- Shipped
- 3 august 2026 la 04:13 UTC
- Author
- Kamo
- Commit
- 5afe5d3
Evaluarea conformității a numit absența oricărui al doilea factor de descalificare pe cont propriu, și în temeiul regulii de securitate din 2025 NPRM MFA nu mai este abordabil la Toate. Numele de utilizator + parola unui singur factor a fost singura cale interactivă de autentificare pe platformă. TOTP se verifică în raport cu vectorii de încercare RFC 6238 apendicele B mai degrabă decât împotriva valorile acestei implementări produse. Această distincție este întregul ballgame: a TOTP home-grown care este de acord numai cu sine autentifică Google nimeni Autentificator, și suprafețele de defectare la rollout cu fiecare utilizator blocat. Scriind aceste teste imediat prins că am trecut unix secunde în cazul în care HMAC vrea un contor off de un factor de treizeci de ani, astfel încât genera acum nu Divizia şi nici un apelant nu trebuie să-şi amintească. Proprietăți care separă MFA real de aspectul său, fiecare fixat de o încercare: - Codurile sunt de unică folosinţă. Un TOTP rămâne valabil pentru întregul său pas de 30 de secunde, deci fără lastUseedTimeStap un cod interceptat sau surfed umăr funcționează din nou în interiorul propriei ferestre. Un pas mai devreme încă în interiorul toleranței este refuzat De asemenea, odată ce unul mai târziu a fost acceptat. - Înscrierea neconfirmată nu se pune. Începutul înscrierii şi abandonarea ei înainte de a dovedi posesia nu trebuie să îndeplinească o cerință MAE. - Blocarea este reală: un cod corect este refuzat în timp ce blocat, altfel blocare este decorativ. - StartEnrollment refuză să înlocuiască un factor confirmat. L-am suprascris în tăcere. ar lăsa pe oricine ajunge la obiectivul de schimb autentificatorul victimei pentru Ale lor. - Secretul este criptat în repaus şi returnat exact o dată; codurile de recuperare sunt Hashed şi de unică folosinţă. Nici nu este recuperabil de personal, astfel încât un dispozitiv pierdut înseamnă re-înrolare - Verificarea se compară în timp constant. String.equals revine la primul cifre diferite, care scurgeri cât de multe cifre de conducere au avut dreptate și se prăbușește un 10^6 spaţiu în aproximativ 60 de încercări. Codurile de recuperare sunt SHA-256 mai degrabă decât bcript deliberat: 80 biți de entropie generată de mașină nu are dicționar să se întindă împotriva, și un hash lent acolo ar cumpăra doar o negare-of-service pe calea de conectare. Mesele există deja în cluster (KamoInitializer c65a233), deci nimic nu este înarmat Prin această împingere. Înscrierea și provocările sunt următoarele etape; nimic nu cheamă Asta încă.