем инициировать свой собственный сеанс входа на сайте или отслеживать и изменять информацию между пользователем и сайтом.

Реализации[править | править код]

Google Authenticator предоставлен на Android,[5] BlackBerry, и iOS[6]. Также доступно несколько сторонних реализаций:

  • Windows Phone 7.5/8/8.1/10: Microsoft Authenticator[7] Virtual TokenFactor[8]
  • Windows Mobile: Google Authenticator for Windows Mobile[9]
  • Java CLI: Authenticator.jar[10]
  • Java GUI: JAuth[11] FXAuth[12]
  • J2ME: gauthj2me[13] lwuitgauthj2me[14] Mobile-OTP (Chinese only)[15] totp-me[16]
  • Palm OS: gauthj2me[17]
  • Python: onetimepass[18]
  • PHP: GoogleAuthenticator.php[19]
  • Ruby: rotp,[20] twofu[21]
  • Rails: active_model_otp[22] (third party implementation)
  • webOS: GAuth[23]
  • Windows: gauth4win[24] MOS Authenticator[25] WinAuth[26]
  • .NET: TwoStepsAuthenticator[27]
  • HTML5: html5-google-authenticator[28]
  • MeeGo/Harmattan (Nokia N9): GAuth[29]
  • Sailfish OS: SGAuth,[30] SailOTP[31]
  • Apache: Google Authenticator Apache Module[32]
  • PAM: Google Pluggable Authentication Module[33] oauth-pam[34]
  • Backend: LinOTP (Management Backend implemented in python)
  • Chrome/Chrome OS: Authenticator[35]
  • iOS: OTP Auth[36]

Техническое описание[править | править код]

Поставщик услуг генерирует 80-битный секретный ключ для каждого пользователя (хотя RFC 4226 § 4 требует минимум 128 бит и рекомендует 160 бит).[37] Ключ предоставляется в виде 16-, 26-, 32-значной строки в кодировке Base32 или в виде QR-кода. С помощью секретного ключа клиент создает HMAC-SHA1 от:

  • количества 30-секундных интервалов с начала «эры UNIX» для варианта TOTP
  • счётчика, который увеличивается с каждым новым кодом для варианта HOTP.

Затем часть HMAC извлекается и преобразуется в 6-значный код.

Псевдокод для Time-based OTP[править | править код]

  function GoogleAuthenticatorCode(string secret)
      key := base32decode(secret)
      message := floor(current Unix time / 30)
      hash := HMAC-SHA1(key, message)
      offset := last nibble of hash
      truncatedHash := hash[offset..offset+3]  //4 bytes starting at the offset
      Set the first bit of truncatedHash to zero  //remove the most significant bit
      code := truncatedHash mod 1000000
      pad code with 0 until length of code is 6
      return code

Псевдокод для Event/Counter OTP[править | править код]

  function GoogleAuthenticatorCode(string secret)
      key := base32decode(secret)
      message := counter encoded on 8 bytes
      hash := HMAC-SHA1(key, message)
      offset := last nibble of hash
      truncatedHash := hash[offset..offset+3]  //4 bytes starting at the offset
      Set the first bit of truncatedHash to zero  //remove the most significant bit
      code := truncatedHash mod 1000000
      pad code with 0 until length of code is 6
      return code

Примечания[править | править код]

  1. Google Is Making Your Account Vastly More Secure With Two-Step Authentication - TechCrunch. TechCrunch (20 сентября 2010). Проверено 12 марта 2016.
  2. Portage
  3. GitHub - google/google-authenticator: Open source version of Google Authenticator (except the Android app) (EN). GitHub. Google. — «These implementations support the HMAC-Based One-time Password (HOTP) algorithm specified in RFC 4226 and the Time-based One-time Password (TOTP) algorithm specified in RFC 6238.».
  4. Willis, Nathan (22 January 2014)."FreeOTP multi-factor authentication". LWN.net. Retrieved 10 August 2015.
  5. https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2 A
  6. Google Authenticator. App Store.
  7. Authenticator (4 April 2013).
  8. Virtual TokenFactor (26 February 2012).
  9. [APPGoogle Authenticator for Windows Mobile]. XDA Developers.
  10. http://blog dot jamesdotcuff dot net.
  11. mclamp/JAuth. GitHub.
  12. kamenitxan/FXAuth. GitHub.
  13. gauthj2me - Google Authentification in Java Mobile, j2me - Google Project Hosting.
  14. lwuitgauthj2me - Google Authenticator for J2ME phones - Google Project Hosting.
  15. chunlinyao / mobile-otp — Bitbucket.
  16. totp-me - TOTP for Java ME - Google authenticator.
  17. gauth.prc - gauthj2me - Google Authenticator for Palm OS (converted from java) - Google Authentification in Java Mobile, j2me - Google Project Hosting.
  18. tadeck/onetimepass. GitHub.
  19. chregu/GoogleAuthenticator.php. GitHub.
  20. rotp - RubyGems.org - your community gem host.
  21. ukazap/twofu. GitHub.
  22. heapsource/active_model_otp. GitHub.
  23. GAuth.
  24. gauth4win - Google Authenticator for windows - Google Project Hosting.
  25. MOS Authenticator Home.
  26. winauth - Windows Authenticator for Battle.net / World of Warcraft / Guild Wars 2 / Glyph / WildStar / Google / Bitcoin - Google Project Hosting.
  27. glacasa/TwoStepsAuthenticator. GitHub.
  28. gbraad/html5-google-authenticator. GitHub.
  29. Techtransit. Nokia Store: Download GAuth and many other games, wallpaper, ringtones and mobile apps on your Nokia phone.
  30. SGAuth.
  31. SailOTP.
  32. google-authenticator-apache-module - Apache Module for Two-Factor Authentication via Google Authenticator - Google Project Hosting.
  33. google-authenticator - Two-step verification - Google Project Hosting.
  34. oauth-pam - PAM for use with OAuth Websites - Google Project Hosting.
  35. Authenticator.
  36. OTP Auth. App Store.
  37. https://tools.ietf.org/html/rfc4226#section-4

Ссылки[править | править код]