Escenario, cómo genera sus tokens la Cooperativa Zumaque

5 tareas · 55 min · Principiante

Martes 9 de marzo. La Cooperativa Zumaque va a abrir su portal de socios a más servicios, y la jefatura de tecnología te pide, por escrito y con alcance cerrado, una revisión de cómo la aplicación fabrica sus tokens antes de dar el visto bueno. Tienes la política de credenciales, el inventario de tokens, el código de cada generador y un registro del servicio de invitaciones. No hay lista de fallos ni pistas: hay cinco tokens, y no todos están mal. Todo es lectura; no se ejecuta nada ni se prueba ningún valor contra el portal.

0 de 5 · 0%

Objetivo de la sala

Cinco tokens, cinco generadores distintos. Uno de ellos no sale de ningún generador de azar: se calcula a partir de datos que alguien más puede conocer. Léelos todos antes de responder.

Responde para continuar

Escribe el nombre, tal como figura en el inventario, del token que se calcula a partir de datos conocidos en lugar de salir de un generador de azar.

La política fija un mínimo de entropía por tipo de token. El código de invitación para socios nuevos tiene su alfabeto y su largo en el inventario, y el generador que lo emite está en el código. Calcula los bits que tiene si cada carácter fuera realmente independiente y uniforme, que es lo mejor que el diseño podría dar.

Responde para continuar

¿Cuántos bits de entropía tiene el código de invitación en el mejor de los casos? Responde solo el número.

El servicio de invitaciones se reinició dos veces el mismo día. El registro muestra lo que emitió después de cada reinicio. Compara las dos series.

Responde para continuar

Escribe el código de invitación que abre la serie del servicio tras cada reinicio.

Un informe que solo lista fallos no distingue lo que hay que arreglar de lo que hay que dejar tranquilo. Revisa los cinco tokens frente a la política y decide cuáles están bien generados.

Responde para continuar

¿Cuáles de los cinco tokens están bien generados según la política?

Sesion, recuperacion y api-socio, porque los tres miden 32 caracteres o más y eso basta Ninguno: falta medir la distribución estadística de sus salidas Sesion y api-socio; csrf no, porque uuid no es una librería criptográfica, aunque dé 32 caracteres Sesion, api-socio y csrf: los tres usan un generador criptográfico

Ya tienes los hallazgos de recuperación e invitación. Falta la recomendación que va en el informe de la revisión, con el alcance completo: qué cambia en el código, en la configuración y con lo que ya se emitió.

Responde para continuar

¿Qué recomiendas para el enlace de recuperación y el código de invitación?

Bajar la caducidad de ambos a cinco minutos y no tocar el código Quitar solo la semilla fija y dejar los dos tokens como están, porque caducan en pocas horas Alargar la invitación a 12 caracteres con el mismo generador y cambiar md5 por SHA-256 en el enlace de recuperación, sin tocar más Generarlos con la fuente criptográfica y los bits de la política, quitar la semilla fija e invalidar lo ya emitido

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 El token que no es azar Lab

2 Los bits del código de invitación Lab

3 Lo que repite el registro Lab

4 Lo que está bien Lab

5 Qué se recomienda Lab

Whoami-Labs Pro utiliza cookies