> В мире крипты давно на опыте выяснили, что иметь один seed, который можно забэкапить - критично.
> Любой современный кошелёк работает именно так. вероятно, для кошелька это допустимо - потерять намайненные миллионы навсегда из-за сбоя рукожопой поделки куда более вероятно, чем кто-то в теме сумеет спереть у тебя сид.
Для авторизационного токена, по сути своей подтверждающего именно факт своей единственности и неповторимости - это бред собачий, опять кто-то пустил недоучек-майнеров в криптографию.
> В принципе никто тебе не мешает этот сид просто никуда не записывать при инициализации, второй
> раз никто его никогда не покажет.
еще раз: в принципе он должен удаляться нахрен навсегда и невосстановимым образом сразу после использования. Все остальное - идиотизм, ламерство и профанация идеи.
Второй раз тебе его может и не покажут, а у товарищмайора найдутся средства- от багов косорукой опенотcocной прошивки до паяльника в задницу. (понятно что закрытая - ничем не лучше, она может вообще этот сид получает на фабрике, с одновременным занесением в базу данных не для широкого круга лиц с привязкой к серийнику или еще какой метке)
> Что до "дружит с гуглом" - ну, как бы, в том и идея, чтобы это был стандартный API
речь о том, что этот стандартный апи построен на вот таком г-нище. Сводящем всю безопасность и привязку к токену к х..ю - привязка, оказывается, вовсе не к токену, а к набору цифирок, доступному при достаточной усидчивости и вдохновении любому желающему.
> да ине может - это внутреннее дело токена, как ключ генерировать
очевидно что нет - иначе он не подойдет к гуглю и гихапу. Генерация ключа подобным образом - наверняка часть того стандарта.
> То, что на картинке, я как-то слабо представляю в качестве универсального токена, работающего
> с произвольными сайтами - как ему сказать, к чему ответ генерировать?
асимметричная криптография - не, не слышал?
Сайт выдает challenge. challenge шифруется чипом карты (похоже, данный функционал есть в _любом_ emv чипе - во всяком случае, какие-то последовательности выдаются. Забавно что они разные у разных карт - в смысле, не то что цифры - форматирование разное.) Разумеется, чтобы активировать чип - понадобится пинкод, поэтому красть у тебя карту без кода - бессмысленно. (разумеется, да, с третьей попытки- в тыкву) Ответ скармливаешь сайту - у которого есть какая-то возможность подтвердить его валидность. Но не сгенерить код (он вообще каждый раз разный, ага).
Разумеется, никто не мешает тебе для каждого специального случая иметь отдельную карту - эту для гуглопочты, ту для гитшляпы, а ту для своего защищенного сервера вмурованного в стену. Ну и пару запасных, на случай утраты. Обрати внимание, кстати, тут нет никаких безумных компонент за 240 евро - синяя хрень это пинпад, в ней нет ничего кроме кнопок и экрана, сама она ничего не делает, может быть заменена любой из пачки. Бланк emv карты в пачке от 100000 тоже стоит три копейки.
Точные детали - увы, неизвестны, моих связей в околобанковских кругах не хватило для получения достоверной информации, но есть очень неприятное ощущение что технология продается в виде закрытого 2u ящика от небезысвестной RSA inc. Возможно еще и как-то хитро состыкованного с визовской пин-хранилкой, которая тоже нифига не выложена в интернетах со схемами и протоколами.
(то есть даже если раскопать api для emv, научиться где-то покупать не тоннами пинпады и бланки карт с чипом - сделать то же самое в мирных целях из этих деталек, вероятно, не получится. Но что мешает сделать независимую реализацию, пусть не такую красивую технологически? Похоже, отсутствие желания сделать надежно в принципе.)
> А вот трезор смотрели и смотрят.
а зачем смотреть-то, если очевидная дыра в базовой технологии?
