Time based One Time Passwords (TOTP)

Hva er Time based One Time Passwords (TOTP)?

Time based One Time Passwords (TOTP) er en metode som gir korte, tidsbegrensede koder for å bekrefte en innlogging. Telefonen din og tjenesten kjenner begge til en felles hemmelighet og har samme tid, slik at de uavhengig kommer fram til samme sekssifrede kode. Tenk på en låsekombinasjon som stadig endrer seg mens du ser på, ja, det er så enkelt.

Hvordan Time based One Time Passwords (TOTP) fungerer

Slik fungerer det når du slår det på for innlogging på en børs eller i en lommebok.

1. Start: I sikkerhetsinnstillingene velger du alternativet for en autentiseringsapp og skanner QR-koden.
2. Secret: Appen din lagrer en delt seed, ofte kalt en secret key, som knytter enheten din til tjenesten.
3. Sync: Begge parter leser samme klokke i korte tidsintervaller og kjører standardberegninger for å lage en sekssifret kode.
4. Enter: Ved pålogging skriver du inn koden før tidsuret ruller over.
5. Verify: Tjenesten sjekker koden med samme beregning og slipper deg inn hvis den stemmer.

Ja, det var det.

Hvorfor Time based One Time Passwords (TOTP) er viktig

Svar på «men hva så» enkelt sagt:

• Fordel: Det stopper mange kontoangrep selv om noen kjenner passordet ditt.
• Perspektiv: SMS-koder kan være svake på grunn av SIM-svitsj, så TOTP er et sterkere andre trinn. De fleste tjenester lar deg aktivere two factor authentication 2FA med en autentiseringsapp.
• Relevans: Du vil møte det på børser, NFT markeder, DeFi oversikter og forvaringsportaler.

Kjennetegn ved Time based One Time Passwords (TOTP)

Korte trekk som er verdt å vite:

• Utløp: Kodene varer i omtrent tretti sekunder før de endres.
• Offline: Når den er satt opp, lager appen koder uten internett.
• Delt: Begge sider er avhengige av samme hemmelighet som ble lagret ved oppsett.
• Åpen: Basert på en offentlig RFC, derfor støtter mange apper det.

Hvordan blir Time based One Time Passwords (TOTP) beregnet?

Bak kulissene bruker TOTP en enveiskryptografisk funksjon der tid er inngangen. Du trenger ikke gjøre dette for hånd, men her er ideen:

TOTP code = Truncate(HMAC SHA 1(secret, counter)) mod 10^digits
counter = floor(unix time in seconds divided by step)
step = 30 and digits = 6 in most apps

Varianter

Hovedvarianter du vil se:

• HOTP: En tellebasert kode som øker ved hver bruk, ikke bundet til tid.
• Push: Et appvarsel du godkjenner, en variant av TOTP uten at du må skrive kode.
• Maskinvare: En liten token som viser koder på en skjerm eller nøkkelbrikke.
• Multi: Apper som lagrer mange kontoer og backupmuligheter for gjenoppretting.

Eksempel

Du logger inn på en kryptobørs, skriver inn passordet, åpner så autentiseringsappen og taster en sekssifret Time based One Time Passwords (TOTP) som utløper om tretti sekunder.

Morsomt faktum

TOTP ble standardisert i RFC 6238 av OATH-fellesskapet, og det er den stille ryggraden bak Google Authenticator og mange andre apper. Rolex møter Reddit tråder, men for innloggingskoder.

Oppsummering

Se på TOTP som en liten tidssynkronisert lås som gjør påloggingen din vanskeligere å stjele og enkel å bruke.