Ce sunt parolele unice bazate pe timp (TOTP)?
Parolele unice bazate pe timp (TOTP) sunt o metodă care îți oferă coduri scurte, cu valabilitate limitată, pentru a confirma o autentificare. Telefonul tău și serviciul cunosc ambele un secret partajat și ora curentă, așa că generează independent același cod din șase cifre. Imaginează-ți o combinație de seif care se schimbă continuu chiar sub ochii tăi. Da, e atât de simplu.
TOTP are nevoie de semnal la telefon ca să funcționeze. Fals. Aplicația generează codurile pe dispozitivul tău folosind ora și un secret partajat, așa că funcționează chiar și în modul avion.
Cum funcționează parolele unice bazate pe timp (TOTP)
Iată cum decurge procesul când activezi funcția pentru autentificarea la un exchange sau într-un wallet.
- Început: În setările de securitate, alegi opțiunea pentru o aplicație de autentificare și scanezi codul QR.
- Secret: Aplicația ta stochează o cheie inițială partajată, numită adesea cheie secretă, care asociază dispozitivul tău cu serviciul.
- Sincronizare: Ambele părți consultă același ceas în intervale scurte și aplică formula standard pentru a genera un cod din șase cifre.
- Introducere: La autentificare, tastezi codul înainte să expire cronometrul.
- Verificare: Serviciul verifică codul folosind aceeași formulă și îți permite accesul dacă acesta corespunde.
Da, asta e tot.
De ce sunt importante parolele unice bazate pe timp (TOTP)
Răspunsul la întrebarea „și ce dacă?” pe înțelesul tuturor:
- Beneficiu: Împiedică preluarea multor conturi chiar dacă cineva îți cunoaște parola.
- Perspectivă: Codurile SMS pot fi vulnerabile din cauza schimbării cartelei SIM, așa că TOTP oferă un al doilea pas mai sigur. Majoritatea serviciilor îți permit să activezi autentificarea cu doi factori 2FA printr-o aplicație de autentificare.
- Relevanță: Vei întâlni această metodă pe exchange-uri, piețe NFT, tablouri de bord DeFi și portaluri de custodie.
Notează cheia inițială sau păstreaz-o în siguranță când configurezi aplicația și activează actualizarea automată a ceasului telefonului. Dacă pierzi cheia sau ceasul nu este sincronizat, riști să rămâi blocat în afara contului.
Caracteristici-cheie ale parolelor unice bazate pe timp (TOTP)
Câteva caracteristici utile de reținut:
- Expirare: Codurile sunt valabile aproximativ treizeci de secunde, apoi se schimbă.
- Offline: După configurare, aplicația ta generează coduri fără internet.
- Partajare: Ambele părți folosesc același secret, stocat în timpul configurării.
- Deschis: Se bazează pe un RFC public, motiv pentru care este compatibil cu multe aplicații.
Cum se calculează parolele unice bazate pe timp (TOTP)?
În fundal, TOTP folosește o funcție unidirecțională care ia timpul drept intrare. Nu trebuie să faci calculul manual, dar iată principiul:
cod TOTP = Truncate(HMAC SHA 1(secret, counter)) mod 10^digits counter = floor(timp Unix în secunde împărțit la interval) interval = 30 și digits = 6 în majoritatea aplicațiilor Variante
Principalele variante pe care le vei întâlni:
- HOTP: Un cod bazat pe un contor, care avansează la fiecare utilizare și nu depinde de timp.
- Notificare push: O solicitare în aplicație pe care o aprobi; este similară cu TOTP, dar nu trebuie să introduci niciun cod.
- Hardware: Un token mic care afișează coduri pe un ecran sau pe un breloc.
- Multiple: Aplicații care stochează mai multe conturi și opțiuni de backup pentru recuperare.
TOTP nu te poate proteja dacă introduci un cod valid pe un site fals. Fii atent la riscurile de phishing și verifică întotdeauna bara de adrese înainte de a confirma.
Exemplu
Te autentifici într-un exchange de criptomonede, introduci parola, apoi deschizi aplicația de autentificare și tastezi o parolă unică bazată pe timp (TOTP) din șase cifre, care expiră în treizeci de secunde.
Curiozitate
TOTP a fost standardizat în RFC 6238 de comunitatea OATH și este elementul discret pe care se bazează Google Authenticator și multe alte aplicații. Rolex se întâlnește cu discuțiile de pe Reddit, dar în materie de coduri de autentificare.
Încheiere
Gândește-te la TOTP ca la o mică încuietoare sincronizată cu timpul, care face autentificarea mai greu de compromis și ușor de folosit.