Допустим, вы живете в Австралии и хотите продать дом за биткоины.
Вы нашли покупателя, который живет на Аляске, например.
Как узнать что он реальный покупатель, а не «Чупакабра»?
Вы ему отправляете код, он его получает и если сделка реальная то на такой же флешке отправляет свой код вам.
Всё. Вы подтвердили свои намерения, он свои. А вот как дальше, мне не рассказали.
OTP-токен (One-Time Password token) — это аппаратное или программное устройство, генерирующее уникальные одноразовые пароли для подтверждения личности пользователя. Или что то подобное.
В времена моей молодости у меня был примерно такой от Bloomberg.
обычный токен генерации одноразовых паролей.
особенно был популярен до появления смартфонов — и формат «флэшек» был, и размером с кредитком были из металла.
я раньше часто такими пользовался для доступа на в рабочую сеть по VPN.
Сейчас аналог можно поставить в виде разных приложений на телефон, например Google Authenticator. Я такой сейчас пользую вместо SMS для двухфакторной авторизации в Госуслугах.
У Сбера, кстати, был раньше вариант за деньги получить подобную железку чтобы авторизоваться в Quik без SMS.
NOT A HAMSTER, так а как он тебе поможет подтвердить намерения. Обычный холодный доступ, ты при сделках переводишь по номеру счета и видно откуда транзакция с какого счета. С этой шуткой ты только вход подтверждаешь с дополнительной безопасностью.
NOT A HAMSTER, скорей всего по идее находят гаранта сделки, который и организует сделку между покупателем и продавцом. И чтоб лишние не смогли участвовать, высылается код для входа. И чтоб код генерировался не в онлайне где могут перехватить код, используются такие холодные оффлайн девайсы
CoK, Скорее всего так и есть.
Но вот как она отправляет код за 10 000-20 000км итд.
У неё должна быть мощная связь и только через спутник. Сотовая связь, отпадает.
«Типа дополнительная гарантия того, что на другой стороне реальный человек, с серьёзными намерениями. » — сама по себе железка подтверждает только что её (существующую в единственном экземпляре) держат сейчас в руках. Нужен еще и пароль. В общем случае двухфакторная авторизация через «знаю что-то + имею что-то». Вполне обыденная тема. На фотке по общему принципе то-же что и RSA SecurID.
как вариант, эти вещи бывают и без железки. Те же приложения для телефонов. Ставишь, сервер тебе даёт число случайное для инициализации ключа, приложение неким способом, затрудняющим извлечение, сохраняет данные и потом генерирует тебе числа, которые на сервере тоже генерируют в момент логина. В один момент времени (30-60 секунд перехлёста, иногда еще пару значений в обе стороны) сгенерированное число в токене или приложении должно совпадать с тем что сервер сгенерировал сейчас для твоего аккаунта на своей стороне. Если пароль и число совпали — считается что это фактически правильный человек.
(Другое дело что и отмазаться от такой авторизации, мол не я был, взломали, уже гораздо сложнее)
NOT A HAMSTER, освежил знания — да там и ключи то не нужно знать ни серверу, ни токену. Просто есть алгоритм генерации псевдослучайных чисел, и у каждого токена он бежит со своей условно говоря уникальной точки. И сервер тоже знает с какой точки бежит алгоритм.
Прикол в том что просто записав кучу сгенерированных друг за другом чисел нельзя понять с какой точки оно стартовало, ну или продолжить с текущей точки. По крайней мере если это и возможно, то требует больших мощностей и то, не факт что выйдет. (если выйдет то власти не скажут :-) )
Сиделец, Ну это что-то уже ближе к правде. Получается что это типа электронная подпись в какой-либо сделке, между тем у кого товар и тем у кого биткоины?
А вот как аж 5 лет работает батарейка? Там же связь должна быть очень мощная. А значит расход энергии приличный.
Но её сделали специально не разборную. А значит были уверены что батареи хватит на столь долгое время.
7 млн кодов в ней запечатано. Они не по порядку идут, а блуждающим образом. В любую точку мира.
Вроде бы думаешь: ну понял, чё.
А потом другая мысль: да хрен ты что понял. Тут телефон самый крутой дохнет через день. А тут связь в любую точку мира и батарея рассчитана аж на 5 лет.
Допустим, вы живете в Австралии и хотите продать дом за биткоины.
Вы нашли покупателя, который живет на Аляске, например.
Как узнать что он реальный покупатель, а не «Чупакабра»?
Вы ему отправляете код, он его получает и если сделка реальная то на такой же флешке отправляет свой код вам.
Всё. Вы подтвердили свои намерения, он свои. А вот как дальше, мне не рассказали.
В времена моей молодости у меня был примерно такой от Bloomberg.
особенно был популярен до появления смартфонов — и формат «флэшек» был, и размером с кредитком были из металла.
я раньше часто такими пользовался для доступа на в рабочую сеть по VPN.
Сейчас аналог можно поставить в виде разных приложений на телефон, например Google Authenticator. Я такой сейчас пользую вместо SMS для двухфакторной авторизации в Госуслугах.
У Сбера, кстати, был раньше вариант за деньги получить подобную железку чтобы авторизоваться в Quik без SMS.
Мне так объяснили те, кто торгуют битком. Типа дополнительная гарантия того, что на другой стороне реальный человек, с серьёзными намерениями.
Но вот как она отправляет код за 10 000-20 000км итд.
У неё должна быть мощная связь и только через спутник. Сотовая связь, отпадает.
я ниже ссылку на эту тему скинул. Вот еще вариант нормальный вариант описания — ru.wikipedia.org/wiki/SecurID .
«Типа дополнительная гарантия того, что на другой стороне реальный человек, с серьёзными намерениями. » — сама по себе железка подтверждает только что её (существующую в единственном экземпляре) держат сейчас в руках. Нужен еще и пароль. В общем случае двухфакторная авторизация через «знаю что-то + имею что-то». Вполне обыденная тема. На фотке по общему принципе то-же что и RSA SecurID.
как вариант, эти вещи бывают и без железки. Те же приложения для телефонов. Ставишь, сервер тебе даёт число случайное для инициализации ключа, приложение неким способом, затрудняющим извлечение, сохраняет данные и потом генерирует тебе числа, которые на сервере тоже генерируют в момент логина. В один момент времени (30-60 секунд перехлёста, иногда еще пару значений в обе стороны) сгенерированное число в токене или приложении должно совпадать с тем что сервер сгенерировал сейчас для твоего аккаунта на своей стороне. Если пароль и число совпали — считается что это фактически правильный человек.
(Другое дело что и отмазаться от такой авторизации, мол не я был, взломали, уже гораздо сложнее)
Прикол в том что просто записав кучу сгенерированных друг за другом чисел нельзя понять с какой точки оно стартовало, ну или продолжить с текущей точки. По крайней мере если это и возможно, то требует больших мощностей и то, не факт что выйдет. (если выйдет то власти не скажут :-) )
Если касаться битка — это как холодный кошелёк. Стащить то его можно, но нужно помнить пароль, иначе бесполезно.
А вот как аж 5 лет работает батарейка? Там же связь должна быть очень мощная. А значит расход энергии приличный.
Но её сделали специально не разборную. А значит были уверены что батареи хватит на столь долгое время.
7 млн кодов в ней запечатано. Они не по порядку идут, а блуждающим образом. В любую точку мира.
Вроде бы думаешь: ну понял, чё.
А потом другая мысль: да хрен ты что понял. Тут телефон самый крутой дохнет через день. А тут связь в любую точку мира и батарея рассчитана аж на 5 лет.