Was sind einige effizienten Wege Challenge / Response für ein Backdoor-Eintrag Schema zu generieren?

Question

Wir haben ein System, das Passwort-Authentifizierung verwendet eine Datenbank zuzugreifen, die Benutzernamen und verschlüsselte Passwörter werden in der Datenbank gespeichert. wenn ein Benutzer vergisst sein Passwort (oder der Administrator verlässt für grünere Weiden) wir in der Lage sein wollen, ein neues Passwort für den aktuellen Administrator zu erzeugen oder einen neuen Administrator erzeugen.

Wir beschäftigen uns mit unseren Kunden über Telefon-Support. Deshalb wollen wir dieses Szenario verwenden:

Benutzer Ringe oben -. Passwort vergessen

Client-Software erzeugt einen Challenge-Code auf der Grundlage ihrer Site-Lizenz

Benutzer sagt Telefon Support-Mitarbeiter den Challenge-Code

Telefon Support-Mitarbeiter geben einen Antwortcode

Benutzer geben Challenge-Response-Code, und geht in der Hintertür (entweder neue Benutzer angelegt oder das Passwort eines aktuellen Benutzer-Reset)

Wir wollen die Herausforderung / Antwort nur einmal arbeiten, wir wollen nicht die Hintertür offen lassen.

Wie sollen wir es tun?

Answer 1

Challenge-Code erzeugt auf der Grundlage sowohl Site-Lizenz und Datenbank gespeicherten Passwort. Mit dem neuen Passwort, notwendigerweise der nächste Code Herausforderung wird anders sein. Keine Hintertür.

Answer 2

RFC4226, HTOP

Das ist die Theorie hinter PIN-Rechner und Sie können verschiedene Implementierungen dafür bekommen, so dass Sie selbst müssen das Telefon nicht abholen, aber der Kunde kann es selbst erzeugen, mit einem Handy zum Beispiel.