您好,欢迎来到气泡游戏网!

气泡游戏网
手机应用中心 热门攻略 轩辕传奇 气泡问问 疾风之刃 枪神纪 天堂2M 救世者之树 上古世纪 黑色沙漠MOBILE 未来战 冒险岛M(楓之谷 M) 传说对决 瓦尔海姆 鬼谷八荒 怪物猎人系列

当前位置:首页 > 攻略库 > 流放之路 > 正文

《流放之路》【其他】浅谈 OTP

更新时间:1409678643   |   来源:巴哈姆特

a0937227703 (相信自己的决定) #1 2014-09-03 01:24:03
希望此篇文章对大家会有帮助~

文章将分为几个部分,将尽量以简单易懂的方式表达,如有疏漏,请不吝指正,谢谢

  1. 前言
  2. 简介
  3. 安全性
  4. 结论
  5. 感言
  6. 补充



一、前言

  之所以会发这篇文章,是看到板上有许多玩家对 OTP 抱有疑惑,想透过此文章,简单的介绍一下什幺是 OTP,以及一些相关的资讯,本人所学尚为疏浅,如果错误之处,请不吝指正。



二、简介

  OTP 全名为 One-time password,也就是一次性密码,通常用于帐号安全相关的部分,如许多银行在登入时,即需额外输入此密码方可登入,游戏中也不例外,那幺,他的运作原理是什幺呢?
  首先将简单说明此密码的产生方式,可能是依据时间,可能是某些参数,也可能是一个函式,但最终目的,即是希望所产生的密码,是可以有随机性的,因为如果是能被预测的,那幺就没有意义了呀。
  接着,假设密码产生已经是具有随机性的,那如果可以被重複使用,不就等于没用吗,所以,每次产生的密码,都只能被使用一次,也就是说,如果这次期间内产生的密码是 123456,只要在这期间内被用过后(登入),那幺此组密码就会失效,即须等到下个密码的产生,不然他就不叫一次性密码了。
  最后,每组密码都是有週期的,过了这段时间就会失效,如果有注意到的话,Garena APP 锁左上方会有个圈圈在跑,週期是 180 秒(注1),也就是说,每组密码的有效时限为 180 秒,过了即失效,必须使用下一组密码方可通过验证。
  以上即为 OTP 的简介,虽然不是很详细,但应该可以有个初步的了解。

注1:週期并非所有 OTP 都为 180 秒,如 Google 的 Authenticator 应用程式的週期是 30 秒。



三、安全性

  接着,就是大家最注重的安全性了,我们可以看到,每组密码是由 6 个数字所组成,也就是说,可能的组合有1百万组,那幺,假设盗帐者现在要来破解此密码,他是否有可能成功呢?
  首先,时限有 180 秒,也就是说,每秒钟需要尝试 5555 次,以现在电脑的效能要处理这些资料是没问题的,所以,需要考虑的是网路速度(无奈),假设每笔资料的大小约 128 bytes(xxx header + 其他资讯 和 验正密码,粗略估计)(这是上传),而回传回来的资料也假设 128 bytes(这是下载),所以我们可以发现,每秒钟上传和下载分别所需要的流量约为 128*5555 ≒ 0.68 MB,以目前网路来说,是没问题的。
  接着,需特别注意的是 延迟 的问题,因为不可能一传出去伺服器就立刻接收到,也不可能伺服器一传回来,就马上收到,以现在 Garena 高品质的网路服务,假设延迟时间是 50 ms(毫秒),也就是 0.05 秒,那幺所代表的意思是就是,每传一次资料,我们需花费 0.05 秒在等待,那幺,1百万笔资料需的等待时间为多久呢,50000 秒(约 13 个小时),也就是说,如果要在 180 秒内尝试完这 1百万 组的可能,是不可能的,此外,如果伺服器在短时间内收到大量的尝试却没有做出对应的处理,我想这也让人很傻眼,因此,以目前来看,OTP 是可靠的。



四、结论

  综合第二和第三节的说明,我们可以知道,以目前的技术来说,要破解 OTP 几乎是不可能的,但不代表完全不可能,如产生密码的方是被知道了、或是未来科技的进步都有可能让 OTP 面临挑战,世上没有绝对安全的东西,但我们可以藉由许多方法降低风险,多一层保护就是多一层保障,共勉之。



五、感言

  这篇文章挣扎了很久才打算写的,因为很懒呀,也不知道会不会有帮助,不过看到板上有许多玩家被盗,也让我开始怀疑官方的资安问题,但在没有证据的状况下,也不能乱说话。
  最后,还没申请 OTP 的玩家要赶快去申请呦,多一层保护,多一层保障。



六、补充

  有鉴于板上有玩家反应即使使用 OTP 后仍被盗帐号,因此即去测试了第二项所提到的一次性,而进行测试对象有:Garena、Google、Dropbox、Github 这四项较着名的服务,方法和结果如下,

测试方法:
  首先,当一组新的密码产生后,立即登入,此时会需要输入密码验正,而当成功后,理应此组密码即立刻失效,因此,立刻重新登入并输入刚刚的密码,来确认是否已失效。

测试结果:
  密码被使用后未失效:Garena、Github
  密码被使用后有失效:Google、Dropbox

  这就代表,当你电脑是不安全时,如果盗帐者盯上你的帐号,那幺此服务有等于无,关于有这样的结果,有点出乎意料。



Q & A


如有任何问题,欢迎询问,会尽我所能的回覆大家


Q1:电脑被留后门,是否就没用了? - tcss0612 (秘罗地圣战军-光山)

A1:
  我们可以用这张图来简单的说明,首先可以看到三个圈圈,分别代表了 使用者、伺服器、以及骇客,那幺,假设今天电脑被留了后门,把我们输入的验证码传给盗帐者,是否有可能成功呢?
  由图中可知,每一段的传输都会有延迟时间,因此,如果验证码从使用者端传到盗帐者端,再传到伺服器,途中将会有两段的延迟,因此,使用者端到伺服器端的延迟时间,要大于另一方的时间的机率微乎其微,因此,除非是三生的福气,不然要透过此方法窃取验证码,理应是不可能的。






Q2:手机被植入后门,是否就没用了? - tcss0612 (秘罗地圣战军-光山)

A2:
  手机被植入后门,可以分为两种状况,使用简讯传递验证码和使用APP产生验证码,但这两种状况是不需分开釐清的。
  首先,要如何将使用者的帐号和手机配对起来,这就已经是一个难题了,除非伺服器被入侵,否则理应是无法配对了。接着,如果伺服器真的被入侵,那幺问题点已经不是在 OTP 有没有效的层级了,因此是不用考虑这状况的。



Q3:钓鱼网站是否可以骗取验证码? - tcss0612 (秘罗地圣战军-光山)

A3:
  首先,要如何让使用者进入钓鱼网站,这就已经是一个难题,在正常的访问下,理应是不可能会进入钓鱼网站的,如果是网站被入侵,那幺这也不是该关注在 OTP 的层级了,因此,此问题如同 Q2 一样,是不用考虑这问题的。



Q4:是否可以透过记录历史样本,推算出密码产生的演算法? - rex898975 (绍)

A4:
  根据上面简介的说明,理论上来说,产生的验证码会是随机或伪随机的,因此,要从已知的结果逆推回去,理论上是不可能的,但如果产生器是有问题的,那幺则反之。



Q5:两步骤验证是什幺?

A5:
  以最简单的方式来说明,两步骤验正即是在输入帐号密码外,多了一层验证的手续,可能是 OTP,可能是电话锁,最终目的是让帐号更安全,更不容易被入侵。

看较旧的 92 则留言

孤紫: 09-09 14:05

3分钟在考虑各种因素后勉强还能接受.但验证码的有效时期真的像楼上说得.最多长达6分钟实在太久了

鬼禅: 10-14 23:58

谢谢用心的大大

这是一只野生的逼八: 10-15 01:34

简略看了一些之后才发现,原来学校是真的有在教东西的,莫名其妙的看懂一些东西...

zmc20022001 (萧中剑) #2 2014-09-03 01:30:25
其实你看STEAM这个平台

他就是使用OTP

只要是未经授权的装置要登入帐号

都会发一组密码到你认证的信箱去 然后填入密码才能登入

不过缺点是万一信箱被盗的话就...

手机的简讯锁还算是不错

至少手机在你身上的话也比较不怕被盗...

看较旧的 3 则留言

萧中剑: 09-03 12:01

我就是用google mail 很安全

黑崎一护: 09-04 01:25

不能说是散播谣言 现在的科技永远比普通人想像的厉害..

JOJOAMD: 09-16 01:22

Gmail 要突破两段式验证应该太难

jj4507jj (苍翼痕-天涯逐风) #3 2014-09-03 02:10:47
使用了手机密码锁后基本上是相当安全的...吧
毕竟要用排列组合的方式破解密码照楼主的说法是不可能
至于绕过手机锁的方法
我觉得可能是"让系统误判是帐号所有人信任的装置"?
因为我自己就有勾选= ="
但这应该也是相当麻烦的
说不定要伪造IP 说不定还要电脑系统型号(小弟完全没有经验所以是推测)
才刚要学程式设计阿阿阿阿阿

有请专业人士解说(?
JOT: 09-07 18:42

伪造ip和电脑型号是很麻烦...但绝不是做不到

JOT: 09-07 18:42

以盗号者的角度想,写一次程式就能盗千万个帐号,这还是很划算的...

╰( ̄▽ ̄)╭汉吉控: 09-09 19:05

我有勾信任装置,这几天一直收到简讯,装都好好的,所以锁了还是被登应该是谣言或自己操作不当。

zx24841745 (Yanluan) #4 2014-09-03 02:32:43
目前好像 信任装置30天 有问题 勾了 每台电脑都不用验证

正常来说 只有那台 不需要  但却变成每台都用  见鬼

看较旧的 1 则留言

007: 09-03 22:28

我测试我朋友的 也要验证耶~~ 有人真的换台不用验证?

理斯特: 09-05 12:54

我有设验证,去我朋友的电脑上玩,他似乎没有验证,但我换登我的帐号时,就没有跳出验证视窗,令我觉得很困惑

otoha: 09-18 00:31

有bug 有的不用有的要 我找朋友是过 我们互开对方结果他可以开我的(不用输入验证码) 我不能开他的(出现输入验证码)

tcss0612 (秘罗地圣战军-光山) #5
CC
2014-09-03 02:37:29
所有的秘码当然都是可靠的,但是总是有旁门左道

比方说,纪录你的键盘,或是录下键盘敲打的声音。
绕过加密程序,直接从输入的地方窃取你的密码。

密码的加秘方式本身当然都很可靠阿,出问题的都是在其他环节上。

看较旧的 24 则留言

咪咪病毒带原者_光山: 09-03 15:55

如果是竞时通OTP的安全性,对于线上游戏来讲 这种规格的安全防护已经很够用了。

咪咪病毒带原者_光山: 09-03 15:56

我不是资安组的 但是我对这问题很感兴趣 有资安组的愿意出来回应我当然很高兴 如果大家都像楼主或下面那位这样 而不是只会酸人....恩

JOT: 09-07 18:47

依文章所述,竞时通的在时限内仍旧可以重複使用...

a0937227703 (相信自己的决定) #6 2014-09-03 08:53:24
※ 引述《tcss0612 (秘罗地圣战军-光山)》之铭言
> 所有的秘码当然都是可靠的,但是总是有旁门左道
> 比方说,纪录你的键盘,或是录下键盘敲打的声音。
> 绕过加密程序,直接从输入的地方窃取你的密码。
> 密码的加秘方式本身当然都很可靠阿,出问题的都是在其他环节上。


第二段就已经有说明过了,OTP 是具有随机性且一次性的密码,此外还加上週期性

而你所提到的键盘侧录,假设你真的侧录到了,但根据第二点特性,一样是没有用的,因为每组密码只能被使用一次,一旦使用后即会失效,因此,键盘侧录理应是无效的喔~

看较旧的 7 则留言

007: 09-03 22:30

所以如果我侧录到 马上抢你登入 是有可能的喔

咪咪病毒带原者_光山: 09-03 22:43

ㄚㄚ 所以是G社设计的有问题阿 这不是真的一次性密码 是时效性密码

ㄚ康: 09-08 20:26

我自己试过,登入登出再用刚刚密码登入,可以连续使用,这样不会被别人趁机入侵吗......

tcss0612 (秘罗地圣战军-光山) #7
CC
2014-09-03 14:06:49
我看了一下你的文章跟WIKI的简介。

OTP的密码最后还是传到某个装置上,可能是你的手机,或是一台专属的密码机。

于是:产生OTP>>传到你手机>>在你的电脑上输入OTP>>传到伺服器验证>>密码使用后失效

就有两个很好攻击的环节,一个是手机,一个是你的电脑。
电脑的话可以用钓鱼程式,让你输入的OTP不会传到伺服器。
手机的话我不熟,但是也有手机病毒跟手机木马,我想应该有那种能偷看你简讯的手机病毒。




不管你的密码再安全,用哪种加密法。
诈骗集团总会想出办法把你的密码骗到手的,就算是OTP也一样。
不要因为用了OTP就安心,你爱乱点网页乱下载东西,就算用量子加密还是会被盗的。



手机简讯OTP被植入手机木马盗取银行帐号的案例:
http://blogs.gartner.com/avivah-litan/2010/09/28/smsotp-under-attack-man-in-the-mobile/


这篇论文在分析OTP的优点和弱点
手机简讯OTP非常容易在手机服务供应商的部分被攻击
http://www.mulliner.org/collin/academic/publications/mulliner_dimva2013.pdf

看较旧的 6 则留言

xxx: 09-03 16:40

不然无限上纲的结果就是拿国家级防护用在网路游戏上,不是有点大材小用了。

xxx: 09-03 16:42

现时就省力省时就是OTP,除非你想得到更符合实际需求,成本又低的其他方式,不然一直说OTP能破,对现实一点帮助也没有。

xxx: 09-03 16:44

没有完全安全,那相对地也没有完全不能堵的破解方式,这样一直反覆,没意义啊。

a0937227703 (相信自己的决定) #8 2014-09-03 15:08:21
※ 引述《tcss0612 (秘罗地圣战军-光山)》之铭言
> 我看了一下你的文章跟WIKI的简介。
> ...略...
> 手机的话我不熟,但是也有手机病毒跟手机木马,我想应该有那种能偷看你简讯的手机病毒。

此部分的提问已于正文中回覆

> 不管你的密码再安全,用哪种加密法。
> 诈骗集团总会想出办法把你的密码骗到手的,就算是OTP也一样。
> 不要因为用了OTP就安心,你爱乱点网页乱下载东西,就算用量子加密还是会被盗的。

关于这段,想询问一下 量子加密 是新一代的加密技术吗?是否有文章可提供参阅,觉得是一个非常值得研究的技术

> 手机简讯OTP被植入手机木马盗取银行帐号的案例:
> http://blogs.gartner.com/avivah-litan/2010/09/28/smsotp-under-attack-man-in-the-mobile/
> 这篇论文在分析OTP的优点和弱点
> 手机简讯OTP非常容易在手机服务供应商的部分被攻击
> http://www.mulliner.org/collin/academic/publications/mulliner_dimva2013.pdf

关于这部分,你所提供的论文中已有附上解决方法,因此不太明白所要表达的东西

看较旧的 2 则留言

咪咪病毒带原者_光山: 09-03 15:40

原理是用量子位元在观测之前都是未定值 一旦被观测之后就会固定下来 不可能有办法偷看却不改变量子位元的状态

咪咪病毒带原者_光山: 09-03 15:41

就是个绝对可靠的封蜡 除非你改写物理定律否则不可能在不影响量子位元状态的状况下得知量子位元的直

otoha: 09-18 00:33

量子电脑都还未出世 哪来的量子加密=.=

clmi200 (春天不开花) #9 2014-09-03 15:23:26
OTP目前在游戏防盗这一块绝对是足够的
单看其他游戏公司比GGC大的市场
OTP的出错率接近0

白话一点讲
骇客有这个能力层层破解OTP
他们就不会只是来赚这种游戏小钱了
黑色の流星: 09-07 15:43

本来就是 能破解这种东西 就只为了盗POE..

joejoejie (joejoejie) #10 2014-09-03 15:43:22

>
> Q & A
>
>

> 如有任何问题,欢迎询问,会尽我所能的回覆大家
>
> Q1:电脑被留后门,是否就没用了? - tcss0612 (秘罗地圣战军-光山)
> A1:
>   我们可以用这张图来简单的说明,首先可以看到三个圈圈,分别代表了 使用者、伺服器、以及骇客,那幺,假设今天电脑被留了后门,把我们输入的验证码传给盗帐者,是否有可能成功呢?
>   由图中可知,每一段的传输都会有延迟时间,因此,如果验证码从使用者端传到盗帐者端,再传到伺服器,途中将会有两段的延迟,因此,使用者端到伺服器端的延迟时间,要大于另一方的时间的机率微乎其微,因此,除非是三生的福气,不然要透过此方法窃取验证码,理应是不可能的。
>

> 在新视窗开启图片
>

> Q3:钓鱼网站是否可以骗取验证码? - tcss0612 (秘罗地圣战军-光山)
> A3:
>   首先,要如何让使用者进入钓鱼网站,这就已经是一个难题,在正常的访问下,理应是不可能会进入钓鱼网站的,如果是网站被入侵,那幺这也不是该关注在 OTP 的层级了,因此,此问题如同 Q2 一样,是不用考虑这问题的。

q1跟q3合起来就会有问题

以下是真实发生过再d3的例子

电脑病毒将dns修改掉,让你将你输入的otp密码传给骇客而不传给官网

而骇客即可以使用你的otp登入(因为你没登入过官网,所以密码并没失效)

实际操作手法如下(以POE台版官网为例子)

未被安装病毒前 你输入 http://web.poe.garena.tw/  会连到 124.108.157.73

在这上面输入帐号密码号,OTP密码失效,骇客就算有了帐号密码也只能双手一摊表示没辙

但中了电脑病毒后,病毒将DNS上http://web.poe.garena.tw/  对应的 124.108.157.73

修该为 172.xxx.xxx.xxx(骇客自己的伺服器位置),当然连过去会有一个长的超像的钓鱼网站(游戏登入页面的话则会则会让你等待后跟你说要排队或是登入失败,请重新输入一次帐号密码)

这时你还是默默地输入帐号密码,但并非将加密过后的帐号密码讯息丢给官网,而是丢到骇客手里

骇客此时迅速登入即可(180秒之内),因为你并没有发送登入讯息给官网,所以骇客此时的帐号密码是有用的

最后,打这一篇并非叫大家不要装密码锁,而是要提醒大家,不要以为有OTP就天下无敌...

自身使用电脑的惯还是要有

看较旧的 23 则留言

大胖: 09-03 21:28

就算是那时被盗取 但是正常在电脑前的玩家不是就会发现怪怪的吗

007: 09-03 22:33

两步骤验证是鸡舍APP 密码锁是简讯 是吗?

孤紫: 09-04 13:35

反了吧.像我没有智慧手机只开到两步骤.就是只有等简讯验证码.至于APP锁有没一次性我就不清楚了

精彩推荐

Wonderful recommendation

更多

关于我们 | 商务合作 | 广告服务 | 法律声明 | 内容导航 | 游戏帮助 | 问题反溃

本站所有软件,来自于互联网或网友上传,版权属原著所有,如有需要请购买正版。如有侵权,敬请来信联系我们,我们立刻删除。

抵制不良游戏 拒绝盗版游戏 注意自我保护 谨防受骗上当 适度游戏益脑 沉迷游戏伤身 合理安排时间 享受健康生活

Copyright 2019-2025 by 鲁ICP备2024066534号-1 成都市互联网举报中心