Különösen érdekes írás jelent meg a kormanyablak.org oldalán, melyben a szerző, Szabó Áron az RSA-incidens következményeivel, illetve egy új technológiát mutat be, illetve elemzi a jelenlegi helyzetet:
Minden az OTP értéke körül forog: a tőzsdeguruk figyelik a bankvilág részvény-árfolyamainak alakulását, az IT-szakik pedig figyelik az RSA SecurID one-time-password (OTP) kütyüje kapcsán lehozott híreket.
Az RSA SecurID adatlopás első hírei (2011-03-18) óta sokminden történt: a hibát kihasználva több helyre is be tudtak törni illetéktelenek (pl. az USA számára nemzetbiztonsági szempontból is fontos Lockheed Martin szervereire), ugyanakkor viszont nyílt szabványként kiadtak egy olyan időalapú, egyszeri jelszavakat létrehozó eljárást, amely vélhetően nagyon hasonlít az RSA SecurID által használthoz.
Az időalapú TOTP (IETF RFC 6238) tulajdonképpen a már korábban kiadott számláló-alapú HOTP (IETF RFC 4226) egy válfaja. Ezek működésén keresztül könnyebben meg lehet érteni, hogy miért volt kritikus az RSA SecurID tokenek "seed" értékeinek kiszivárgása.
- HOTP(K,C) = Truncate(HMAC-SHA-1(K,C))
- TOTP(K,T) = Truncate(HMAC-SHA-1(K,T))
TOTP(K,T) = Truncate(HMAC-SHA-256(K,T))
TOTP(K,T) = Truncate(HMAC-SHA-512(K,T))
A teljes írás a kormanyablak.org oldalán olvasható.
