Uz laiku balstītas vienreizējās paroles (TOTP) ir standarta vienreizējās paroles datora algoritms. Tie paplašina uz hash balstītu ziņojumu autentifikācijas kodu (HMAC) vienreizējo paroli (uz HMAC balstītu vienreizējo paroli vai saīsināti HOTP).
TOTP var izmantot tradicionālā, ilgāka divu faktoru vietā vai kā papildu faktoru līdzās autentifikācijas risinājumi, piemēram, SMS ziņas vai fiziski aparatūras marķieri, kurus var nozagt vai aizmirst viegli. Kas tad īsti ir uz laiku balstītas vienreizējās paroles? Kā viņi strādā?
Kas ir TOTP?
TOTP ir pagaidu, vienreiz lietojams piekļuves kods, ko algoritms ģenerē saskaņā ar pašreizējo laiku lietotāja autentifikācijai. Tas ir papildu drošības līmenis jūsu kontiem, kas balstās uz divu faktoru autentifikācija (2FA) vai daudzfaktoru autentifikācija (ĀM). Tas nozīmē, ka pēc lietotājvārda un paroles ievadīšanas jums ir jāievada konkrēts kods, kas ir balstīts uz laiku un ir īslaicīgs.
TOTP ir nosaukts šādi, jo tas izmanto standarta algoritmu, lai izstrādātu unikālu un skaitlisku vienreizēju piekļuves kodu, izmantojot Griničas laiku (GMT). Tas ir, piekļuves kods tiek ģenerēts no pašreizējā laika šajā periodā. Kodi tiek ģenerēti arī no koplietota noslēpuma vai slepena sākuma piekļuves koda, kas tiek nodrošināts lietotāja reģistrācijas laikā autentifikācijas serverī, izmantojot QR kodus vai vienkāršu tekstu.
Šis piekļuves kods tiek parādīts lietotājam, kurš to izmantos noteiktu laiku, pēc kura tas beidzas. Lietotāji ierobežotā laikā ievada vienreizējo piekļuves kodu, savu lietotājvārdu un parasto paroli pieteikšanās veidlapā. Pēc derīguma termiņa beigām kods vairs nav derīgs un to nevar izmantot pieteikšanās veidlapā.
TOTP ietver virkni dinamisku ciparu kodu, parasti no četriem līdz sešiem cipariem, kas mainās ik pēc 30 līdz 60 sekundēm. Interneta inženierijas darba grupa (IETF) publicēja TOTP, kas aprakstīta RFC 6238, un izmanto standarta algoritmu, lai iegūtu vienreizēju paroli.
biedri Atvērtās autentifikācijas iniciatīva (OATH) ir TOTP izgudrojuma pamatā. Tas tika pārdots tikai ar patentu, un kopš tā laika dažādi autentifikācijas pārdevēji to ir pārdevuši pēc standartizācijas. Pašlaik to plaši izmanto mākoņa lietojumprogramma pakalpojumu sniedzēji. Tie ir lietotājam draudzīgi un pieejami lietošanai bezsaistē, tāpēc tie ir ideāli piemēroti lietošanai lidmašīnās vai gadījumos, kad jums nav tīkla pārklājuma.
Kā darbojas TOTP?
TOTP kā otrais autorizācijas faktors jūsu lietotnēs nodrošina jūsu kontiem papildu drošības līmeni, jo jums ir jānorāda vienreizējie ciparu piekļuves kodi, pirms esat pieteicies. Tos tautā sauc par "programmatūras marķieriem", "soft tokeniem" un "lietotņu autentifikāciju", un tie tiek izmantoti autentifikācijas lietotnēs patīk Google autentifikators un Authy.
Tas darbojas šādi: pēc sava konta lietotājvārda un paroles ievadīšanas jums tiek piedāvāts pievienot derīgu TOTP kodu citai pieteikšanās saskarnei, lai pierādītu, ka jums pieder konts.
Dažos modeļos TOTP jūs saņemat viedtālrunī, izmantojot SMS īsziņu. Varat arī iegūt kodus no autentifikatora viedtālruņa lietojumprogrammas, skenējot QR attēlu. Šī metode ir visplašāk izmantotā, un kodi parasti beidzas pēc aptuveni 30 vai 60 sekundēm. Tomēr daži TOTP var ilgt 120 vai 240 sekundes.
Piekļuves kods tiek izveidots jūsu vietā, nevis serverī, izmantojot autentifikācijas lietojumprogrammu. Šī iemesla dēļ jums vienmēr ir piekļuve savam TOTP, lai serverim nebūtu jāsūta SMS ikreiz, kad piesakāties.
Ir arī citas metodes, kā iegūt TOTP:
- Aparatūras drošības marķieri.
- E-pasta ziņojumi no servera.
- Balss ziņas no servera.
Tā kā TOTP ir balstīts uz laiku un beidzas dažu sekunžu laikā, hakeriem nav pietiekami daudz laika, lai paredzētu jūsu piekļuves kodus. Tādā veidā tie nodrošina papildu drošību vājākajai lietotājvārdu un paroļu autentifikācijas sistēmai.
Piemēram, vēlaties pieteikties savā darbstacijā, kas izmanto TOTP. Vispirms ievadiet konta lietotājvārdu un paroli, un sistēma liks jums ievadīt TOTP. Pēc tam varat to nolasīt no aparatūras marķiera vai QR attēla un ierakstīt to TOTP pieteikšanās laukā. Kad sistēma autentificē piekļuves kodu, tā piesakās jūsu kontā.
TOTP algoritmam, kas ģenerē piekļuves kodu, ir nepieciešams jūsu ierīces laiks un jūsu slepenā sēkla vai atslēga. Lai ģenerētu un pārbaudītu TOTP, jums nav nepieciešams interneta savienojums, tāpēc autentifikācijas lietotnes var darboties bezsaistē. TOTP ir nepieciešams lietotājiem, kuri vēlas izmantot savus kontus un kuriem nepieciešama autentifikācija ceļojot lidmašīnās vai attālos apgabalos, kur nav pieejams tīkla savienojums.
Kā tiek autentificēts TOTP?
Šis process sniedz vienkāršu un īsu ceļvedi par to, kā darbojas TOTP autentifikācijas process.
Ja lietotājs vēlas piekļūt lietojumprogrammai, piemēram, mākoņa tīkla lietojumprogrammai, pēc lietotājvārda un paroles ievadīšanas viņam tiek piedāvāts ievadīt TOTP. Viņi pieprasa iespējot 2FA, un TOTP marķieris izmanto TOTP algoritmu, lai ģenerētu OTP.
Lietotājs pieprasījuma lapā ievada marķieri, un drošības sistēma konfigurē savu TOTP, izmantojot to pašu pašreizējā laika un koplietotā noslēpuma vai atslēgas kombināciju. Sistēma salīdzina abus piekļuves kodus; ja tie sakrīt, lietotājs tiek autentificēts un viņam tiek piešķirta piekļuve. Ir svarīgi atzīmēt, ka lielākā daļa TOTP autentificēsies ar QR kodiem un attēliem.
TOTP vs. Uz HMAC balstīta vienreizēja parole
Uz HMAC balstītā vienreizējā parole nodrošināja ietvaru, uz kura tika izveidots TOTP. Gan TOTP, gan HOTP ir līdzīgas, jo abas sistēmas izmanto slepeno atslēgu kā vienu no ieejas koda ģenerēšanai. Tomēr, lai gan TOTP izmanto pašreizējo laiku kā citu ievadi, HOTP izmanto skaitītāju.
Turklāt drošības ziņā TOTP ir drošāks par HOTP, jo ģenerēto paroļu derīguma termiņš beidzas pēc 30 līdz 60 sekundēm, pēc tam tiek ģenerēta jauna. Izmantojot HOTP, piekļuves kods ir derīgs, līdz to izmantojat. Šī iemesla dēļ daudzi hakeri var piekļūt HOTP un izmantot tos, lai veiktu veiksmīgus kiberuzbrukumus. Lai gan daži autentifikācijas pakalpojumi joprojām izmanto HOTP, populārākajām autentifikācijas programmām ir nepieciešams TOTP.
Kādas ir TOTP izmantošanas priekšrocības?
TOTP ir izdevīgi, jo tie nodrošina papildu drošības līmeni. Lietotājvārda-paroles sistēma pati par sevi ir vāja un parasti tiek pakļauta Cilvēka vidus uzbrukumi. Tomēr, izmantojot uz TOTP balstītas 2FA/MFA sistēmas, hakeriem nav pietiekami daudz laika, lai piekļūtu jūsu TOTP. pat ja viņi ir nozaguši jūsu tradicionālo paroli, tāpēc viņiem ir maz iespēju jūsu uzlauzt konti.
TOTP autentifikācija nodrošina papildu drošību
Kibernoziedznieki var viegli piekļūt jūsu lietotājvārdam un parolei un uzlauzt jūsu kontu. Tomēr, izmantojot uz TOTP balstītām 2FA/MFA sistēmām, jums var būt drošāks konts, jo TOTP ir ierobežots laiks un beidzas dažu sekunžu laikā. TOTP ieviešana noteikti ir tā vērta.
