Как стать автором
Обновить

Получение TOTP-токенов на умнейших из тупых часов

Уровень сложностиСредний
Время на прочтение5 мин
Количество просмотров15K
Всего голосов 42: ↑41 и ↓1+58
Комментарии22

Комментарии 22

Во-первых, часы на картинке - левые (что не очень важно, т.к. плата от них не используется... но корпус может оказаться не водонепроницаемым)
Во-вторых, не понятно, как вот этот код туда заносить
В-третьих, автор почему-то не упоминает, каково время жизни системы от батарейки.
А так-то да, забавная штуковина.

Не автор, но после посещения ссылок:

Во-вторых, не понятно, как вот этот код туда заносить

На плате micro-USB

В-третьих, автор почему-то не упоминает, каково время жизни системы от батарейки.

Обещают год

По саморезикам в крышке, да и сама крышка чуток подозрительная, хотя тут не резко, крышку хорошо не рассмотреть. Саморезы 100% левые. Родные саморезы casio имеют плоскую головку и шлиц, подходящий как для крестовой, так и для шлицевой отвёртки. Китайцы изредка ставят похожие, но в данном случае на фотке обычные китайские с полукруглой головкой.
вот тут винтики хорошо видно https://www.burningimage.net/genuine-and-fake-casio-f91w/

видимо, если эту плату продавать в своих часах, это нафиг никому не нужно. А так, может, и найдутся гики раскурочить старые часы и вставить плату а потом думать - а нафига?

На вопрос "а нафига", ответ простой: это интересно. Может быть не вам, а автору, но если вам не интересно, как вы тут оказались?

Использую эту модель часов десятки лет: для походов на море самое то.
Наверное глупый вопрос, но зачем усложнять?
Если только не нужна какая-то секретность для хранения OTP генератора, почему для OTP не использовать smart watch?

Цифровой подстройки точности хода так и не добавили. Наверное, никому из разработчиков не мешают вечно спешащие или отстающие часы. Датчик температуры, показывающий нечто среднее между температурой руки и температурой воздуха - есть, более нужный датчик давления (помогающий предсказать погоду на ближайшие часы) добавить не догадались... Сколько будильников, есть ли среди них недельные и месячные - для напоминания о еженедельных или ежемесячных событий?

Откуда в этой модели датчик температуры?

А с точностью хода у них порядок, мои за 5 лет на 7 секунд вперед ушли. Считаю, что это отличная точность.

В той платке, которая на картинке, датчика нет, а в текущей ревизии, которую продают он появился.

А если больше трёх-четырёх сервисов и некоторые редко используются, заколебешься переключать...

  1. Если у вас есть только QR-код, сайт Штефана Сандина позволит извлечь его секрет ...

  2. Для добавления полученного секрета в код циферблата нужно преобразовать его в шестнадцатеричные байты. Сделать это можно на сайте cryptii.com...

"Это ты, Чебурашка, здорово придумал!" - пропускать свои секретики через пару левых сайтов. Не поверю, что на том же питоне нет либ, работающих локально.

А кому нужен ваш секрет непонятно от какого именно сервиса и логина? Это же как пин-код от банковской карты ввести.

ну вот у меня TOTP для реддита формата
otpauth://totp/Reddit:myredditlogin?secret=ABCDEFGHIJKLMNOPQR1234567890&issuer=Reddit
тут тебе и сайт и username, и это было в изначальном QR-коде

так что я бы всё-таки не стал сливать их в посторонние сайты

Так вы всю строку не отправляйте, только ABCDEFGHIJKLMNOPQR1234567890 скопируйте

Может, я где-то не догоняю. Но тогда теряется смысл таскать с собой отдельный генератор одноразовых паролей. Их и на сайте прекрасно можно сгенерировать, зная тот же исходный ключ. Потом скопировать+вставить.

Но тогда теряется смысл таскать с собой отдельный генератор одноразовых паролей. Их и на сайте прекрасно можно сгенерировать, зная тот же исходный ключ. Потом скопировать+вставить.

Так исходный ключ же надо таскать где-то. Он длинный и не одноразовый.

  1. Открываем сайт в инкогнито-режиме

  2. Отключаем интернет

  3. Если необходимые преобразования не работают, то ищем другой сайт со схожим функционалом и идём на п.1

  4. Делаем всё, что нужно, локально

  5. Закрываем браузер

Это если не хочется искать и разбираться с либами.

Ну т.е. любой нашедший ваши часы....

Нет, так безопасность не увеличивается...

Наверное, можно допилить до состояния "введите пин", но как-то я сомневаюсь, что это год проработает. Тотр вообще-то требует еще и довольно точного времени...

Любой нашедший не знает ни логина-пароля владельца часов, ни какому сервису код принадлежит

Эти часы воровали с рук ещё в те времена а теперь если увидят с рукой заберут, разве что хранить эти часы не на виду, а сама идея очень понравилась и имеет право на дальнейшую жизнь.

Чего? Эти часы покупал лет 10 назад за 800 рублей. Да и свиду они остались такими же дешёвыми. С рукой оторвут скорее какие-нибудь apple watch

Зарегистрируйтесь на Хабре, чтобы оставить комментарий