Ha a második faktor TOTP, akkor minden rendben... Egy hiedelem vizsgálata

Szilárd Pfeiffer

Péter Balsai

NETWORKSHOP

2025-10-25 09:19:35

Tanulmányunkban az Ügyfélkapu+ kétlépcsős azonosításában alkalmazott időalapú egyszer használatos jelszó (TOTP) megoldást vizsgáljuk. Célunk annak bemutatása, hogy még egy egyszerűnek tűnő technológia is hordozhat biztonsági kockázatokat. Ismertetjüka TOTP előállításához szükséges fő paramétereket, valamint az ezekkel szemben támasztható biztonsági és használhatósági követelményeket. Elemzésünk során kitérünk arra is, hogy az Ügyfélkapu+ és a legnépszerűbb kliensalkalmazások mennyiben felelnek meg ezeknek. Rámutatunk, hogy a TOTP jelenléte önmagában nem garantál teljes körű biztonságot, szélsőséges esetekben pedig csupán annak illúzióját kelti.Kulcsszavak: ügyfélkapu+, mfa, 2fa, otp, hotp, totp, hmac, freeotp If the second factor is TOTP, then everything is fine… Testing a beliefIn this paper, we examine the use of time-based one-time passwords (TOTP) in the two-factor authentication mechanism of Ügyfélkapu+. Our goal is to demonstrate that even seemingly simple technologies can pose significant security risks. We outline the key parameters required for TOTP generation, as well as the related requirements for security and usability. We also assess how Ügyfélkapu+ and the most popular client applications meet these requirements. Our findings highlight that the presence of TOTP alone does not guarantee comprehensive security and, in extreme cases, may merely create the illusion of it.Keywords: ügyfélkapu+, mfa, 2fa, otp, hotp, totp, hmac, freeotp https://doi.org/10.31915/NWS.2025.4

magyar

Peer-reviewed Paper

http://ocs.mtak.hu/index.php/nws/2025/paper/view/190

NETWORKSHOP; Networkshop 2025

Authors who submit to this conference agree to the following terms:<br/> <strong>a)</strong>&nbsp;Authors retain copyright over their work, while allowing the conference to place this unpublished work under a <a href="http://creativecommons.org/licenses/by/3.0/">Creative Commons Attribution License</a>, which allows others to freely access, use, and share the work, with an acknowledgement of the work's authorship and its initial presentation at this conference.<br/> <strong>b)</strong>&nbsp;Authors are able to waive the terms of the CC license and enter into separate, additional contractual arrangements for the non-exclusive distribution and subsequent publication of this work (e.g., publish a revised version in a journal, post it to an institutional repository or publish it in a book), with an acknowledgement of its initial presentation at this conference.<br/> <strong>c)</strong>&nbsp;In addition, authors are encouraged to post and share their work online (e.g., in institutional repositories or on their website) at any point before and after the conference.