11

[흐린바다(1214qwer)]

11

[ㅅㅅㅅ(5.254)]

OTP는 timestamp를 key로 해서 과거에 무슨 값을 입력했는지 알아내 봐야 의미가 없다. 시드 값을 알아야지.

[ㅇㅇㅇ(121.174)]

그건 안되지. 암호 뽑는 알고리즘 없으면 그런거 백날 후킹해봐야 소용없음. 6자리 숫자니까 이론상 100만개 정도의 비번인데, 그런 후킹 몇번으로 암호를 예측할 수가 없지.

[ㅅㅅㅅ(5.254)]

보안 카드야 입력 값이 누적되면 결국 모든 값이 노출되겠지만. 근데 원래 보안 카드는 주기적으로 교체하는 것이 기본.

[ㅇㅇㅇ(121.174)]

게다가 일련번호도 있어야함. 모두 동일한 비번이 아니라, 개별적인 OTP기계의 일련번호가 위에 ㅅㅅㅅ가 말한 시드값이 됨.

[ㅇㅇㅇ(121.174)]

근데 스마트OTP는 그런거 좆까고, 비번을 획득하는게 가능하다는거임. 어떤 폰을 감염시켜서, NFC카드가 접근했을때 그게 스마트OTP카드라면, 그때 맛폰 시간을 일시적으로 원하는 시간(자기가 털어낼 때의 시간)으로 수정해버리고, 그때 발생하는 비번을 가로챈후 시간만 원래대로 되돌리면, 손쉽게 획득되는거임. 눈치채지도 못하는 동안에 쉽게 처리할 수 있지.

[ㅇㅇㅇ(121.174)]

제목에 "카드형OTP"라고 해놓으니 헷갈리잖아. "보안카드"하고 "카드형OTP"는 다른거. 그리고 "스마트OTP(NFC카드)"하고 "카드형OTP"도 다른거.

[ㅇㅇㅇ(121.174)]

"카드형OTP"는 "기존OTP디바이스"에 속함. 이건 두꺼운거 어떻게 얇게 만든거임. 근데 이건 아마 더 비쌀걸?

[ㅇㅇㅇ(121.174)]

"카트형OTP"는 이런거.
http://www.clien.net/cs2/bbs/board.php?bo_table=use&wr_id=659146

[ㅇㅇㅇ(121.174)]

그리고 "기존OTP"는 따로 "토큰형OTP"라고도 부름.

[ㅇㅇㅇ(121.174)]

"스마트OTP"는 IC카드 내장된 카드로 NFC를 이용해서, 스마트폰에 OTP앱에서 연산시키는거. 이건 배터리도 없음. "카드형OTP"는 배터리 있음.

[ㅅㅅㅅ(5.254)]

참고로 OTP 만드는 애들이 호구가 아닌 이상 그 구현 방식은 단방향 함수인 해시 알고리즘으로 구현하기 때문에 백날 입력 값 알아내봤자 의미 없음.

[ㅅㅅㅅ(5.254)]

timestamp가 key로 들어가기 때문에 어찌어찌해서 평생동안 입력 값 백만 개를 다 후킹해서 얻어왔다고 해도, 다음 시간에 뭘 입력해야 통과되는지 알 방법이 없다는 거. 시드 값(위에 ㅇㅇㅇ가 말한 디바이스 일련 번호) 자체를 훔쳐야 돼.

[ㅅㅅㅅ(5.254)]

시드 값만 훔치면 안되고 알고리즘도 역공학으로 분석해서 알아내야 되고.