Ich habe dies auch bemerkt und ich denke, es ist ein Ergebnis der Tendenz des menschlichen Gehirns, Muster auf zufälliges Rauschen anzuwenden. Dies scheint häufiger vorzukommen, wenn speziell versucht wird, sich an eine Folge von Zahlen zu erinnern.

Etwa 85% der sechsstelligen Zufallszahlen haben mindestens eine sich wiederholende Ziffer und 40% haben eine sich wiederholende fortlaufende Ziffer nebeneinander. (Ich bin froh, dass ich meine Mathematik korrigieren kann.)

Diese Schlüssel werden mit dem Standard-TOTP-Algorithmus generiert. Der Artikel fasst diese Implementierung zusammen und zeigt, dass keine Anstrengungen erforderlich sind, um eine einprägsame Zahl zu generieren:

Gemäß RFC 6238 lautet die Referenzimplementierung wie folgt:

• Generieren Sie einen Schlüssel K, bei dem es sich um eine beliebige Byte-Zeichenfolge handelt, und teilen Sie ihn sicher mit dem Client.
• Vereinbaren Sie eine T0, die Unix-Zeit für den Beginn der Zählzeit und ein Intervall TI. Hiermit wird der Wert des Zählers C berechnet (Standardeinstellungen sind die Unix-Epoche als T0 und 30 Sekunden als TI).
• Vereinbaren Sie eine kryptografische Hash-Methode (Standard ist SHA-1)
• Vereinbaren Sie eine Token-Länge, N (Standard ist 6).

Obwohl RFC 6238 die Verwendung verschiedener Parameter zulässt, unterstützt die Google-Implementierung der Authentifizierungs-App keine T0- und TI-Werte , Hash-Methoden und Token-Längen, die vom Standard abweichen. Es wird auch erwartet, dass der geheime K-Schlüssel in der Base-32-Codierung gemäß RFC 3548 eingegeben (oder in einem QR-Code bereitgestellt) wird.

Sobald die Parameter vereinbart sind, lautet die Token-Generierung wie folgt:

1. Berechnen Sie C als die Häufigkeit, mit der TI nach T0 verstrichen ist.
2. Berechnen Sie den HMAC-Hash H mit C als Nachricht und K als Schlüssel (der HMAC-Algorithmus ist in definiert der vorherige Abschnitt, aber auch die meisten kryptografischen Bibliotheken unterstützen ihn). K sollte so wie es ist übergeben werden, C sollte als rohe 64-Bit-Ganzzahl ohne Vorzeichen übergeben werden.
3. Nehmen Sie die mindestens 4 signifikanten Bits von H und verwenden Sie sie als Offset O.
li> Nehmen Sie 4 Bytes von H ab O Bytes MSB, verwerfen Sie das höchstwertige Bit und speichern Sie den Rest als (vorzeichenlose) 32-Bit-Ganzzahl I.
4. Das Token ist die niedrigste N Stelle von I in Basis 10. Wenn das Ergebnis weniger Stellen als N hat, füllen Sie es mit Nullen von links auf.
ol>

Sowohl der Server als auch der Client Berechnen Sie das Token, und der Server prüft, ob das vom Client bereitgestellte Token mit dem lokal generierten Token übereinstimmt. Einige Server erlauben Codes, die vor oder nach der aktuellen Zeit generiert werden sollten, um leichte Zeitverschiebungen, Netzwerklatenz und Benutzerverzögerungen zu berücksichtigen.

Auf meinem Telefon hatte ich ungefähr 90 Bestätigungscodes von verschiedenen Unternehmen. 62 davon waren 6 Ziffern lang. Hier ist die Anzahl jeder Ziffer:

Möglicherweise ein leichter Versatz in Richtung 1,8 und 9? Mit ziemlicher Sicherheit nur Rauschen in den Daten (62 ist eine kleine Stichprobe).

Was ist mit zweistelligen Zahlen?

Das erste Diagramm ist nur das zweistellige Zahlen an den zweistelligen Grenzen (dh AABBCC) - wir würden also erwarten, dass jedes Paar bei den 186 möglichen Ziffernplatzierungen etwa 1,86-mal vorkommt. Die zweite ist eine beliebige Platzierung (d. H. XXX99X zählt als zweistellige Zahl). Wir würden jedes Paar ungefähr 3,1-mal über die 310 Platzierungen erwarten.

Es scheint keinen offensichtlichen Versatz mit viel mehr zweistelligen Zahlen als nicht zweistelligen zu geben - zweistellige Zahlen werden in Orange angezeigt. In den letzteren Daten würden wir ungefähr 31 zweistellige Zahlen erwarten und 27 erhalten. Das scheint vernünftig.

Natürlich schließt dies andere "nicht zufällige" Muster nicht aus - aber um ehrliche Menschen zu sein suchen wahrscheinlich nach Mustern - sehen Sie sich diese Zahlen an, die alle aus meiner 2FA-App stammen: 365 595, 111 216, 566 272, 468 694, 191 574, 833 043.

Ich hoffe, dass dies in Ihrem Fall nur eine zufällige Chance ist. Wenn es ein Muster gibt, schwächt es den ganzen Punkt, einen zweiten Code zu haben.

Nein, sie sollen nicht absichtlich leicht zu merken sein, und es gibt keinen allgemeinen Geschäftsfall dafür, es sei denn, sie hatten das Feedback, dass ihre Benutzer Probleme beim Eingeben von 6 Zahlen hatten. Dann hätte vielleicht jemand etwas Dummes getan, aber ich hoffe wirklich nicht.

Es hat auch damit zu tun, wie Menschen dazu neigen, über Zufälligkeit zu denken. In wahrer Zufälligkeit treten wiederholte Ziffern und wiederholte Muster viel häufiger auf, als wir erwarten. Wenn Menschen aufgefordert werden, Sequenzen von Ziffern zu erstellen, die zufällig "aussehen", vermeiden sie häufig die Wiederholung von Mustern oder Ziffern (sowie andere Macken wie die übermäßige Verwendung von "7" und die untermäßige Verwendung von "0" und "2"). etc). Wenn Sie jemanden bitten, eine "Zufallszahl" zwischen 1 und 100 zu wählen, enthält diese sehr oft eine 7 und ist häufig 37 (oder 17). Sie können Lotterienummern studieren, die von Menschen manuell ausgewählt werden, da (häufig) Personen versuchen, etwas zufällig aussehendes auszuwählen (aufgrund der falschen Annahme, dass zufällig aussehende Zahlen eher bei einer zufälligen Ziehung gewinnen).

Wenn Ein Mensch versucht, einen zufälligen Münzwurf zu emulieren. Er wechselt viel häufiger zwischen Kopf und Zahl als das letzte Ergebnis, sodass sein nächster Wert mit ziemlich guter Sicherheit vorhergesagt werden kann (> 50% Wahrscheinlichkeit, dass sein nächster Wert erreicht wird) das Gegenteil zu ihrer letzten sein.

Eine wiederholte Ziffer oder zweistellige Folge wäre in einer echten zufälligen 6-stelligen Zahl ziemlich häufig (z. B. ~ 41% einer aufeinanderfolgenden wiederholten Ziffer, ~ 85% von eine wiederholte Ziffer überall) und sehr ungewöhnlich in einer "zufälligen" 6-stelligen Zahl, die Sie von einem Menschen verlangen.