5.2. Validation and Time-Step Size (验证和时间步长大小)

5.2. Validation and Time-Step Size (验证和时间步长大小)

在同一时间步长内生成的 OTP 将是相同的。当验证系统接收到 OTP 时, 它不知道生成 OTP 时客户端的确切时间戳。验证系统通常可能使用接收 OTP 时的时间戳进行 OTP 比较。由于网络延迟, OTP 生成时间与 OTP 到达接收系统的时间之间的间隙 (由 T 测量, 即自 T0 以来的时间步数) 可能很大。验证系统的接收时间和实际 OTP 生成可能不在产生相同 OTP 的同一时间步长窗口内。当在时间步长窗口结束时生成 OTP 时, 接收时间最有可能落入下一个时间步长窗口。验证系统通常应该为验证设置可接受的 OTP 传输延迟窗口策略。验证系统不仅应该将 OTP 与接收时间戳进行比较, 还应该与传输延迟内的过去时间戳进行比较。更大的可接受延迟窗口会暴露更大的攻击窗口。我们建议最多允许一个时间步长作为网络延迟。

时间步长大小对安全性和可用性都有影响。更大的时间步长意味着验证系统接受 OTP 的有效性窗口更大。使用更大的时间步长会产生以下影响:

首先, 更大的时间步长暴露更大的攻击窗口。当 OTP 生成并在使用前暴露给第三方时, 第三方可以在时间步长窗口内使用 OTP。

我们建议默认时间步长为 30 秒。选择 30 秒的默认值是为了在安全性和可用性之间取得平衡。

其次, 下一个不同的 OTP 必须在下一个时间步长窗口中生成。用户必须等到时钟从上次提交移动到下一个时间步长窗口。等待时间可能不完全是时间步长的长度, 这取决于最后一个 OTP 生成的时间。例如, 如果最后一个 OTP 在时间步长窗口的中点生成, 则下一个 OTP 的等待时间是时间步长的一半。一般来说, 更大的时间步长窗口意味着用户在最后一次成功的 OTP 验证后获得下一个有效 OTP 的等待时间更长。太大的窗口 (例如 10 分钟) 很可能不适合典型的互联网登录用例; 用户可能无法在 10 分钟内获得下一个 OTP, 因此将不得不在 10 分钟后重新登录同一站点。

请注意, 证明者可能在给定的时间步长窗口内多次向验证者发送相同的 OTP。在为第一个 OTP 发出成功验证后, 验证者绝对不能接受第二次 OTP 尝试, 这确保了 OTP 的一次性使用。