Aanleiding Matthias Deeg van SySS GmbH heeft een "time traveler" kwetsbaarheid gevonden in een "Protectimus SLIM NFC" hardware TOTP token, zie https://www.syss.de/fileadmin/dokumente/Publikationen/Advisories/SYSS-2021-007.txt. TOTP apps Dat soort aanvallen, waarbij fysieke toegang vereist is en de aanvaller de eerste factor kent, zijn echter ook denkbaar bij TOTP Authenticator apps (zoals van Google en Microsoft, of van derden zoals Authy) - dit voor zover toegang tot zo'n app zelf niet is beveiligd (voor zover ik weet kun je toegang tot de Google Authenticator app niet beveiligen met bijv. een pincode of vingerafdruk). TOTP staat voor Time-based One Time Password. Time traveler attack Zo'n "time traveler attack" werkt als volgt: 1) De aanvaller, die gedurende korte tijd de smartphone (of hardware token) in handen heeft en toegang heeft tot apps op jouw smartphone, zet de klok (en eventueel de datum), in de systeeminstellingen, op een gewenst moment in de toekomst; 2) De aanvaller leest de TOTP-code ...