Το TOTP σημαίνει «χρονικά καθορισμένος κωδικός μίας χρήσης» (time-based one-time password). Πρόκειται για την τεχνολογία που βρίσκεται πίσω από πολλούς εξαψήφιους κωδικούς που εμφανίζονται στις εφαρμογές επαλήθευσης ταυτότητας. Ένας κωδικός TOTP υπολογίζεται με βάση ένα ιδιωτικό κλειδί ρύθμισης και την τρέχουσα ώρα, και στη συνέχεια λήγει μετά από ένα σύντομο χρονικό διάστημα.
Το TOTP χρησιμοποιείται συνήθως ως το δεύτερο βήμα στην επαλήθευση δύο παραγόντων. Μπορεί να λειτουργήσει χωρίς σήμα κινητής τηλεφωνίας, καθώς η εφαρμογή επαλήθευσης υπολογίζει τον κωδικό τοπικά, αντί να περιμένει την λήψη ενός μηνύματος.
Ποιες πληροφορίες δημιουργούν έναν κωδικό TOTP;
Δύο στοιχεία είναι σημαντικά: ένα κοινό μυστικό και ένας χρονικός μετρητής. Ο πάροχος του λογαριασμού δημιουργεί ένα μυστικό κατά τη ρύθμιση και το παρέχει στην εφαρμογή επαλήθευσης ταυτότητας μέσω ενός κωδικού QR ή ενός χειροκίνητου κλειδιού. Στη συνέχεια, και οι δύο πλευρές χωρίζουν το χρόνο σε ίσα χρονικά διαστήματα και εκτελούν τον ίδιο κρυπτογραφικό υπολογισμό.
Εάν το μυστικό, ο αλγόριθμος και το χρονικό παράθυρο ταιριάζουν, και οι δύο πλευρές παράγουν τον ίδιο σύντομο κωδικό. Το ίδιο το μυστικό δεν χρειάζεται να μεταδίδεται κατά τη διάρκεια κάθε σύνδεσης.
Πώς λειτουργεί το TOTP;
- Ο πάροχος δημιουργεί ένα μοναδικό μυστικό κλειδί για την εγγραφή της συσκευής επαλήθευσης ταυτότητας.
- Σαρώνετε τον κωδικό QR ρύθμισης ή εισάγετε το μυστικό χειροκίνητα σε μια αξιόπιστη συσκευή.
- Η συσκευή επαλήθευσης συνδυάζει το μυστικό με το τρέχον χρονικό παράθυρο.
- Το αποτέλεσμα μετατρέπεται σε έναν σύντομο αριθμητικό κωδικό, συνήθως έξι ψηφίων.
- Ο πάροχος υπολογίζει τον αναμενόμενο κωδικό του και τον συγκρίνει με την εισαγωγή σας.
Το πρότυπο RFC 6238 ορίζει το TOTP ως μια χρονικά βασισμένη παραλλαγή του HOTP. Μια συνήθης ρύθμιση χρησιμοποιεί διάστημα 30 δευτερολέπτων, έξι ψηφία και HMAC-SHA-1, αν και υπάρχουν και άλλοι υποστηριζόμενοι αλγόριθμοι και ρυθμίσεις.
Γιατί λήγουν οι κωδικοί TOTP;
Μια σύντομη περίοδος ισχύος περιορίζει το χρονικό διάστημα κατά το οποίο ένας αντιγραμμένος κωδικός μπορεί να επαναχρησιμοποιηθεί. Μόλις αλλάξει το χρονικό παράθυρο, η συσκευή πιστοποίησης παράγει μια άλλη τιμή. Οι υπηρεσίες ενδέχεται να επιτρέπουν ένα ελαφρώς ευρύτερο χρονικό παράθυρο για να ληφθούν υπόψη οι καθυστερήσεις του δικτύου και οι μικρές διαφορές ώρας, αλλά η ευρύτερη ανοχή αυξάνει επίσης το παράθυρο αποδοχής.
Εισάγετε έναν νέο κωδικό κοντά στην αρχή της αντίστροφης μέτρησής του. Εάν οι κωδικοί απορρίπτονται συνεχώς, ακολουθήστε τον οδηγό μας για την επίλυση προβλημάτων με έναν κωδικό 2FA που δεν λειτουργεί.
TOTP έναντι HOTP
Τα συστήματα TOTP και HOTP χρησιμοποιούν παρόμοιους υπολογισμούς, αλλά εξελίσσονται διαφορετικά:
- Το TOTP αλλάζει σύμφωνα με ένα χρονικό βήμα, οπότε τα ρολόγια των συσκευών επαλήθευσης πρέπει να είναι συγχρονισμένα.
- Το HOTP αλλάζει όταν προχωρά ένας μετρητής, όπως μετά από το πάτημα ενός κουμπιού ή την επιτυχή χρήση.
Το TOTP είναι συνηθισμένο σε εφαρμογές λογισμικού επαλήθευσης ταυτότητας, επειδή ο χρόνος παρέχει έναν αυτόματο μεταβαλλόμενο παράγοντα. Το HOTP εξακολουθεί να χρησιμοποιείται από ορισμένα token υλικού και εξειδικευμένα συστήματα.
TOTP έναντι κωδικών SMS
Μια εφαρμογή TOTP υπολογίζει τους κωδικούς στη συσκευή και συνήθως λειτουργεί εκτός σύνδεσης. Τα SMS βασίζονται στο τηλεφωνικό δίκτυο για την αποστολή ενός κωδικού. Τα SMS είναι βολικά, αλλά μπορεί να επηρεαστούν από ανταλλαγές κάρτας SIM, επανατοποθέτηση αριθμών, υποκλοπή και αποτυχίες παράδοσης.
Ούτε το συνηθισμένο TOTP ούτε το SMS είναι πλήρως ανθεκτικά στο phishing: μια πειστική πλαστή σελίδα σύνδεσης μπορεί να καταγράψει και να μεταδώσει έναν τρέχοντα κωδικό. Για σημαντικούς λογαριασμούς, ένα passkey ή ένα κλειδί ασφαλείας FIDO είναι γενικά πιο ισχυρό, όπου υποστηρίζεται. Δείτε τη λεπτομερή σύγκριση μας μεταξύ εφαρμογών επαλήθευσης ταυτότητας και SMS.
Τι είναι το μυστικό TOTP;
Το μυστικό είναι το διαρκές διαπιστευτήριο πίσω από όλους τους μελλοντικούς κωδικούς για τη συγκεκριμένη εγγραφή. Όποιος το διαθέτει μπορεί να ρυθμίσει μια άλλη εφαρμογή επαλήθευσης ταυτότητας και να δημιουργήσει αντίστοιχες τιμές. Ένα στιγμιότυπο οθόνης του κωδικού QR ρύθμισης είναι ευαίσθητο, καθώς συνήθως περιέχει αυτό το μυστικό.
Ο οδηγός μας εξηγεί πού μπορείτε να βρείτε το κλειδί χειροκίνητης ρύθμισης 2FA και πώς να το διακρίνετε από έναν κωδικό πρόσβασης ή έναν κωδικό ανάκτησης.
Μπορεί το TOTP να λειτουργήσει εκτός σύνδεσης;
Ναι. Μόλις ρυθμιστεί, μια εφαρμογή επαλήθευσης ταυτότητας χρειάζεται το μυστικό και ένα ακριβές ρολόι, όχι ενεργή σύνδεση στο διαδίκτυο. Η υπηρεσία που επαληθεύει τη σύνδεση εξακολουθεί να χρειάζεται πρόσβαση στις αποθηκευμένες πληροφορίες εγγραφής της.
Πώς να χρησιμοποιήσετε με ασφάλεια μια γεννήτρια TOTP
- Χρησιμοποιείτε μόνο κωδικούς πρόσβασης που ανήκουν σε λογαριασμούς τους οποίους έχετε εξουσιοδότηση να διαχειρίζεστε.
- Επαληθεύστε τη διεύθυνση του ιστότοπου και τη συσκευή πριν εισαγάγετε ένα μυστικό κλειδί.
- Μην στέλνετε ποτέ μυστικό κωδικό ή QR κωδικό ρύθμισης μέσω chat ή φορμών υποστήριξης.
- Φυλάξτε τους κωδικούς ανάκτησης ξεχωριστά από τη συσκευή επαλήθευσης που χρησιμοποιείτε καθημερινά.
- Επαναδημιουργήστε την εγγραφή εάν υπάρχει πιθανότητα να έχει εκτεθεί ο κωδικός.
Για εξουσιοδοτημένες δοκιμές, ο γεννήτριας TOTP του Get2FA.dev υπολογίζει τυπικούς κωδικούς στον περιηγητή σας. Για καθημερινή χρήση σε σημαντικούς λογαριασμούς, προτιμήστε μια αξιόπιστη εφαρμογή επαλήθευσης ταυτότητας ή μια μέθοδο που υποστηρίζεται από υλικό.
Συχνές ερωτήσεις
Πόσο διαρκεί ένας κωδικός TOTP;
Τα τριάντα δευτερόλεπτα είναι η συνήθης προεπιλογή, αλλά ο πάροχος μπορεί να ρυθμίσει διαφορετική διάρκεια. Η αντίστροφη μέτρηση ανήκει σε ένα χρονικό παράθυρο· δεν ξεκινά εκ νέου όταν προβάλλετε ή αντιγράφετε τον κωδικό.
Γιατί οι κωδικοί TOTP έχουν συνήθως έξι ψηφία;
Τα έξι ψηφία εξισορροπούν τη χρηστικότητα με τον περιορισμένο αριθμό πιθανών τιμών. Τα όρια συχνότητας και τα σύντομα χρονικά παράθυρα ισχύος είναι σημαντικά, καθώς ο χώρος των κωδικών από μόνος του δεν είναι μεγάλος.
Μπορούν δύο συσκευές να εμφανίζουν τον ίδιο κωδικό TOTP;
Ναι, αν και οι δύο διαθέτουν το ίδιο μυστικό, χρησιμοποιούν τις ίδιες ρυθμίσεις και έχουν συγχρονισμένα ρολόγια. Το αν η διπλή εγγραφή είναι κατάλληλη εξαρτάται από την πολιτική ασφαλείας σας.
Το TOTP είναι το ίδιο με το 2FA;
Όχι. Το TOTP είναι μία από τις πιθανές μεθόδους ελέγχου ταυτότητας. Διαβάστε τι σημαίνει 2FA και πώς λειτουργούν οι άλλες μέθοδοι.