TOTP, zamana bağlı tek kullanımlık paroladır

Kısa süre sonra sayı değişir

Sık karşılaşılan ayarda altı haneli kod her 30 saniyede bir yenilenir. Ancak süre ve hane sayısı hizmetin TOTP profiline göre farklı olabilir. Sayaç sona yaklaşırken yeni kodu beklemek giriş hatasını azaltabilir.

Asıl korunması gereken kurulum anahtarıdır

Ekranda görünen geçici sayı ile kalıcı gizli anahtar farklıdır. Anahtarı veya onu taşıyan otpauth:// QR kodunu ele geçiren kişi gelecekteki kodları da hesaplayabilir. Bu yüzden kurulum görüntüsünü başkalarıyla paylaşmayın.

TOTP her saldırıyı engellemez

İkinci bir doğrulama adımı, çalınan parolanın tek başına kullanılmasını zorlaştırır. Sahte bir giriş ekranı ise o anda geçerli olan TOTP kodunu gerçek hizmete iletebilir. Şüpheli bağlantılarda kod girmeyin.

Aynı gizli anahtar iki ayrı yerde nasıl işe yarar?

TOTP kurulurken hizmet ve doğrulayıcı aynı sırrı paylaşır. Doğrulayıcı zaman aralığını hesaplamaya katar; hizmet de kullanıcının yazdığı değeri kendi tarafında yeniden hesaplayarak kontrol eder. Yaygın altı haneli ve 30 saniyelik kullanım sadece bir örnektir. Desteklenen kurulum adresi farklı hane sayısı, SHA algoritması veya süre bildirebilir; yanlış profil doğru anahtarla bile hatalı kod üretilmesine yol açar.

Kurulumdaki QR kodu, o anda görülen geçici sayıdan daha hassastır. Bir QR görüntüsünü yanlışlıkla paylaşan kişi yalnızca kısa bir anı değil, gelecekteki hesaplamaların dayandığı sırrı da açığa çıkarabilir. Her hizmetin kendi acil giriş kodlarını saklayın; birkaç saniyelik TOTP değerini kâğıda not etmek cihaz kaybında hesabı kurtarmaz.

Kod oluşturmak için sürekli internet gerekiyor mu?

TOTP hesabı tarayıcıda yerel olarak yapılabilir. Fakat giriş yaptığınız hizmet kodu doğrulamak için kendi oturum akışını kullanır.