2FASync
TOTP er en kode, der skifter med tiden
Et tidsbaseret engangskodeord dannes ud fra en længerevarende hemmelighed og uret på din enhed.
Tjenesten og appen bruger samme hemmelighed
Ved opsætning deler kontotjenesten en nøgle med authenticator-appen, ofte gennem en QR-kode. Begge parter kan derefter beregne et tal for det aktuelle tidsrum. Mange bruger seks cifre og intervaller på 30 sekunder, men opsætningen kan have andre understøttede værdier. Der kræves ikke en ny SMS for hver beregning.
Tidspunktet skal passe nogenlunde
Når perioden slutter, viser appen en ny kode. Den oprindelige tjeneste har sit eget ur og afgør, om den accepterer koden. Et forkert indstillet ur, en udløbet periode eller den forkerte kontopost kan give et afslag, selvom tallet ser plausibelt ud.
Den ekstra kode stopper ikke alle angreb
TOTP kan gøre en stjålen adgangskode mindre brugbar, men en falsk hjemmeside kan lokke dig til at angive den aktuelle engangskode. Opsætningsnøglen er endnu mere følsom, fordi den kan skabe fremtidige tal. Del derfor hverken QR, nøgle eller gendannelseskoder med nogen, der udgiver sig for at være support.