¿Qué es Time based One Time Passwords (TOTP)?
Time based One Time Passwords (TOTP) es un método que genera códigos breves y con caducidad para confirmar un inicio de sesión. Tu teléfono y el servicio comparten un secreto y la hora actual, por lo que ambos obtienen de forma independiente el mismo código de seis dígitos. Imagínalo como una combinación de casillero que va cambiando mientras la miras, así de simple.
Time based One Time Passwords (TOTP) necesita señal de teléfono para funcionar. Falso. La app crea los códigos en tu dispositivo usando la hora y un secreto compartido, por eso funciona incluso en modo avión.
Cómo funciona Time based One Time Passwords (TOTP)
A continuación el flujo cuando lo activas para el inicio de sesión en un exchange o wallet.
- Inicio: En los ajustes de seguridad eliges la opción para una app autenticadora y escaneas el código QR.
- Secreto: Tu app guarda una semilla compartida, a menudo llamada clave secreta, que enlaza tu dispositivo con el servicio.
- Sincronización: Ambos lados leen el mismo reloj en intervalos cortos y aplican el cálculo estándar para generar un código de seis dígitos.
- Ingreso: Al iniciar sesión introduces el código antes de que el temporizador cambie.
- Verificación: El servicio comprueba el código con el mismo cálculo y te permite entrar si coincide.
Sí, eso es todo.
Por qué importa Time based One Time Passwords (TOTP)
Responde al “y qué” en términos sencillos:
- Beneficio: Evita muchos usurpaciones de cuenta incluso si alguien conoce tu contraseña.
- Perspectiva: Los códigos por SMS pueden ser débiles por intercambios de SIM, por eso TOTP suele ser un paso secundario más seguro. La mayoría de los servicios permiten activar autenticación de dos factores 2FA con una app autenticadora.
- Relevancia: Te encontrarás con esto en exchanges, mercados NFT, paneles DeFi y portales de custodia.
Anota o guarda la semilla de forma segura cuando la configures y mantén el reloj del teléfono en actualización automática. Si pierdes la semilla y hay desajuste de hora, puedes quedarte fuera.
Características clave de Time based One Time Passwords (TOTP)
Rasgos rápidos que vale la pena conocer:
- Caducidad: Los códigos duran alrededor de treinta segundos y luego cambian.
- Offline: Una vez configurada, la app crea códigos sin conexión a internet.
- Compartido: Ambos lados dependen del mismo secreto guardado al configurar.
- Abierto: Basado en un RFC público, por eso muchas apps lo soportan.
¿Cómo se calcula Time based One Time Passwords (TOTP)?
En el fondo, TOTP usa una función unidireccional con la hora como entrada. No necesitas hacerlo a mano, pero aquí está la idea:
TOTP code = Truncate(HMAC SHA 1(secret, counter)) mod 10^digits counter = floor(unix time in seconds divided by step) step = 30 and digits = 6 in most apps Variaciones
Principales opciones que verás:
- HOTP: Código basado en un contador que avanza en cada uso, no ligado a la hora.
- Push: Un aviso en la app que apruebas, parecido a TOTP pero sin escribir código.
- Hardware: Un token físico que muestra códigos en pantalla o un llavero.
- Multi: Apps que guardan muchas cuentas y opciones de respaldo para recuperación.
Time based One Time Passwords (TOTP) no te salva si introduces un código válido en un sitio falso. Mantente alerta frente a riesgos de phishing y siempre revisa la barra de direcciones antes de confirmar.
Ejemplo
Inicias sesión en un exchange de criptomonedas, introduces tu contraseña y luego abres la app autenticadora para escribir un código de seis dígitos Time based One Time Passwords (TOTP) que caduca en treinta segundos.
Dato curioso
TOTP se estándarizó en el RFC 6238 por la comunidad OATH y es la base silenciosa detrás de Google Authenticator y muchas otras apps. Rolex se encuentra con foros, pero para códigos de acceso.
Resumen
Piensa en TOTP como un pequeño candado sincronizado por hora que hace que tu inicio de sesión sea más difícil de robar y fácil de usar.