双按钮法和其他方法实际上是如何工作的？

Question

Google认证器使用HOTP和TOTP算法对TFA进行认证。双推的基本工作原理是什么？是什么把保安吹来的？

Answer 1

对于push，Duo使用HOTP。当可用时，它还支持TOTP。

是什么把保安吹来的？

引用自二重奏网站：

Duo，认证请求在Duo应用程序中获得批准，提供了非常安全和用户友好的移动身份验证体验。双推送是一种基于相互认证的安全传输的带外认证机制，甚至可以抵御最复杂的窃取证书攻击。双推送身份验证请求使用非对称密钥对进行签名，以确保端到端的完整性。事务详细信息将显示给用户以进行验证，任何不一致或意外的身份验证请求都可以通过按钮的点击来标记。虽然在TLS传输上操作以保护机密性，但是双推送事务的完整性并不完全依赖TLS。相反，非对称签名方案在传输通道上提供消息级别的真实性和完整性。因此，即使面对针对TLS的实现级或协议级攻击，双推送仍然是不受损害的，事务审批也不能伪造。在双移动帐户激活期间，生成一个非对称密钥对，该密钥对在响应双推送请求时充当用户的主要标识凭据。私钥被安全地存储在移动设备上，而公钥被维护在Duo的云服务中。

来源：https://duo.com/product/trusted-users/two-factor-authentication/authentication-methods