Qu'est-ce que Time based One Time Passwords (TOTP) ?

Time based One Time Passwords (TOTP) est une méthode qui fournit des codes courts et temporaires pour confirmer une connexion. Votre téléphone et le service connaissent un secret partagé et l'heure actuelle, ils obtiennent donc indépendamment le même code à six chiffres. Imaginez une combinaison de casier qui change sous vos yeux, oui, c'est aussi simple.

Mythe

On dit que TOTP a besoin d'un signal téléphonique pour fonctionner. Non. L'application crée les codes sur votre appareil en se basant sur l'heure et un secret partagé, donc elle fonctionne même en mode avion.

Comment fonctionne Time based One Time Passwords (TOTP)

Voici le déroulement lorsque vous l'activez pour une connexion à une plateforme d'échange ou à un portefeuille.

Début : Dans les paramètres de sécurité, vous choisissez l'option pour une application d'authentification et scannez le code QR.
Secret : Votre application stocke une graine partagée, souvent appelée clé secrète, qui associe votre appareil au service.
Synchronisation : Les deux parties lisent la même horloge en courtes tranches et exécutent le calcul standard pour produire un code à six chiffres.
Saisie : Lors de la connexion vous tapez le code avant que le minuteur ne bascule.
Vérification : Le service vérifie le code avec le même calcul et vous laisse entrer s'il correspond.

Voilà, c'est tout.

Pourquoi Time based One Time Passwords (TOTP) est important

Répondez simplement au « et alors ? » :

Avantage : Il empêche de nombreuses prises de contrôle de comptes même si quelqu'un connaît votre mot de passe.
Perspective : Les codes SMS peuvent être faibles en raison des transferts de carte SIM, donc TOTP offre une seconde couche plus robuste. La plupart des services vous permettent d'activer authentification à deux facteurs 2FA avec une application d'authentification.
Pertinence : Vous le rencontrerez sur les plateformes d'échange, les marchés NFT, les tableaux de bord DeFi et les portails de conservation.

Astuce

Notez ou stockez le secret d'initialisation en lieu sûr lors de la configuration, et laissez l'horloge de votre téléphone se mettre à jour automatiquement. Si vous perdez la graine et que l'heure dérive, vous risquez d'être bloqué.

Caractéristiques principales de Time based One Time Passwords (TOTP)

Points rapides à connaître :

Expiration : Les codes durent environ trente secondes, puis changent.
Hors ligne : Une fois configurée, votre application génère des codes sans connexion Internet.
Partagé : Les deux parties dépendent du même secret enregistré lors de la configuration.
Ouvert : Basé sur une RFC publique, ce qui explique pourquoi de nombreuses applications le prennent en charge.

Comment Time based One Time Passwords (TOTP) est calculé ?

Sous le capot, TOTP utilise une fonction à sens unique prenant le temps comme entrée. Vous n'avez pas besoin de le faire à la main, mais voici l'idée :

TOTP code = Truncate(HMAC SHA 1(secret, counter)) mod 10^digits
counter = floor(unix time in seconds divided by step)
step = 30 and digits = 6 in most apps

Variantes

Principales variantes que vous rencontrerez :

HOTP : Un code basé sur un compteur qui avance à chaque utilisation, non lié au temps.
Push : Une notification dans l'application que vous approuvez, cousine du TOTP sans saisie de code.
Hardware : Un petit dispositif qui affiche des codes sur un écran ou un porte-clés.
Multi : Applications qui stockent plusieurs comptes et options de sauvegarde pour la récupération.

Rappel

TOTP ne peut pas vous protéger si vous saisissez un code valide sur un faux site. Soyez vigilant face aux risques de phishing et vérifiez toujours la barre d'adresse avant de confirmer.

Exemple

Vous vous connectez à une plateforme crypto, saisissez votre mot de passe, puis ouvrez votre application d'authentification pour taper un code Time based One Time Passwords (TOTP) à six chiffres qui expire au bout de trente secondes.

Fait amusant

TOTP a été normalisé dans la RFC 6238 par la communauté OATH, et il est l'ossature discrète derrière Google Authenticator et nombre d'autres applications. Rolex rencontre les fils Reddit, mais pour les codes de connexion.

Conclusion

Considérez TOTP comme une petite serrure synchronisée sur l'heure qui rend votre connexion plus difficile à voler et simple à utiliser.

Time based One Time Passwords (TOTP)