Čo sú Time based One Time Passwords (TOTP)?

Time based One Time Passwords (TOTP) je metóda, ktorá vám dáva krátke, vypršajúce kódy na potvrdenie prihlásenia. Vaše meno a služba poznajú zdieľané tajomstvo a súčasný čas, takže dospejú na rovnaký šesťciferný kód nezávisle od seba. Predstavte si zámku, ktorého kombinačné čísla sa menia počas sledovania, áno, je to tak jednoduché.

Mýtus

TOTP potrebuje signal z telefónu, aby fungoval. Nie. Aplikácia vytvára kódy na vašom zariadení pomocou času a zdieľaného tajomstva, takže funguje aj v režime lietadlo.

Ako Time based One Time Passwords (TOTP) fungujú

Tu je postup, keď to zapnete pre prihlásenie do výmeny alebo peňaženky.

Start: V bezpečnostných nastaveniach vyberiete možnosť pre authenticator app a nasnímate QR kód.
Tajomstvo: Vaša aplikácia uloží zdieľané seed, často nazývaný secret key, ktorý spája vaše zariadenie so službou.
Sync: Obe strany čítajú rovnaké hodiny v krátkych časových intervaloch a vykonávajú štandardnú matematiku na vytvorenie šesťcifrového kódu.
Enter: Pri prihlásení zadáte kód skôr, ako sa časovač prekročí.
Verify: Služba overí kód rovnakou matematikou a vpustí vás, ak sa zhoduje.

Áno, to je všetko.

Prečo Time based One Time Passwords (TOTP) má význam

Odpovedzte na otázku „na čo je to dobré“ v jasných termínoch:

Prínos: Zastaví veľa neoprávnených prístupov k účtom aj v prípade, že niekto pozná vaše heslo.
Perspektíva: SMS kódy môžu byť slabé kvôli SIM swapom, takže TOTP predstavuje silnejší druhý krok. Väčšina služieb vám umožní povoliť dvojfactorovú autentifikáciu 2FA s authenticator app.
Relevantnosť: Stretnete ju na burzách, NFT trhoch, DeFi dashboardoch a portáloch pre správu aktív.

Tip

Napíšte si seed alebo ho bezpečne uložte, keď ho nastavíte, a nechajte hodiny v telefóne nastavené na automatickú aktualizáciu. Stráta seedu a časová drift znamenajú uzamknutie.

Kľúčové charakteristiky Time based One Time Passwords (TOTP)

Rýchle vlastnosti, ktoré stojí za to poznať:

Expirácia: Kódy vydržia približne tridsať sekúnd, potom sa menia.
Offline: Po nastavení vaša app vytvára kódy bez internetu.
Zdieľané: Obe strany spoléhajú na to isté tajomstvo uložené pri nastavení.
Otvorené: Na základe verejného RFC, preto mnohé aplikácie to podporujú.

Ako sa počítajú Time based One Time Passwords (TOTP)?

Pod kapotou TOTP využíva jednosmernú funkciu s časom ako vstupom. Nemusíte to robiť ručne, ale tu je myšlienka:

TOTP code = Truncate(HMAC SHA 1(secret, counter)) mod 10^digits
counter = floor(unix time in seconds divided by step)
step = 30 and digits = 6 in most apps

Variácie

Hlavné odrody, ktoré uvidíte:

HOTP: Kód založený na čítadle, ktorý postupuje pri každom použití, nie je viazaný na čas.
Push: Aplikácia vás vyzve na schválenie, príbuzný k TOTP bez zadávania kódu.
Hardware: Malý token, ktorý zobrazuje kódy na obrazovke alebo v kľúživom.
Multi: Aplikácie, ktoré ukladajú mnoho účtov a možnosti zálohy pre obnovenie.

Pripomienka

TOTP vás nemôže ochrániť, ak napíšete platný kód na falošnej stránke. Buďte ostří, čo sa týka phishing rizík a vždy skontrolujte adresný panel pred potvrdením.

Príklad

Prihlásite sa na kryptomenovú burzu, zadáte svoje heslo, potom otvoríte vašu authenticator app a zadáte šesťciferný Time based One Time Passwords (TOTP), ktorý vyprší o tridsať sekúnd.

Zábavný fakt

TOTP bol štandardizovaný v RFC 6238 komunitou OATH, a je tichým chrbtom Google Authenticator a mnohých ďalších aplikácií. Rolex sa stretáva s Redditom, ale pre prístupové kódy.

Záver

Predessuj TOTP ako malé časovo synchronizované zámky, ktoré sťažujú ukradnutie prihlásenia a zároveň uľahčujú používanie.

Time based One Time Passwords (TOTP)