2FASync
سیٹ اپ سے پہلے دیکھیں کہ اکاؤنٹ واقعی TOTP استعمال کرتا ہے
ہر OTP کے ساتھ کوئی قابلِ درج سیٹ اپ کلید نہیں ہوتی۔ 2FASync کا مقصود وہ TOTP اکاؤنٹس ہیں جو کلید یا مناسب otpauth پروفائل دیتے ہیں، نہ کہ SMS کوڈ وصول کرنے کی سہولت۔
کلید یا لنک کس شکل میں درج ہو سکتا ہے؟
ایک درست Base32 راز یا otpauth://totp/ سے شروع ہونے والا مناسب لنک استعمال کیا جا سکتا ہے۔ اگر اصل سروس نے QR دیا ہو تو مقامی اسکین بھی ممکن ہے۔ کچھ لنکس میں issuer اور اکاؤنٹ کی شناخت شامل ہوتی ہے۔
لنک یا QR کو صرف ترتیب دینے کا «آسان راستہ» سمجھ کر آگے نہ بھیجیں؛ اس میں اصل خفیہ کلید موجود ہو سکتی ہے جس سے مستقبل کے تصدیقی کوڈ بنیں گے۔
خوارزم اور ہندسوں کی درست مطابقت
صرف Base32 کلید درج کرنے پر ڈیفالٹ پروفائل SHA-1، چھ ہندسے اور 30 سیکنڈ ہے۔ درست otpauth://totp/ لنک میں SHA-1، SHA-256 یا SHA-512 اور چھ یا آٹھ ہندسے ہو سکتے ہیں؛ period کی قابلِ قبول حد 1 سے 86400 سیکنڈ ہے، اگرچہ ہر اصل سروس ان سب قدروں کو قبول نہیں کرتی۔
اگر اصل سروس نے مختلف تعداد یا الگورتھم مقرر کیا ہے تو اسے اپنی طرف سے تبدیل نہ کریں؛ صرف دکھائی دینے والی چھ ہندسی صورت کو دیکھ کر درست پروفائل کا فیصلہ نہیں ہوتا۔
HOTP اور دیگر OTP الگ رہیں گے
HOTP وقت کے بجائے بڑھتے ہوئے کاؤنٹر کی بنیاد پر بنتا ہے۔ 2FASync اس قسم کو پہچان کر آپ کو آگاہ کر سکتا ہے، لیکن اسے والٹ میں درآمد نہیں کرتا اور TOTP میں تبدیل نہیں کرتا۔
کسی بینک یا پلیٹ فارم کا SMS OTP، push approval، پاس کی یا ہارڈویئر کی الگ تصدیقی طریقہ ہو سکتا ہے۔ اسے Base32 سیٹ اپ کلید کی جگہ پیسٹ کرنے سے درست TOTP پیدا نہیں ہوگا۔