TOTP to kod zależny od czasu

Dlaczego cyfry ciągle się zmieniają

W wielu usługach kod ma sześć cyfr i odświeża się co 30 sekund. To typowy profil, nie sztywna reguła całego standardu. Po upływie okna czasowego poprzedni kod może przestać działać.

Klucz konfiguracyjny wymaga ochrony

Krótki kod jest widoczny podczas logowania, lecz sekret zapisany przy konfiguracji pozwala odtwarzać także przyszłe kody. Dlatego QR do konfiguracji i adres otpauth:// należy chronić przed udostępnieniem tak samo ostrożnie jak dane dostępowe.

TOTP to jeden z możliwych sposobów 2FA

Dodatkowy kod utrudnia przejęcie konta tylko na podstawie hasła. Nie eliminuje jednak ryzyka wyłudzenia kodu na fałszywej stronie, która przekaże go od razu do właściwej usługi.

Co tak naprawdę jest wspólne dla aplikacji i strony?

Przy włączaniu TOTP dostawca konta przekazuje klucz konfiguracyjny. Uwierzytelniacz zapisuje go wraz z takimi ustawieniami jak liczba cyfr, algorytm oraz okres zmiany kodu. Kiedy użytkownik wpisuje sześciocyfrowy wynik, witryna odtwarza obliczenie z własnego egzemplarza tego samego klucza. Sam generator nie musi wysyłać klucza do 2FASync ani mieć połączenia z witryną podczas każdego odliczania.

Stąd właśnie biorą się dwie częste sytuacje: kod kończący swój okres może zostać odrzucony, a kod z innego konta nie zadziała mimo poprawnego wyglądu. Zapisanie aktualnych sześciu cyfr w notatniku nie pozwoli odzyskać generatora. Zaplanuj osobno bezpieczne przechowywanie materiału odzyskiwania i kodów awaryjnych wydanych przez serwis.

Czy kody TOTP trzeba odbierać przez SMS?

Nie. Uwierzytelniacz oblicza je lokalnie z klucza i zegara. SMS to inny sposób dostarczania kodów jednorazowych.