D3 Frage zum Authenticator

[shnoopx]

Hiho.

Ich besitze seit einiger Zeit den Authenticator für meinen Acc. Ich dachte alle Infos zum Thema zu haben, dennoch stellt sich mir folgende Frage.

1. Jeder Code funktioniert angeblich nur 1 Mal
2. Jeder Authenticator hat seine eigene ID
3. Durch die ID können 2 Mal die selben Codes für ver scheidene Acc. genutzt werden.

Die Frage hierbei, was passiert, wenn man alle Codes eines Authenticators aufgebraucht hat. Die Situation ist natürlich recht unwahrscheinlich.
Dennoch, es sind maximal 999999 codes die man eingeben kann. Braucht man danach einen neuen Autehticator, oder fängts dann von vorn an? Weil irgendwann spuckt der Athenticator ja eine schonmal eingegebene Zahl wieder aus.

Oder werden die Codes für sagen wir mal 3 Monate gespeichert und dann wieder gelöscht, so dass doppelt auftretende Codes dann doch genutzt werden können?

Wenn mich da wer aufklären kann, so wäre ich darüber sehr erfreut.

LG shnoopx

 

[Quaternion]

Also mein Auth produziert alle 30s einen achtstelligen Code (Mobile). Das reicht für 95 Jahre, wenn alle Zahlen verwendet werden. Wenn die Auth-Geräte nur 6 Stellen produzieren, ist nach weniger als einem Jahr Schluss (wenn die ein ähnliches System mit 30s Gültigkeit verwenden, was wohl wegen der schwierigen Synchronisation unwahrscheinlich ist).

Wegen der nötigen Synchronisation glaube ich, dass der (Mobile-)Auth und der Loginserver den gültigen Code direkt aus der Zeit und der ID berechnen. Insofern würde ich vermuten, dass sogar zwei mal hintereinander der gleiche Code gültig sein kann.

 

[Wetterfrosch]

Ich glaube nicht, dass sich diese Frage wirklich stellt:

Der Authenticator ist nichts anderes als ein Kryptographie-System. Nun darf man sich ein gängiges K-S nicht so vorstellen, dass da alle Zahlen in irgeneiner (vorgegebenen) Reihenfolge ausgespuckt werden. Sondern da wird in Abhängigkeit von vielen Parametern (Tag, Zeit, Anzahl des Aufrufs, usw) anhand eines relativ komplexen Algorithmus eine Zahl generiert. Dieser Algorithmus ist aber nicht zwingend injektiv, d.h. verschiedene Eingaben können durchaus zur selben Zahl führen. Trotzdem ist der Code in gewissem Sinne "einmalig", da er (auf kurze Sicht) nur zu diesem Tag bzw dieser Zeit passt...

 

[Testworker]

Hallo,

ich hatte dem Blizzard-Kundendienst eine ähnlich Frage zu Beginn meiner D3-Zeit gestellt. Ich war nämlich am überlegen, ob ich das via APP oder Schlüssel absichern sollte. Blizzard hatte folgende - ähnlicher Text - Antwort geschrieben:

Man bräuchte sich keine Gedanken machen, dass die Codes jemals doppelt vergeben werden.

Ergo... in 90 Jahren sieht man weiter

 

[as69]

1. Jeder Code funktioniert angeblich nur 1 Mal
2. Jeder Authenticator hat seine eigene ID
3. Durch die ID können 2 Mal die selben Codes für ver scheidene Acc. genutzt werden.

1. Jein...jeder Code funktioniert maximal 60 Sekunden lang. Durch die 6 Stellen beim HW-Token oder die 8 beim Mobilen ist die Wahrscheinlichkeit, daß der selbe PIN 2x kommt innerhalb der Lebensdauer von D3 relativ gering ^^ (siehe auch Antwort von Quaternion). Und wenn, dann müsste ein potentieller Angreifer den Algorithmus kennen & vermutlich (!!) eine riesige Serverfarm haben, um just innerhalb des 60 sekunden Slots den richtigen PIN zu deinem Bnet Account zu erwischen. Achja, deine email und das bnet PW braucht er dann ja auch noch... EInfacher gehts doch Leuten ohne Authenticator per email/phising oder PW Klau von anderen Webseiten den Account leer zu räumen.
2. Ja.....?
3. Nein, du kannst nicht 2x den selben Code für 2 Accounts verwenden, da jeder Auth (egal ob Mobile oder HW) Accountgebunden ist. Du kannst natürlich einen HW Token und 1 SW Token auf deinem Smartphone für den 2. Account haben...das geht.

 

[Quaternion]

Und wenn, dann müsste ein potentieller Angreifer den Algorithmus kennen & vermutlich (!!) eine riesige Serverfarm haben[...]

Der Geheimhaltungsstatus des Algorithmus hat auf die Sicherheit von (modernen) Verschlüsselungsverfahren keine Auswirkungen. Die Geheimhaltung der ID des Tokens ist in diesem Falle wichtiger (Was das installieren des Auth auf dem PC auch zum größten Fehler macht, der einem passieren kann).

 

[shnoopx]

Zum besseren Verständtniss, ich nutze den Hardware Authenticator, den man im Enizelhandel für 10€ kaufen kann/konnte.
Dieser wird nicht mit dem Acc. synchonisiert. Der hat auf der Rückseite eine 10stellige ID, welche man im Acc. angeben muss,d amit dieser eine Authenticator mit dem Acc. "verbunden" wird.
Eine Synchronisation war nicht nötig.

Auf diese Art Authenticator bezieht sich meine Frage, denn das Gerät generiert auch dann einen 6stelligen Code, wenn ich einfach nur so druff drücke.

LG

 

[tean101]

Ja der Hardware Auth hat eine hoch genaue Uhr eingebaut und generiert aus Uhrzeit und Seriennummer einen 6stelligen Code, der Server tut dies auch mit der Seriennummer die man mit dem Account verbunden hat, zur gleichen Zeit mit der Uhr auf dem Blizz Server. Deshalb wird auf dem Server zu der Zeit die Du die Taste drückst der Gleiche Code generiert und abgeglichen, was etwa 60 sec. anhält und dann muss Du neu generieren.

Es besteht keine direkte Verbindung zum Server. Aber die Kombi Uhr und Seriennummer führt zu der Funktion.

 

[shnoopx]

Danke für die Antworten. Hab mal wieder bisserl was gelernt.

LG shnoopx

 

[Saigon]

Das ist die gleiche Kette wie z.B. bei der BluRay-Verschlüsselung. Sämtliche Filme auf einer BluRay sind verschlüsselt. Entschlüsselt werden sie erst vom Monitor oder vom TV-Gerät. Die Geräte haben alle einen Chip drin, der den privaten Key zum Entschlüsseln kennt. In allen Geräten ist der gleiche Key. Nun hat aber ein pfiffiger Hacker son Chip geöffnet und es geschafft, den privaten Key auszulesen. Bumm HDMI geknackt, das Internetz wird mit 1080p-RipsBluRay-Filmen überschwemmt. Nicht so ganz wie SONY und Intel es sich gedacht haben. Die Authentikatoren funktionieren auf die gleiche Weise aber sind im Gegensatz zu BluRay nicht knackbar. Jeder Authentikator hat einen eigenen privaten Schlüssel (der Authentikator muss ja nur bei 1 Person funktionieren und nicht wie z.B. die BluRay überall auf der Welt) und eine 24h-Uhr. Aus Uhrzeit+Privatem Key kann dann ein zeitlich begrenzter Authentikator-Code generiert werden, der bei Blizzard dann nur noch mit ihrem Public Key gegengeprüft werden muss.

Was ich allerdings nicht genau weiß ist, wie der Zeitgeber seine Uhrzeit aktuell hält. Wahrscheinlich über Satelliten wie herkömmliche Funk-Uhren.

/Edit:

1. Jeder Code funktioniert angeblich nur 1 Mal

Es kann natürlich passieren dass dein Code vom 10.11.2012 19:09:30 zufälligerweise für deinen Account auch am 27.2.2035 04:03:00 funktioniert. Ist aber nicht wirklich relevant, solange der Algorithmus sicher ist.