florian.wilde/nebula
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases 20 Wiki Activity

fix(auth): Einmalkennwoerter nicht zweimal annehmen

Browse Source 
Ein TOTP-Code blieb rund 90 Sekunden gueltig und liess sich darin beliebig
oft verwenden. RFC 6238 verlangt in Abschnitt 5.2 ausdruecklich das
Gegenteil: derselbe Code darf kein zweites Mal angenommen werden.

Ohne diese Sperre kann ein abgefangener Code - ueber die Schulter gesehen,
von einer weiterleitenden Phishing-Seite, von Schadsoftware vom Bildschirm
gelesen - die restliche Gueltigkeitsdauer ueber wiederverwendet werden.

verifyTotp gibt dafuer jetzt ueber matchTotp das Zeitfenster zurueck, das
gepasst hat; angenommen wird nur, was neuer ist als das zuletzt eingeloeste.
Der Vergleich bleibt dabei in konstanter Zeit - es wird weiterhin nicht
fruehzeitig abgebrochen.

Auch die Aktivierung verbrennt ihr Fenster: der Code, der eben
scharfgeschaltet hat, soll nicht Sekunden spaeter noch zum Anmelden taugen.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
This commit is contained in:
florian.wilde
2026-07-27 00:14:10 +02:00
co-authored by Claude Opus 5
parent 72e5eb43c4
commit 27f51b6be8
7 changed files with 101 additions and 21 deletions
Download Patch File Download Diff File Expand all files Collapse all files
src/lib/auth/totp.ts
+31 -13
View File
@@ -102,26 +102,44 @@ export function counterFor(at: Date = new Date()): number {
}
/**
* Prueft einen eingegebenen Code. Vergleicht in konstanter Zeit und probiert
* die Nachbarfenster mit, damit eine leicht abweichende Uhr nicht stoert.
* Prueft einen eingegebenen Code und gibt das Zeitfenster zurueck, das
* gepasst hat – oder null.
*
* Das Fenster wird gebraucht, um einen verbrauchten Code zu entwerten:
* RFC 6238 verlangt in Abschnitt 5.2 ausdruecklich, dass derselbe Code kein
* zweites Mal angenommen wird. Ohne diese Zahl liesse sich ein abgefangener
* Code die restliche Gueltigkeitsdauer ueber wiederverwenden.
*
* Verglichen wird in konstanter Zeit, und die Nachbarfenster werden
* mitprobiert, damit eine leicht abweichende Uhr nicht stoert.
*/
export function matchTotp(
secret: string,
code: string,
at: Date = new Date(),
window: number = TOTP_WINDOW,
): number | null {
const eingabe = code.replace(/\s/g, "");
if (!/^\d+$/.test(eingabe) || eingabe.length !== TOTP_DIGITS) return null;
const jetzt = counterFor(at);
let treffer: number | null = null;
for (let schritt = -window; schritt <= window; schritt += 1) {
// Nicht fruehzeitig abbrechen: sonst haengt die Laufzeit davon ab,
// welches Fenster gepasst hat.
if (constantEquals(totpCode(secret, jetzt + schritt), eingabe)) treffer = jetzt + schritt;
}
return treffer;
}
/** Wie matchTotp, wenn nur interessiert *ob* der Code stimmt. */
export function verifyTotp(
secret: string,
code: string,
at: Date = new Date(),
window: number = TOTP_WINDOW,
): boolean {
const eingabe = code.replace(/\s/g, "");
if (!/^\d+$/.test(eingabe) || eingabe.length !== TOTP_DIGITS) return false;
const jetzt = counterFor(at);
let treffer = false;
for (let schritt = -window; schritt <= window; schritt += 1) {
// Nicht fruehzeitig abbrechen: sonst haengt die Laufzeit davon ab,
// welches Fenster gepasst hat.
if (constantEquals(totpCode(secret, jetzt + schritt), eingabe)) treffer = true;
}
return treffer;
return matchTotp(secret, code, at, window) !== null;
}
function constantEquals(a: string, b: string): boolean {