class OtpGenerator - Hardening nextOtpCode() about immuni-app-android

[bfabio]

We're looking at a 25^9 key space here and ephemeral codes lasting at most 150 seconds and I'm guessing half as long on the average case, where the user completes the upload procedure. On top of that, I bet there's network level attack mitigation, so I think we're fine.

Reducing the alphabet and using a CRC are great UX choices, I wish software was built with this attention to detail more often. 🥇

dato lo spazio delle chiavi 25^9 un semplice script py riesce a generare 10^6 diverse combinazioni con anche il 10 bit di controllo in 6.6621527671813965 secondi quindi si possono generare tutte le chiavi in 25^9/10^6 *6.6621527671813965 /60 /60 /24 = 294.1446289831354220708211263020833333333333333333333333333... giorni con un solo dispositivo (poco potente), con 10 dispositivi le chiavi verrebbero generate in meno di un mese.
presumo che una mitigazione lato server sia fondamentale ma estendere le chiavi di un paio di caratteri non sarebbe una cattiva idea.

[bfabio]

@oppo99 You're misunderstanding how OTPs are used in the app: they are only valid for a brief period of time once you give it to a health worker (who inserts it into the system) after being tested positive.

@bfabio ho capito il funzionamento dell'otp, non ritengo che questo sia un problema se preso da solo ma in relazione a #121 potrebbe esserlo. la possibilità che due dispositivi vengano forzati ad avere lo stesso codice è correlato alla dimensione dello spazio delle chiavi

[stale]

This issue has been automatically marked as stale because it has not had recent activity. It will be closed if no further activity occurs. Thank you for your contributions.