OTP koppelen aan PHP login script

[megatronic]

Hallo,

Momenteel ben ik bezig met een website voor een klant, de login van deze website wil ik gaan beveiligen doormiddel van OTP (one time password).
De klant krijgt een OTP token en doormiddel van de gegenereerde code die verschijnt op de token moet de klant kunnen inloggen (het zelfde idee als internet bankieren eigenlijk).
Nu ben ik een stukje linux software of een PHP script nodig welke ik kan koppelen aan het login script van de website.

Omdat ik totaal geen ervaring heb met OTP zou ik jullie graag willen vragen wat ik hiervoor het beste kan gebruiken en wat het meest gangbare is.


Alvast bedankt!

[MueR]

Wat zegt de documentatie van je OTP tokens hierover? Die zal vast iets kunnen vertellen over de logica achter de tokens?

[Verwijderd]

Ik neem aan dat de fabrikant van de generators hier wel software voor levert? Indien ze zouden prijsgeven hoe zo'n ding precies een token code berekent lijkt me dat een behoorlijk belemmering voor de veiligheid!

[megatronic]

MueR schreef op maandag 10 november 2008 @ 10:07:
Wat zegt de documentatie van je OTP tokens hierover? Die zal vast iets kunnen vertellen over de logica achter de tokens?

Helaas zit er bij de tokens geen documentatie, maar het gaat om deze token:

http://www.cryptoshop.nl/product/securemetric-secureotp.php


http://www.securemetric.com/product.php?id=5

[ Voor 6% gewijzigd door megatronic op 10-11-2008 10:15 ]

[RobIII]

Waar hoort mijn topic?
WEB >> PRG

[Flipke84]

Als je de bijbehorende brochure had gelezen had je gezien dat je een SecureOTP Developer Kit nodig hebt.

Deze kit bevat voorbeelden van API's inC/C++, C#, Java, ASP, PHP, Perl

[Janoz]

Persoonlijk lijkt het me handiger wanneer je er iemand bijhaalt (huurt dus) die hier wel verstand van heeft. Security is niet iets wat je er even bij klust, zeker niet in een omgeving waarin het blijkbaar dermate belangrijk is dat er special purpuse hardware wordt aangeschaft.

[megatronic]

Flipke84 schreef op maandag 10 november 2008 @ 10:23:
Als je de bijbehorende brochure had gelezen had je gezien dat je een SecureOTP Developer Kit nodig hebt.

Deze kit bevat voorbeelden van API's inC/C++, C#, Java, ASP, PHP, Perl

Klopt, dat ben ik zelf ook net achter gekomen..
Ik heb de leverancier al gebeld of zij deze ook hebben liggen want deze zat namelijk niet bij de token.
Vandaag word ik nog terug gebeld.

Janoz schreef op maandag 10 november 2008 @ 10:26:
Persoonlijk lijkt het me handiger wanneer je er iemand bijhaalt (huurt dus) die hier wel verstand van heeft. Security is niet iets wat je er even bij klust, zeker niet in een omgeving waarin het blijkbaar dermate belangrijk is dat er special purpuse hardware wordt aangeschaft.

Nou het is een stage opdracht, dus het is juist de bedoeling dat ik er wat van leer.
Ik zoek eerst de informatie er bij en dan ga ik samen met mijn collega verder.

[ Voor 33% gewijzigd door megatronic op 10-11-2008 10:44 ]

[lordsnow]

Google is your friend:
http://www.google.nl/sear...e+time+password+PHP&meta=

Wikipedia:
Wikipedia: One-time password

Hoe krijgt de klant trouwens elke keer een nieuw token?

PHP Time One Time Password 1.0
http://webscripts.softped...-Time-Password-46159.html

//edit: ik moet niet reageren om pas anderhalf uur later op Enter te drukken..

[ Voor 9% gewijzigd door lordsnow op 10-11-2008 12:20 ]

[MueR]

Lezen is de jouwe lordsnow. TS geeft net aan dat ie bij de leverancier een vraag heeft neergelegd over de software die de fabrikant van deze tokens aanlevert. Hem wijzen op Google, Wikipedia of andere bronnen die niet met deze specifieke tokens werken heeft dus geen nut.

[megatronic]

MueR schreef op maandag 10 november 2008 @ 11:47:
Lezen is de jouwe lordsnow. TS geeft net aan dat ie bij de leverancier een vraag heeft neergelegd over de software die de fabrikant van deze tokens aanlevert. Hem wijzen op Google, Wikipedia of andere bronnen die niet met deze specifieke tokens werken heeft dus geen nut.

Inderdaad, ik ben namelijk de hele ochtend al aan het googlen zonder enig resultaat.
Het enige wat ik kan vinden zijn fabrikanten van andere tokens.
Wikipedia had ik natuurlijk zelf ook al gecheckt.

Het is altijd wel een makkelijke oplossing om iedereen maar op google of wikipedia te wijzen


PHP Time One Time Password 1.0 had ik trouwens zelf ook al gevonden..
Check volgende keer ook de mirror even, die is namelijk dood.

[ Voor 9% gewijzigd door megatronic op 10-11-2008 12:01 ]

[lordsnow]

@ MueR & megatroic:
Sorry.. ik reageerde op het eerste bericht. Ik kreeg hier wat klanten tussendoor voordat ik op Enter kon drukken om mijn bericht te posten. Vandaar dat mijn post gelijk al achterhaald is.

[megatronic]

lordsnow schreef op maandag 10 november 2008 @ 12:24:
@ MueR & megatroic:
Sorry.. ik reageerde op het eerste bericht. Ik kreeg hier wat klanten tussendoor voordat ik op Enter kon drukken om mijn bericht te posten. Vandaar dat mijn post gelijk al achterhaald is.

Het is je vergeven
Toch bedankt voor je reactie trouwens.

Er is weinig te vinden over dit onderwerp maar mijn collega heeft ook al een aantal dingen gevonden.

[Equator]

OTP werk over het algemeen met een Radius Server. Hierin geeft de radius server een ack/nack terug aan de hand van een ingegeven uid/otppwd.

Hier: http://www.php.net/radius is een PHP radius implementatie. Wat ik er even snel van lees kan je hiermee prima een radius request mee sturen en een antwoord krijgen waarmee je verder kan