Zeitbasiertes Einmalpasswort (TOTP)
Was ist Zeitbasiertes Einmalpasswort (TOTP)?
Zeitbasiertes Einmalpasswort (TOTP)Ein in RFC 6238 definierter Einmalpasswort-Algorithmus, der einen kurzen Code aus einem gemeinsamen Geheimnis und der aktuellen Zeit ableitet und alle 30 Sekunden wechselt.
TOTP ist ein weit verbreiteter Zweitfaktor-Mechanismus, bei dem die Authenticator-App des Nutzers (Google Authenticator, Authy, 1Password) und der Server denselben symmetrischen Seed teilen und denselben HMAC-SHA1-Hash über die aktuelle, in 30-Sekunden-Fenster zerlegte Unix-Zeit berechnen. Der angezeigte 6- bis 8-stellige Code ändert sich automatisch und ist nur kurz gültig, was den Wert ausgespähter oder per Phishing erbeuteter Codes verringert. Nach der Provisionierung des Seeds (meist per QR-Code) arbeitet TOTP vollständig offline. Hauptschwächen sind Echtzeit-Phishing-Proxys (AiTM), die Codes weiterleiten, Schadsoftware auf dem Gerät und ein Seed-Diebstahl serverseitig; wo möglich, sind FIDO2 und Passkeys vorzuziehen.
● Beispiele
- 01
QR-Code in Google Authenticator scannen, um 2FA für ein GitHub-Konto zu aktivieren.
- 02
Eingabe eines 6-stelligen Codes aus einer Authenticator-App beim Login ins Online-Banking.
● Häufige Fragen
Was ist Zeitbasiertes Einmalpasswort (TOTP)?
Ein in RFC 6238 definierter Einmalpasswort-Algorithmus, der einen kurzen Code aus einem gemeinsamen Geheimnis und der aktuellen Zeit ableitet und alle 30 Sekunden wechselt. Es gehört zur Kategorie Identität und Zugriff der Cybersicherheit.
Was bedeutet Zeitbasiertes Einmalpasswort (TOTP)?
Ein in RFC 6238 definierter Einmalpasswort-Algorithmus, der einen kurzen Code aus einem gemeinsamen Geheimnis und der aktuellen Zeit ableitet und alle 30 Sekunden wechselt.
Wie schützt man sich gegen Zeitbasiertes Einmalpasswort (TOTP)?
Schutzmaßnahmen gegen Zeitbasiertes Einmalpasswort (TOTP) kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.
Welche anderen Bezeichnungen gibt es für Zeitbasiertes Einmalpasswort (TOTP)?
Übliche alternative Bezeichnungen: RFC 6238, Zeit-OTP.