Como funcionam os tokens RSA?

O mecanismo (demasiado simplificado) é

hash = <some initial value>
every x seconds do:
   hash = hashfunction(hash + secret_key)
   print hash

Posso dar-vos uma ideia de como funcionam os autenticadores móveis Blizzard, uma vez que o seu código foi de fonte aberta. (arquivo)

Em breve pseudo-código é:

String GetCurrentFOBValue()
{
   // Calculate the number of intervals since January 1 1970 (in UTC)
   // The Blizzard authenticator rolls over every 30 seconds,
   // so codeInterval is the number of 30 second intervals since January 1 1970.
   // RSA tokens roll over every minute; so your counter can be the number 
   // of 1 minute intervals since January 1, 1970
   // Int64 codeInterval = GetNumberOfIntervals();
   Int64 codeInterval = (DateTime.Now - new DateTime(1970,1,1)).TotalSeconds / 30;

   // Compute the HMAC_SHA1 digest of the code interval, 
   // using some agreed-upon 20-bytes of secret key material.
   // We will generate our 20-bytes of secret key material by
   // using PBKDF2 from a password. 
   // Blizzard's mobile authenticator is given secret key material
   // when it enrolls by fetching it from the web-site.
   Byte[] secret = PBKDF2("Super-secret password that our FOB knows", 20); //20 bytes

   // Compute a message digest of codeInterval using our shared secret key
   Byte[] hmac = HMAC(secret, codeInterval);

   // Pick four bytes out of the hmac array, and convert them into a Int32.
   // Use the last four bits of the digest as an index 
   // to which four bytes we will use to construct our Int32
   int startIndex = hmac[19] & 0x0f;

   Int32 value = Copy(hmac, startIndex, 4).ToUInt32 & 0x7fffffff; 

   // The blizzard authenticator shows 8 digits
   return String.Format("%.8d", value % 100000000);

   // But we could have just as easily returned 6, like RSA FOBs do
   return String.Format("%.6d", value % 1000000);
}

Nota : qualquer código é lançado no domínio público. Não é necessária atribuição.

Pode referir-se ao algoritmo de senha RFC baseado no tempo

Como claramente descrito nisso, o algoritmo exato usado em tokens RSA(SecurID) é TOTP (algoritmo de senha única baseado no tempo), um algoritmo de hash.

A semente (pode ser gerada por uma variante de AES-128) já estava guardada no token antes de a usarmos.

@a resposta de VolkerK liga-se ao código C que descreve o algoritmo para tokens RSA de "64-bit", que usam um algoritmo essencialmente personalizado (engenharia reversa ~2000).

No Entanto, se você estiver interessado em o algoritmo utilizado pelo mais moderno "128 bits" tokens (incluindo o onipresente SID700 tokens de hardware e equivalente soft tokens), então dê uma olhada no código fonte para stoken, um projeto open-source que completamente documentos de seu funcionamento; securid_compute_tokencode é o principal ponto de entrada.

Essencialmente, o algoritmo funciona assim:

• gerar chaves a partir da hora actual e do número de série
• cifra repetidamente o secret/seed com AES de 128 bits
• extrair os algarismos a partir da representação decimal da saída e Adicionar no PIN para uma boa medida

Não é assim tão diferente do algoritmo open standard TOTP (parte da iniciativa para autenticação aberta) usado no Google Autenticador, YubiKey, acesso VIP Symantec , etc. ... apenas MOAR SPESHUL e proprietário para EKSTRA SECURITEH!