OTP Key Reversing

[b0fh]

Les SecurID, recevoir leurs token par réseau sans fil ?

Complete. And. Utter. Bullshit.

Ces trucs contiennent un générateur pseudo-aléatoire cryptographique. Le serveur connait la clef secrète du token et peut prédire le contenu de la clef (a +/- quelques cycles près, pour compenser le clock drift de la clef). Si tu veux t'en convaincre il suffit d'en avoir une (ici je crois que Credit Suisse les donne pour l'ebanking) et de vérifier que ça marche indépendamment du lieu.

Pour les versions récentes je ne sais pas, mais je sais que les vieilles versions avaient un gros problème, du à une implémentation incorrecte du PRNG, qui permettait de prédire assez facilement le nombre complet (assez facilement veut dire, une chance sur 100 de trouver le bon nombre, au lieu d'une chance sur 1 million)