Kết hợp mật khẩu và TOTP - các sự cố có thể xảy ra

Tôi đã bắt gặp cơ chế đăng nhập hai yếu tố bằng cách sử dụng OTP dựa trên thời gian (TOTP). TOTP (6 chữ số) được hiển thị cho người dùng trong một ứng dụng.

Có hai cách đăng nhập.

Cách 1:

Người dùng nhập tên người dùng và mật khẩu. Sau đó phê duyệt thông báo đăng nhập nhận được trong ứng dụng TOTP. Không cần nhập TOTP trong trường hợp này.

tên người dùng = tên người dùng
mật khẩu = mật khẩu

Cách 2:

Người dùng nhập nối mật khẩu và TOTP từ ứng dụng làm mật khẩu. Không nhận được thông báo trong ứng dụng trong trường hợp này.

tên người dùng = tên người dùng
mật khẩu = mật khẩu + TOTP (6 chữ số)

Tên người dùng và mật khẩu được gửi qua TLS.

Về phía máy chủ, tôi giả sử họ tách 6 chữ số cuối khỏi giá trị mật khẩu nhận được và kiểm tra xem nó có khớp với TOTP không (và sau đó khớp phần còn lại của chuỗi với mật khẩu được lưu trữ).

Mặt khác, họ băm mật khẩu hoàn chỉnh và khớp nó với giá trị được lưu trữ trong cơ sở dữ liệu (giả sử mật khẩu không được lưu trữ ở dạng văn bản thuần túy). Nếu khớp, một thông báo sẽ được gửi đến thiết bị của người dùng.

Điều gì có thể là các vấn đề có thể xảy ra hoặc các điểm yếu về mật mã học trong hệ thống này?

tôi đang giả định

Quy tắc số 1 của tôi khi nói đến bảo mật, giả định điều tồi tệ nhất hoặc không giả định bất cứ điều gì (mặc dù tôi thừa nhận rằng tôi vẫn đưa ra các giả định)

Điều gì có thể là các vấn đề có thể xảy ra hoặc các điểm yếu về mật mã học trong hệ thống này?

Mật khẩu rất có thể được lưu trữ ở dạng văn bản thuần túy, chỉ là bạn không biết. Thực tế là họ đang sử dụng TOTP ngay từ đầu là một dấu hiệu tốt, nhưng không chứng minh được điều gì về phần bảo mật còn lại của họ.

Một số công ty tự hào về việc triển khai bảo mật của họ và sẽ cho bạn biết ngay nếu bạn hỏi, họ thậm chí có thể có giấy trắng chi tiết các tiêu chuẩn của họ.

Có những điều đáng nói nào khác mà công ty đã công khai về bảo mật dịch vụ của họ không? Họ có sử dụng những từ cờ đỏ như "mã hóa cấp độ quân sự" hay "không thể phá vỡ" không? Chính sách của họ về độ phức tạp của mật khẩu là gì? Trang web của họ có sử dụng TLS 1.3 không?

Tôi khuyên bạn nên hỏi, nếu họ lảng tránh hoặc đối đầu, đó có thể là một dấu hiệu xấu.