Четыре сокращения про разные вещи

OTP — общий термин, TOTP — частный случай

OTP — пароль для однократного использования. TOTP рассчитывается по секрету и времени, тогда как HOTP использует счётчик. Полученный по SMS временный пароль может быть одноразовым, но не обязательно соответствует алгоритму TOTP.

Два фактора не означают два пароля

2FA предполагает разные категории подтверждения, например знание пароля и владение устройством. MFA означает многофакторную аутентификацию в более широком смысле. Добавление ещё одного поля ввода не гарантирует появление независимого фактора.

Выбирайте способ с учётом фишинга

Обычные TOTP-коды можно выманить на похожем на настоящий сайте. Если сервис предоставляет альтернативные методы подтверждения, оцените их устойчивость к такому перехвату, а также собственные способы восстановления доступа.

Как понять требования сайта, а не аббревиатуру в рекламе

После пароля сайт может потребовать код из приложения, сообщение на телефон, подтверждение push или аппаратный ключ. Все эти экраны служат дополнительной проверке, но работают по разным правилам. Лишь там, где изначально предоставлен TOTP-секрет, локальный генератор может рассчитывать совпадающие коды. HOTP основан на счётчике, а одноразовая цифра из SMS не превращается в TOTP от простого копирования.

Различие важно и для защиты от мошенников. Ввод действующего TOTP на фальшивом сайте может позволить злоумышленнику сразу повторить его на настоящем. Поэтому проверяйте домен и инициировали ли вы вход сами. Если нужный сервис предлагает passkeys или аппаратные ключи с защитой от фишинга, изучите эти варианты и их методы восстановления; решение зависит от провайдера аккаунта.

Можно ли рассчитать SMS-код обычным TOTP-генератором?

Нет, если сервис не выдал TOTP-секрет для такого способа. SMS и временный код по общему секрету могут быть разными механизмами второго шага.