OTP/OATH (RFC 4226) 硬件令牌是否可重新播种？

Question

我们建立了一个双因素身份验证系统，该系统使用Google Authenticator通过手机应用程序使用 OTP。然而，我们的一些用户没有智能手机，所以我们希望能够使用硬件令牌。

如果制造商设置了密钥/种子，那么其他人显然可能知道您的密钥。这似乎不安全。因此，如果它们可以重新播种，那没有意义。当您获得这些类型的硬件令牌时，是否可以使用新的密钥重置它们？是否仅取决于关键制造商？

Answer 1

有多种可以播种的硬件令牌。

yubikey 确实是一个可爱的版本，因为您不需要额外的硬件来播种它，并且所有必要的软件都是公开可用的。yubikey 甚至对于盲人用户也能正常工作。但您需要一个 USB 端口才能使用它。

还有 eToken PASS 和 eTokenNG OTP，这两种都是 SafeNet（前 Aladdin）的代币。PASS 是密钥卡令牌，可以通过附加设备进行播种。eToken PASS 可以作为 HOTP 和 TOTP 代币播种。

eTokenNG OTP 是一种混合设备（OTP 和智能卡）。它还具有 USB 连接器，可以使用此 USB 连接器进行播种。

但如果某些用户只是缺少智能手机，您还可以：

1. 使用motp，它也可以在旧功能手机上运行或

2. SMS-Tokens，其中 OTP 通过 SMS 传输到移动电话（非智能手机）。（但我真的、真的不会推荐这个！;-）

我建议的是，看看LinOTP或PrivacyIDEA，它是一个后端，适用于所有这些令牌类型（Google Autheticator、YubiKey、eToken Pass、eTokenNG OTP、motp、SMS...），从而使您能够选择哪个用户将拥有哪个令牌。

最后，是的，我在一家公司工作，该公司为开源 LinOTP 提供企业扩展。