ما هي Time based One Time Passwords (TOTP)؟
Time based One Time Passwords (TOTP) هي طريقة تمنحك رموزاً قصيرة منتهية الصلاحية لتأكيد تسجيل الدخول. هاتفك والخدمة يعرفان سرًا مشتركًا والوقت الحالي، لذا يتوصلان بشكل مستقل إلى نفس الرمز المكوَّن من ستة أرقام. تخيّل تركيبة قفل خزانة تتغير أثناء مشاهدتك—نعم، الأمر بسيط إلى هذا الحد.
TOTP يحتاج إشارة الهاتف ليعمل. لا يحتاج. التطبيق يولّد الرموز على جهازك باستخدام الوقت وسر مشترك، لذا يعمل حتى في وضع الطيران.
كيف تعمل Time based One Time Passwords (TOTP)
إليك التدفق عند تشغيله لتسجيل الدخول إلى بورصة أو محفظة.
- ابدأ: في إعدادات الأمان، تختار خيار تطبيق المصادقة ثم تقرأ رمز الاستجابة السريع (QR).
- السر: يخزن تطبيقك بذرة مشتركة، غالبًا ما تسمى open key، التي تربط جهازك بالخدمة.
- المزامنة: تطلاعات كلا الطرفين على نفس الوقت في شرائح زمنية قصيرة وتقوم بالرياضيات القياسية لإنتاج رمز مكوَّن من ستة أرقام.
- أدخل: عند تسجيل الدخول، تكتب الرمز قبل أن ينتهي المؤقت.
- التحقق: تتحقق الخدمة من الرمز بنفس الحساب وتسمح لك بالدخول إذا تطابق.
نعم، هذا كل شيء.
لماذا يعتبر Time based One Time Passwords (TOTP) مهمًا
أجب عن سؤال “فما الفائدة؟” بلغة بسيطة:
- الفائدة: يمنع الكثير من انتحال الحسابات حتى لو كان شخص ما يعرف كلمة مرورك.
- وجهة نظر: يمكن أن تكون رموز SMS ضعيفة بسبب تبادل SIM، لذا TOTP خطوة ثانية أقوى. تسمح معظم الخدمات بتمكين المصادقة الثنائية 2FA باستخدام تطبيق المصادقة.
- الأهمية: ستصادفها في البورصات وأسواق NFT ولوحات DeFi وبوابات الحفظ.
دوّن seed أو قم بتخزينه بشكل آمن عند الإعداد، وتأكد من أن ساعة هاتفك مفعلة بالتحديث التلقائي. فُقدان seed يعني أن انزياح الوقت قد يؤدي إلى قفل الدخول.
السمات الأساسية لـ Time based One Time Passwords (TOTP)
سمات سريعة تستحق المعرفة:
- انتهاء الصلاحية: الرموز تدوم نحو ثلاثين ثانية ثم تتغير.
- وضع غير متصل: بمجرد إعدادها، تطبيقك ينشئ الرموز بدون اتصال بالإنترنت.
- مشترك: يعتمد الطرفان على السر نفسه المخزّن عند الإعداد.
- مفتوح: استنادًا إلى RFC عام، وهذا هو السبب في أن العديد من التطبيقات تدعمه.
كيف يتم حساب Time based One Time Passwords (TOTP)؟
تحت الغطاء، يستخدم TOTP دالة أحادية الاتجاه مع الوقت كدخل. لست بحاجة للقيام بذلك يدوياً، لكن هذه هي الفكرة:
TOTP code = Truncate(HMAC SHA 1(secret, counter)) mod 10^digits counter = floor(unix time in seconds divided by step) step = 30 and digits = 6 in most apps الت variations
الأنواع الرئيسية التي ستراها:
- HOTP: رمز يعتمد على العداد ويتقدم مع كل استخدام، وغير مرتبط بالوقت.
- Push: يطلب التطبيق موافقتك، وهو cousin لـ TOTP دون كتابة رمز.
- Hardware: رمز صغير يعرض الرموز على شاشة أو جهاز دبوس.
- Multi: تطبيقات تخزن العديد من الحسابات وخيارات النسخ الاحتياطي للاسترداد.
لا يمكن لـ TOTP أن يحفظك إذا كتبت رمزاً صالحاً على موقع زائف. كن يقظاً تجاه مخاطر التصيّد phishing risks وتحقق دائماً من شريط العنوان قبل تأكيدك.
مثال
تسجيل الدخول إلى بورصة عملات مشفرة، تدخل كلمة السر، ثم تفتح تطبيق المصادقة لديك لكتابة Time based One Time Passwords (TOTP) ستة أرقام ينتهي صلاحيتها خلال ثلاثين ثانية.
معلومة ممتعة
تم توحيد TOTP في RFC 6238 من قبل مجتمع OATH، وهي الخلفية الخفية وراء Google Authenticator وكثير من التطبيقات الأخرى. روكسل تلتقي بسلاسل Reddit، لكنها لرموز الدخول.
التلخيص
اعتبر TOTP قفلاً صغيراً متزامن الوقت يجعل تسجيل الدخول أكثر صعوبة في السرقة وأسهل في الاستخدام.