- Dikirim
- 3 Agustus 2026 pukul 04.13 UTC
- Penulis
- Kamo
- Commit
- 5afe5d3
Penilaian kepatuhan yang disebut ketidakhadiran faktor kedua didiskualifikasi sendiri, dan di bawah 2025 Peraturan Keamanan NPRM MFA berhenti yang diakui di Semuanya. Nama pengguna faktor tunggal + sandi adalah satu-satunya path otentikasi interaktif di platform. TOTP diverifikasi terhadap Vektor tes RFC 6238 bukan terhadap nilai implementasi ini dihasilkan. Perbedaan itu adalah seluruh pertandingan: home- grown TOTP yang hanya setuju dengan dirinya sendiri mengotorisasi Google tidak ada Penerjemah, dan kegagalan muncul di rollout dengan setiap pengguna terkunci. Menulis tes tersebut segera tertangkap bahwa saya telah melewati unix detik di mana HMAC ingin counter - off oleh faktor tiga puluh - sehingga generateAt sekarang tidak pembagian dan tidak ada penelepon harus mengingatnya. Properti yang memisahkan nyata MFA dari penampilan itu, masing-masing disematkan oleh tes: - Kode tunggal-gunakan. Sebuah TOTP tetap valid untuk seluruh langkah 30-detik, jadi tanpa menggunakan Timestep terakhir untuk dicegat atau shoulder- kode surfed bekerja lagi di dalam jendelanya sendiri. Langkah awal masih dalam toleransi ditolak Juga, sekali kemudian salah satu telah diterima. - Unconfirmed pendaftaran tidak masuk hitungan. Memulai pendaftaran dan meninggalkannya sebelum membuktikan kerasukan tidak harus memenuhi persyaratan MFA. - Penguncian adalah nyata: kode yang benar ditolak ketika terkunci, jika tidak penguncian dekoratif. - Pendaftaran dimulai menolak untuk menggantikan faktor yang dikonfirmasi. Diam-diam overwriting itu akan membiarkan siapa pun mencapai titik akhir menukar keaslian korban untuk mereka sendiri. - Rahasianya dienkripsi saat istirahat dan dikembalikan tepat sekali; kode pemulihan adalah hashed dan single-use. Baik dapat dipulihkan oleh staf, sehingga perangkat yang hilang berarti pendaftaran ulang - perdagangan yang benar untuk kredensial yang melewati password. - Verifikasi membandingkan dalam waktu konstan. String.equals menghasilkan yang pertama berbeda digit, yang kebocoran berapa banyak angka terkemuka yang benar dan runtuh sebuah 10 ^ 6 ruang ke sekitar 60 tebakan. Kode Pemulihan adalah SHA- 256 daripada b sengaja: 80 bit dari mesin - entropi yang dihasilkan tidak memiliki kamus untuk peregangan terhadap, dan hash lambat hanya akan membeli layanan penolakan pada jalur login. Tabel sudah ada di cluster (KamoInitializer c65a233), jadi tidak ada yang bersenjata dengan dorongan ini. Pendaftaran dan tantangan titik akhir adalah langkah berikutnya; tidak ada panggilan ini belum.