Utilia
Kategoritë ▾
Gjuha: sq ▾

Gjenerues kodesh TOTP dhe HOTP

Gjenero kode 2FA TOTP dhe HOTP nga një sekret Base32 ose URI otpauth://, me SHA-1, SHA-256 ose SHA-512, numërim mbrapsht live dhe kod QR për aplikacionet 2FA.

Një sekret 2FA është po aq i ndjeshëm sa një fjalëkalim. Gjithçka këtu ekzekutohet lokalisht në shfletuesin tënd: sekreti, kodet dhe kodi QR nuk dërgohen askund.

Konfiguro një aplikacion autentifikimi

Shto një lëshues dhe një emër llogarie, pastaj skano kodin QR ose kopjo lidhjen otpauth:// në aplikacionin tënd të autentifikimit.

Si të gjenerosh kode TOTP

  1. Ngjit një sekret Base32 (për shembull JBSWY3DPEHPK3PXP) ose një lidhje të plotë otpauth:// te Sekreti (Base32) ose URI otpauth://. Pranohen hapësirat, vizat, shkronjat e vogla dhe mungesa e mbushjes =.
  2. Kodet shfaqen ndërsa shkruan, ose kur klikon Shfaq kodet. Një URI e ngjitur plotëson vetë fushat Lloji, Algoritmi, Shifrat, Periudha (sekonda), Lëshuesi dhe Llogaria.
  3. Lexo Kodin aktual në mes, me Kodin e mëparshëm dhe Kodin e radhës nga të dyja anët. Shiriti poshtë numëron mbrapsht sekondat para se kodi të ndryshojë, dhe Kopjo kodin e kopjon pa hapësirën.
  4. Për kode me numërues, zgjidh HOTP (me numërues), vendos Numëruesin dhe përdor Numëruesi i radhës për të ecur përpara.
  5. Për të krijuar një sekret të ri 2FA, kliko Sekret i ri i rastësishëm. Plotëso Lëshuesin dhe Llogarinë, pastaj skano kodin QR me një aplikacion autentifikimi, Kopjo URI, ose Shkarko kodin QR (PNG).

Si funksionojnë TOTP dhe HOTP

HOTP (RFC 4226) llogarit një HMAC të një numëruesi 8-bajtësh me sekretin e përbashkët, pastaj aplikon shkurtimin dinamik: katër bitet e fundit të HMAC-ut zgjedhin një zhvendosje, lexohen katër bajte që andej, pastrohet biti më i lartë dhe numri reduktohet modulo 10^shifra. Rezultati është një kod 6 deri 8 shifror.

TOTP (RFC 6238) është HOTP ku numëruesi është hapi aktual i kohës: T = floor(koha Unix / periudha), me periudhë 30 sekonda si parazgjedhje. Telefoni yt dhe serveri llogarisin të njëjtin kod në mënyrë të pavarur, sepse ndajnë sekretin dhe (afërsisht) të njëjtën orë. Prandaj shfaqen Kodi i mëparshëm dhe Kodi i radhës: serverët zakonisht pranojnë një hap para ose pas për të toleruar shmangien e orës.

HMAC ekzekutohet me API-n Web Crypto të shfletuesit tënd duke përdorur SHA-1, SHA-256 ose SHA-512. SHA-1 me 6 shifra dhe 30 sekonda është ajo që përdorin pothuajse të gjitha shërbimet; SHA-256 dhe SHA-512 lejohen nga RFC 6238 por disa aplikacione i shpërfillin, ndaj ndrysho parazgjedhjet vetëm kur e kërkon shërbimi.

URI otpauth:// dhe kodi QR

Aplikacionet e autentifikimit konfigurohen me një URI si otpauth://totp/Example:alice@example.com?secret=…&issuer=Example&algorithm=SHA1&digits=6&period=30, zakonisht e shfaqur si kod QR. Ky mjet i lexon URI të tilla (përfshirë etiketat me percent-encoding si ACME%20Co) dhe ndërton të reja. Kodi QR vizatohet lokalisht nga URI e shfaqur nën URI otpauth://.

Një sekret i ri i rastësishëm ka 20 bajte (160 bite), gjatësia e rekomanduar nga RFC 4226, e marrë nga crypto.getRandomValues.

Këshilla sigurie

  • Sekreti është vetë faktori i dytë: kushdo që e ka mund të prodhojë kodet e tua. Mos i ngjit sekretet e llogarive të rëndësishme në kompjutera të përbashkët dhe mos ndaj kurrë pamje ekrani të kodit QR.
  • Gjithçka llogaritet lokalisht; asgjë nuk dërgohet nëpër rrjet. Mbylle skedën kur të mbarosh.
  • Ruaj kodet rezervë të shërbimit: një sekret që e humbet nuk rikuperohet dot.

Pyetje të shpeshta

Pse kodi im nuk përputhet me atë në aplikacionin tim?

Kontrollo fillimisht orën e pajisjes sate: kodet TOTP ndryshojnë çdo periudhë, ndaj një orë që ka diferencë mbi 30 sekonda jep kode të ndryshme. Pastaj kontrollo që algoritmi, shifrat dhe periudha përputhen me ato që përdori shërbimi.

A është ky mjet i pajtueshëm me Google Authenticator dhe aplikacione të ngjashme?

Po. Ndjek RFC 6238 dhe formatin e URI otpauth që përdorin ato aplikacione. Skano kodin QR ose shkruaj sekretin Base32 në aplikacion, dhe të dyja duhet të shfaqin të njëjtin Kod aktual.

Cili është ndryshimi mes TOTP dhe HOTP?

TOTP ecën përpara me kohën, ndaj një kod skadon pas periudhës. HOTP ecën përpara me një numërues që rritet sa herë përdoret një kod, ndaj një kod mbetet i vlefshëm derisa të përdoret ose të zëvendësohet.

A mund ta përdor këtë mjet si autentifikuesin tim të përditshëm?

Është menduar për testim, zhvillim dhe rikuperim. Një aplikacion në telefon ose një çelës harduerik është më i sigurt për përdorim të përditshëm, sepse sekreti nuk ngjitet çdo herë në një faqe uebi.

A janë kontrolluar llogaritjet kundrejt standardeve?

Po. Mjeti testohet me vlerat HOTP të RFC 4226 Shtojca D dhe vlerat TOTP të RFC 6238 Shtojca B për SHA-1, SHA-256 dhe SHA-512.

Mjete të ngjashme