Не кожен одноразовий код означає те саме

TOTP належить до одноразових паролів

OTP — загальна назва одноразового пароля. TOTP залежить від часу та спільного секрету, а HOTP — від лічильника подій. Код, отриманий SMS, може бути одноразовим, але це не робить його TOTP.

Два чинники — це різні докази особи

Наприклад, знання пароля та контроль над пристроєм з автентифікатором. Двофакторна автентифікація є випадком ширшого поняття багатофакторної автентифікації; два поля для введення не завжди означають два незалежні чинники.

Порівнюйте стійкість до фішингу

Зловмисник може попросити TOTP-код на підробленій сторінці та негайно використати його. Якщо онлайн-сервіс підтримує інші механізми, перевіряйте їхню стійкість до таких атак і процедури повернення доступу.

Як розпізнати спосіб перевірки на практиці

На одному сайті після пароля може з’явитися поле для коду з автентифікатора, на іншому — запит SMS або повідомлення в мобільному застосунку. Це різні реалізації додаткової перевірки. 2FASync обчислює підтримувані часові коди з дійсних TOTP-секретів, але не отримує банківських SMS і не натискає підтвердження в чужому застосунку. HOTP також належить до іншої схеми з лічильником.

Варто пам’ятати, що дві послідовні форми не завжди означають два незалежні фактори. Навіть TOTP можна виманити на фішинговій сторінці й негайно використати на справжньому сайті. Для важливих облікових записів перевіряйте адресу сервісу та, якщо доступно, розглядайте ключі безпеки або passkeys із захистом від фішингу. Спосіб відновлення визначається відповідним провайдером.

Чи можна отримати SMS-код через TOTP?

Ні, якщо відповідний сервіс не налаштував спільний секрет TOTP. Код у повідомленні та часовий одноразовий пароль можуть належати до різних методів.