Wat is Time based One Time Passwords (TOTP)?

Time based One Time Passwords (TOTP) is een methode die korte, vervallende codes genereert om een aanmelding te bevestigen. Je telefoon en de dienst kennen allebei een gedeeld geheim en de huidige tijd, waardoor ze onafhankelijk dezelfde zescijferige code krijgen. Stel je een kluiscombinatie voor die steeds verandert terwijl je kijkt; ja, het is zo eenvoudig.

Mythe

Time based One Time Passwords (TOTP) heeft mobiel signaal nodig om te werken. Nee. De app maakt codes op je apparaat met tijd en een gedeeld geheim, dus het werkt zelfs in vliegtuigstand.

Hoe Time based One Time Passwords (TOTP) werkt

Dit is de volgorde wanneer je het inschakelt voor een aanmelding bij een exchange of wallet.

Begin: In de beveiligingsinstellingen kies je de optie voor een authenticator app en scan je de QR code.
Geheim: Je app slaat een gedeelde seed op, vaak genoemd een geheime sleutel, die je apparaat koppelt aan de dienst.
Synchronisatie: Beide partijen lezen dezelfde klok in korte tijdintervallen en voeren de standaardberekening uit om een zescijferige code te maken.
Invoeren: Bij het inloggen voer je de code in voordat de timer vervalt.
Controleren: De dienst controleert de code met dezelfde berekening en geeft je toegang als het overeenkomt.

Ja, dat is alles.

Waarom Time based One Time Passwords (TOTP) belangrijk is

Antwoord op de "en nu?" in eenvoudige bewoordingen:

Voordeel: Het voorkomt veel overnames van accounts, zelfs als iemand je wachtwoord kent.
Noot: SMS codes kunnen zwak zijn door SIM swaps, dus TOTP is een sterkere tweede stap. De meeste diensten laten je tweefactorauthenticatie 2FA inschakelen met een authenticator app.
Waar je het tegenkomt: Je komt het tegen bij exchanges, NFT marktplaatsen, DeFi dashboards en bewaarportalen.

Tip

Schrijf de seed op of bewaar deze veilig wanneer je het instelt, en zet de klok van je telefoon op automatische update. Verlies je de seed, dan betekent tijdafwijking dat je buitengesloten kunt raken.

Belangrijkste kenmerken van Time based One Time Passwords (TOTP)

Korte kenmerken die het waard zijn om te weten:

Verval: Codes zijn ongeveer dertig seconden geldig, daarna veranderen ze.
Offline: Eenmaal ingesteld maakt je app codes zonder internet.
Gedeeld: Beide partijen zijn afhankelijk van hetzelfde geheim dat bij de installatie wordt opgeslagen.
Open: Gebaseerd op een openbare RFC, daarom ondersteunen veel apps het.

Hoe wordt Time based One Time Passwords (TOTP) berekend?

Onder de motorkap gebruikt TOTP een eenrichtingsfunctie met tijd als invoer. Je hoeft dit niet handmatig te doen, maar hier is het idee:

TOTP code = Truncate(HMAC SHA 1(secret, counter)) mod 10^digits
counter = floor(unix time in seconds divided by step)
step = 30 and digits = 6 in most apps

Varianten

Belangrijkste varianten die je zult zien:

HOTP: Een tellergebaseerde code die bij elk gebruik opschuift, niet aan tijd gebonden.
Push: Een appmelding die je goedkeurt, een verwant van TOTP zonder het typen van een code.
Hardware: Een klein token dat codes op een scherm of sleutelhanger toont.
Multi: Apps die meerdere accounts opslaan en backupopties bieden voor herstel.

Herinnering

Time based One Time Passwords (TOTP) kan je niet redden als je een geldige code invoert op een nep site. Wees alert op phishingrisico's en controleer altijd de adresbalk voordat je bevestigt.

Voorbeeld

Je logt in bij een crypto exchange, voert je wachtwoord in, opent vervolgens je authenticator app en typt een zescijferige Time based One Time Passwords (TOTP) die na dertig seconden verloopt.

Leuk weetje

TOTP werd gestandaardiseerd in RFC 6238 door de OATH community, en het vormt de stille ruggengraat achter Google Authenticator en veel andere apps. Rolex ontmoet Reddit threads, maar dan voor login codes.

Samenvatting

Zie Time based One Time Passwords (TOTP) als een klein, met de tijd gesynchroniseerd slot dat je aanmelding lastiger maakt om te stelen en tegelijk simpel in gebruik is.

Time based One Time Passwords (TOTP)