Mivel végre sikerült megrendelnem a várva várt Blizzard Authenticatort, gondoltam írok már arról, hogy mi ez, és miért is jó nekünk. Geek vagyok, szóval lehet, hogy kissé túlságosan belebonyolódom a technikai részletekbe, ezért előre is elnézést kérek
Miért?
Az accountodat alapvetően a login név, és az ahhoz tartozó jelszó védi. Ez a lehető legegyszerűbb, klasszikus autentikációs módszer. Nem is lenne vele baj, ha a WoW nem szerzett volna világ szerte 10 millió előfizetőt, és így egyre jobban felkeltette a rossz fiuk érdeklődését. Ott tartunk, hogy jelenleg célzott támadások folynak az MMO-k ellen, és köztük is kiemelten a wow ellen. Ezek főképp Keyloggerek, phishing levelek.
Nap mint nap találkozunk itt fórumon esetekkel, hogy kompromittálódott egy account, szóval a probléma nagy, és valós. Ha ellopták az accountodat, megeshet, hogy hetekig nem jutsz hozzá a szeretett karaktereidhez. Ha pedig még a titkos kérdésedre se emlékszel, (mint ahogy kb 90%-nk nem), akkor, - hogy egy klasszikussal éljek - "Well my Friend, you are quite screwed...", magyarul megszívtad, mint a torkosborz.
Hogyan?
Az Authentikátor kiegészíti az alap hitelesítést, egy plusz kóddal. Ellenben a neveddel, és jelszavaddal, amiknek a gyengeségüket pont a statikus voltjuk adja (ezért ajánlott titokban tartani még az account nevet is), ez a kód dinamikusan változik, X percenként újra generálódik valamilyen meghatározott algoritmus alapján. Ennek alapja valamilyen titkos kulcs, ami be van égetve az eszközbe, illetve nyilvántartják a Blizzardnál is. Az eszköz azonosítója alapján lehet tudni, hogy az adott időpillanatban éppen milyen kódot mutat. Ennek a kódnak a kitalálás a kulcs nélkül, lehetetlen, még brute forceval is, mert egy kód túl rövid ideig él, nem lehet végigpörgetni rajta a lehetséges értékek töredékét sem.
Mivel?
Lássuk a konkrét kütyüt. Ez egy Digipass Go 6, a Vasco cégtől. Ez hat számot használ, amit a Vasco DIGIPASS nevű algoritmusával számol az idő, és a titkos kód alapján. Ha jól vettem ki a szűkszavú leírásból, az kódot vagy DES (a létező leggyöngébb), 3DES (ez pont háromszor erősebb a DES-nél;)), vagy AES. Hogy pontosan melyiket használják, arrol nem szól a fáma, de én merem remélni, hogy az AES-t, ami a jelenleg elérhető egyik legerősebb, szabványos szimmetrikus titkosító algoritmus.
Igazándiból ez valójában nem is érdekes, ugyanis az algoritmus kódját két helyről lehet megszerezni. Vagy ellopják a kütyüdet, szétszedik, kiolvassák a kódját, és visszafejtik, (Ez értelemszerűen hülyeség, hiszen ha valaki ellopja, minek akarná szétszedni
) vagy a blizzard authentikációs szerverét törik meg, és onnan szerzik meg a fent említett algoritmusokkal titkosított kulcsot.
Ez valóban egy lehetséges forgatókönyv, de vajon megéri e kivitelezni a támadást. Feltételezhetjük, hogy az alkalmazott VACMAN (vagy IDENTIKEY) szervereket megfelelően védik, de ha be is jutnak szereznek egy kódot, amit felhasználónként kell visszafejteni. Ez a visszafejtés DES esetében pár óra, 3DES esetén pár nap, AES esetén párszáz év találgatással. Szivárványtáblával gyorsabb lehet, de utánanéztem, hogy a szükséges táblaméret: 3.06499108 * 10^54 Yottabyte (1 Yottabyte: 1000^8 byte. Viszonyításul, 1 Giga byte az 1000^3 byte), és többszöröse, mint az internet jelenlegi mérete.
Természetesen a generált kódból, és az időpillanatból sem lehet következtetni az eredetire, mert ez az algoritmus egyirányú, nem visszakövethető.
És ha tönkremegy?
A kütyü szétszedhetetlen, nem egyszerű hozzáférni a belsejéhez, épp ezért elemet se lehet benne cserélni. Félni nem kell azonban, mert a gyártó szerint az elem várható élettartama
7 év. Leírás szerint garantáltan túl él egy méteres zuhanást (tehát valójában sokkal többet is), vízálló (1 méter mélységben 30 percig, de ez nem is búvá óra), elvisel 4KV, közvetlen, és 8Kv, légi (villám) elektromos kisülést. Mozgó alkatrészei nincsenek, szóval jól tűri a dobálást, remegést. Elpusztíthatatlanabb, mint egy csótány.
Végül.
Ezek ismeretében láthatjuk, hogy ez az egyik legjobb elérhető védelem az accountunkhoz, és mindenkinek ajánlott beszereznie egyet. (Főleg, ha nem emlékszel a titkos kérdésre) A titkos szám bepötyögése kevesebb fáradtság, és stressz, mint egy ellopott jelszó miatti két, három hét wowtalanság, és tengernyi levelezés az account supporttal.
És itt raknám be utánna Lilwolfy beszolását.: "magyarul megszívtad, mint a torkosborz." ?
És utánna Muadib hozzászolását idézném.: "és ami szerintem még fontos de kimaratd, hogy bármikor le lehet "választani" az accodról egy gombnyomással a managerben"
Nekem van egy olyan érzésem, hogy akkor tudod leválasztani, ha generáltatsz (értsd gomb nyomás) 1 új kódot beütöd majd "leválaszt", de kérdem én, hogy választod le ha elveszik? Mivel nem tudsz kódot csinálni. Vagy ha ez nem kell akárki leválaszthatja aki megszerzi az accod és a passt, és úgyanúgy lopja el mint eddig....?!
Ha pedig kéri a wow.com ra belépéskor mert feltöltenéd pl. az accot vagy GC vagy akármi mert lehet, hogy oda is kéri mint a játékba lépéskor. Ugyan ott vagyunk akkor ott se fogsz tudni belépni mert elveszett!!!
Remélem érthető a problémám!?
Vagy ez kizárólag csak a Wow-hoz lesz jó?
(ha mégse, akkor: http://eu.blizzard.com/store/details.xml?id=221003132 )
Can I apply my Blizzard Authenticator to more than one account?
Yes! You"re welcome to associate a single Blizzard Authenticator to as many accounts as you like. Please remember that you must have that Authenticator with you to login to any of these accounts afterwards.
Magyarul egyetlen ilyen kütyüt akármennyi accounthoz lehet használni. DE tudni kell, hogy miután beregisztráltuk az adott autentikátort (de szép szó) egy accounthoz, azután már csak ezzel együtt tudunk belogolni. (elveszik, ellopják, elromlik etc.. akkor fel kell venni a kapcoslatot a Blizzel, hogy közösen megoldjátok a problémát )
Amikor én rendeltem meg,. egy darab 3850.- HUFra jött ki.
Viszont egy token-t elvileg hozzá lehet rendelni több accounthoz is tudomásom szerint, ergo lehet hogy "családi" felhasználásra elég 1 darab is. (Persze ennek jobb pontosan utánanézni, amit én most kihagyok, mert lusta vagyok és rengeteg fórumot kell még átnézegetnem így hétfőn. )