- Se descapó
- 3 de agosto de 2026 a las 4:13 UTC
- Autor
- Kamo
- Compromit
- 5afe5d3
La evaluación del cumplimiento se llama la ausencia de un segundo factor descalificador por sí solo, y bajo la Regla de Seguridad de 2025 NPRM MFA deja de ser abordable en A todos. Nombre de usuario de un solo factor.password era la única ruta de autenticación interactiva en la plataforma. TOTP se verifica con los vectores de ensayo RFC 6238 Apéndice B en lugar de contra valora esta aplicación producida. Esa distinción es todo el juego de pelota: a TOTP casero que solo concuerda consigo mismo autenticando el Google de nadie Authenticator, y el fallo sale a la superficie en el despliegue con cada usuario bloqueado. Escribiendo esas pruebas inmediatamente atrapada que había pasado unix segundos donde el HMAC quiere un contador desconectado por un factor de treinta y tanto generarAhora lo hace el La división y ninguna llamada tiene que recordarlo. Propiedades que separan la MFA real de la apariencia de la misma, cada una atrapada por un Ensayo: - Los códigos son de un solo uso. Un TOTP se mantiene válido para todo su paso de 30 segundos, así que sin lastsedTimeStep un código interceptado o sobre el hombro funciona de nuevo dentro de su propia ventana. Un paso antes aún dentro de la tolerancia se rechaza también, una vez más tarde se ha aceptado uno. - Las inscripciones no confirmadas no cuentan. Iniciar la inscripción y abandonarlo antes de probar la posesión no debe cumplir un requisito de MFA. - Lockout es real: un código correcto se rechaza mientras está bloqueado, de lo contrario el cierre patronal es decorativo. - Comienza la inscripción se niega a reemplazar un factor confirmado. Silencimente sobreescribiéndolo dejaría a cualquiera que llegara a la variable permuta cambiar el autenticador de la víctima por los suyos. - El secreto está cifrado en reposo y devuelto exactamente una vez; los códigos de recuperación son Hashed y de un solo uso. Ninguno de los dos es recuperable por el personal, por lo que un dispositivo perdido significa re-inscripción - el comercio correcto de una credencial que elimina la contraseña. - La verificación se compara en tiempo constante. String.equals regresa en el primero dígito diferente, que filtra cuántos dígitos principales eran correctos y colapsa a 10-6 espacio en aproximadamente 60 conjeturas. Los códigos de recuperación son SHA-256 en lugar de bcrypt deliberadamente: 80 bits de La entropía generada por máquina no tiene diccionario contra el que estirarse, y un hachillo lento sólo compraría una denegación de servicio en la ruta de inicio de sesión. Ya existen cuadros en el clúster (KamoInitializer c65a233), por lo que nada está armado por este empujón. Los endpoints de inscripción y desafío son el siguiente paso; nada llama Esto aún.