Kod jednorazowy nie jest całym systemem 2FA

OTP jest pojęciem ogólnym

OTP to hasło jednorazowe. TOTP jest jego odmianą opartą na czasie i wspólnym sekrecie; HOTP wykorzystuje licznik. Kod dostarczony przez SMS może być jednorazowy, ale nie staje się przez to kodem TOTP.

2FA wymaga dwóch różnych składników

Hasło to coś, co użytkownik wie. Urządzenie z dostępem do generatora kodów może stanowić drugi składnik. MFA oznacza uwierzytelnianie wieloskładnikowe, a 2FA jest jego szczególnym przypadkiem.

Drugi składnik też ma ograniczenia

CERT Polska ostrzega, że jednorazowe kody mogą zostać wyłudzone podczas phishingu. Jeśli dany serwis udostępnia inne metody, warto porównać ich odporność na takie ataki i sposób odzyskiwania dostępu.

Przykład z codziennego logowania w Polsce

Załóżmy, że po podaniu hasła sklep albo poczta służbowa prosi o kod z aplikacji. Jeśli konfiguracja udostępniła sekret TOTP, lokalny generator potrafi obliczyć aktualne cyfry. Jeżeli jednak serwis wysłał kod SMS, poprosił o zatwierdzenie w aplikacji lub wymaga sprzętowego klucza bezpieczeństwa, jest to inny sposób uwierzytelnienia. 2FASync nie odbiera SMS-ów ani nie autoryzuje powiadomień push.

Samo użycie dwóch pól w formularzu nie dowodzi, że zastosowano dwa niezależne składniki. W dodatku TOTP, choć przydatny, nie jest odporny na wyłudzanie w czasie rzeczywistym. Fałszywa strona może poprosić o kod, a następnie przekazać go prawdziwemu serwisowi. Jeśli dany usługodawca umożliwia logowanie za pomocą passkeys lub kluczy sprzętowych, zapoznaj się z ich ochroną przed phishingiem oraz procedurami odzyskiwania.

Czy kod SMS może być wygenerowany na podstawie TOTP?

Nie należy tego zakładać. SMS to sposób dostarczenia kodu, podczas gdy TOTP liczy wartość lokalnie z sekretu i czasu; o dostępnych metodach decyduje dany serwis.