Сложно ли взломать второй фактор MFA?

[David_Osipov]

Укатываем куки через вредоносное расширение, где юзер уже залогинился со вторым фактором.

[notdepot]

Как способ получить конечный результат — да. Но суть статьи немного про другое. Мне было интересно количественно посчитать ресурсы, необходимые для взлома путем прямого перебора.

[WenTech]

Хм, посчитал, оказывается - действительно достаточно меньше десятка перехваченных кодов )))

[notdepot]

Я начал уже писать ответ, но вы успели изменить комментарий : ) Да, общее количество итераций маленькое. Проблемы непосредственно с самими итерациями (особенно с самой первой).

[Trusted_binary]

TOTP уязвим в 1 моменте, при передаче закрытого ключа через QR код, например в Google Auth. Дальше сложно.

Никаких атак на восстановление значения закрытого ключа кроме brooteforce нет.

Или, кривая реализация ГПСЧ на сервере 2Fa, где сама энтропия может быть не объявленые 160 бит, а например 30 бит или 35 бит. Тогда 2 варианта, offline софтом восстановить закрытый ключ через брутфорс, или онлайн долбить 2FA если нет никаких лимитеров на прием пакетов, но тут важен RPS, сколько можешь заслать и сколько сервер может обработать

[notdepot]

Вы правы, но статья немного о другом. Я хотел рассмотреть один вполне конкретный сценарий: восстановление секретного ключа по известной последовательности TOTP-кодов (при условии, что ключ сгенерирован корректно).

Разумеется, если генератор случайных чисел выдаёт ключи с энтропией 30 бит вместо 160, ситуация принципиально меняется. Но это уже проблема реализации, а не криптографической стойкости самого алгоритма.

Собственно, цель статьи — не исследовать все возможные способы компрометации TOTP, а оценить вычислительную сложность одной конкретной атаки.