TOTP nedir?
TOTP (Time-based One-Time Password), zamana bağlı tek kullanımlık parola üreten standart bir yöntemdir. Telefonunuzdaki kimlik doğrulayıcı uygulama, sunucuyla paylaştığı gizli anahtar ve geçerli saatten her 30 saniyede bir değişen altı haneli bir kod üretir. Kod kısa sürede geçersiz olur.
TOTP, iki adımlı doğrulamada en yaygın kullanılan yöntemlerden biridir. İnternet bağlantısı olmadan da çalışır çünkü kod, cihazda yerel olarak hesaplanır.
Nasıl çalışır?
Kurulum sırasında sunucu bir gizli anahtar üretir ve genellikle QR kod olarak gösterir. Uygulama bu anahtarı kaydeder. Sonrasında hem uygulama hem sunucu aynı anahtar ve aynı zaman değerinden, standartta tanımlı bir karma (HMAC) işlemiyle aynı kodu hesaplar. Giriş yaparken yazdığınız kod sunucudakiyle eşleşirse doğrulama başarılıdır.
Bu yüzden iki tarafın saatinin birbirine yakın olması gerekir. Sunucu genellikle küçük bir zaman kayması için bir önceki ve sonraki dilimi de kabul eder.
Sunucu ve hosting ortamında
cPanel, Plesk ve DirectAdmin gibi paneller hesap girişi için TOTP tabanlı iki adımlı doğrulamayı destekler. Linux sunucularda SSH girişine ikinci faktör eklemek için PAM tabanlı bir TOTP modülü kurulabilir. Bu durumda giriş anahtar veya parolanın yanında uygulama kodunu da ister.
Sunucu tarafında doğru çalışması için NTP ile saat senkronizasyonu şarttır. Saati kayan bir sunucu geçerli kodları reddedebilir.
Nasıl uygulanır?
- Standart TOTP destekleyen herhangi bir kimlik doğrulayıcı uygulama kullanabilirsiniz.
- Kurulumda gösterilen gizli anahtarı ve QR kodu kimseyle paylaşmayın.