Una chiave resta; il numero cambia periodicamente

Da dove arriva il segreto

Quando attivi un secondo fattore TOTP, il sito mostra un QR otpauth:// oppure una chiave equivalente. Lo stesso segreto è noto al servizio che verificherà i codici e al tuo autenticatore.

Un codice può valere, per esempio, trenta secondi. Il numero nuovo non viene inviato ogni volta dal sito: viene calcolato localmente con la configurazione condivisa.

Il QR è una credenziale permanente fino alla revoca

Una foto del QR non conserva solo le sei cifre di quel momento. Può riprodurre la chiave necessaria per generare anche i codici successivi, motivo per cui non dovrebbe finire in chat o in un album condiviso.

Se pensi che la configurazione sia stata divulgata, entra nel servizio legittimo e reimposta il secondo fattore, usando anche le procedure di recupero previste.

L'orologio e l'identità della voce

Se il computer ha un orario errato o stai guardando la voce di un altro account, il numero può essere rifiutato. Prima di cancellare una chiave, controlla l'impostazione automatica dell'ora e la corretta voce.

TOTP non è sinonimo di OTP ricevuto via SMS né di approvazione push. Le diverse tecniche possono essere tutte usate per l'autenticazione a due fattori.

Perché due dispositivi a volte mostrano lo stesso numero?

Quando dispongono della medesima chiave e di orologi sufficientemente allineati, calcolano lo stesso valore temporaneo.