Исходное сообщение
"Релиз OpenSSH 8.2 c поддержкой токенов двухфакторной аутенти..." Отправлено anonymous, 19-Фев-20 12:25
> Поскольку в интерфейсе вообще никакого механизма для этого нет - есть только установка пина и пошифровать что-нибудь закрытым ключом. Ну так заявляется производителем smart card-ы. То есть всё строится на доверии к производителю, карты. В Trezor данные хотя бы можно зашифровать паролем, чтобы даже сотрудник STMicroelectronics не смог вытащить твои секретные данные. А тут как защищаются? Можно ознакомиться с кодом прошивки и провести аудит? Можно ли самому произвести, чтобы убедиться, что закладок не подложили? > есть только установка пина и пошифровать что-нибудь закрытым ключом. С Trezor-ом T даже установка PIN делается с экрана самого устройства. > Как вариант - бывает встроено напрямую в карту, при этом карта сохраняет свои свойства - помещается в банкомат. Удобно. > Собственно, подобное решение встроено в некоторые nitrokey - но они, к сожалению, не оффлайновые. Не очень понимаю, почему offline-оый -- это лучше. В данном контексте "offline-ый" -- это же не имеющий соединения с компьютером, верно? То есть это OTP генератор завязанный на время, верно? Если так, то создаётся ощущение, что это уязвимо: вводимый OTP можно использовать сразу в нескольких местах (в один момент времени). То есть если этот OTP-генератор используется как второй фактор (а первый фактор -- это пароль), то возможна его (временная) утечка по тому же каналу, по которому утёк пароль, собственно. Как там от такого защищаются?