Что такое OTP-двухфакторная аутентификация и зачем она нужна

OTP или двухфакторная аутентификация на основе одноразового пароля – это отличный способ аутентификации для подтверждения личности и входа в систему.

С помощью данного метода возможно гарантировать дополнительный уровень безопасности потому, что пароль действителен только в течение одного сеанса входа. После одноразового использования, пароль становиться недействительным, таким образом злоумышленники не смогут его использовать для входа в систему.

Отсутствие постоянного пароля минимизирует возможность взлома с помощью брутфорс-атаки. Данный метод достаточно удобен для мобильных приложений. Кроме приложений, его используют в онлайн-банкинге, электронной почте, сервисах покупок, в корпоративных системах, и других областях для обеспечения дополнительного уровня безопасности.

Виды одноразовых паролей и их отличия

OTP – генерируется алгоритмом, который использует информацию касательно имени юзера, текущего времени, и секретного ключа. К двум основным типам OTP относятся пароли на основе времени (TOTP) и пароли на основе HMAC (HOTP).

TOTP: временные одноразовые пароли и их особенности

TOTP – это одноразовый пароль, который генерируется на основе текущего времени. Обычно данный пароль действует в течении короткого периоду, чаще всего он составляет 30 секунд. После истечение этого периода, старый пароль становиться недействительным и создается новый.

TOTP – это динамический пароль, а OTP – статический, который используется для одного сеанса входа. TOTP считается более надежным вариантом, так как его практически невозможно перехватить.

Данный тип пароля генерируется программным приложением на компьютере или смартфоне. Алгоритмы этого процесса могут также использоваться вместе с такими аутентификаторами как Authy и Google Authenticator.

HOTP: счетчиковые OTP и сценарии использования

HOTP – это уникальный пароль на основе HMAC, который генерируется каждый раз когда юзер входит в систему. Такой пароль используется только один раз, и он не действителен при повторном использовании. Таким образом гарантируется достаточно высокий уровень безопасности.

Основное различие между OTP и HOTP состоит в том, что OTP функционирует методом генерации случайного значения с секретным ключом. HOTP в свою очередь функционирует на основе счетчика и он увеличивается при каждом использовании пароля. Таким образом создается последовательность уникальных паролей, а их намного сложнее взломать.

HOTP часто используется в устаревших системах и аппаратных токенах, где могут быть проблемы с реализацией времени.

Аппаратные и программные генераторы OTP

Программные и аппаратные генераторы OTP используются для создания паролей. Аппаратные генераторы – это физические устройства такие как YubiKey, RSA SecurID, и банковские токены. Такого типа генераторы считаются самыми безопасными, они более устойчивы к различному вредоносному ПО, и не зависят от интернета. К минусам использования относиться их дороговизна и необходимость носить с собой.

Программные генераторы – это программы, с помощью который генерируются коды на устройстве. К основным программным генераторам относятся Authy и Microsoft/Google Authenticator. Данный вариант генераторов удобен в использовании и очень бюджетный, а в некоторый случаях может быть даже бесплатным. Единственным минусом может быть уязвимость к заражению устройства.

Настройка OTP-двухфакторной аутентификации

Генерация секретного ключа и привязка пользователя

На этапе генерации секретного ключа создается уникальный ключ, который будет использоваться для генерации одноразовых паролей. Ключ будет сохранен на сервере и передается юзеру текстовой строкой или в виде QR-кода.

После сканирования кода, юзер подтверждает процесс настройки, когда будет вводить сгенерированный код. Таким образом завершается процесс привязки OTP к определенному аккаунту.

Интеграция OTP с веб-приложением или сервисом

Интеграция осуществляется проверкой одноразового кода во время входа. После введения пароля и логина обычно система моментально запрашивает OTP-код после чего происходит проверка и сравнение кода с серверным значением.

Для того чтобы упростить реализацию, можно использовать готовые фреймворки и библиотеки, которые поддерживают стандарты этих ключей. Кроме того, важным этапом есть резервное копирование, и процедуры восстановления доступа при утере устройства.

Использование приложений-аутентификаторов для OTP

Google Authenticator, Authy и аналоги: что выбрать

Для выбора подходящего аутентификатора, нужно в первую очередь определиться с вашими потребностями. К примеру, важна ли для вас синхронизация, бэкап, нужна ли open-source опция, и тому подобное.

Google Authenticator считается самым простым в использовании вариантом без лишних функций, поддерживает большое количество сервисов, и может работать офлайн.
У Authy есть доступ к синхронизации между устройствами и бэкап, и доступна защита паролем внутри приложения.
Microsoft Authenticator поддерживает push-уведомления у Microsoft-аккаунтов.
FreeOTP имеет минималистичный интерфейс и открытый исходный код.

Часто спрашивают: Передача файлов с локального ПК на VPS под Linux

Синхронизация времени и её влияние на работу TOTP

Критически важным аспектом в корректном функционировании TOTP – есть синхронизация времени.

TOTP генерирует коды на основе текущего времени, таким образом сервер и юзерское устройство должны работать на одинаковом времени и минимальное расхождение в несколько минут может повлиять на корректность введения кода.

Если происходит рассинхронизация, коды перестают проходить проверку, и пользователь не может попасть в систему. Для исправления данной ошибки, можно использовать NTP-синхронизацию и включить автоматическую синхронизация на юзерских устройствах.

Резервный доступ и восстановление аккаунта

При утере устройства, удалении генератора, или смене устройства без переноса ключей нужно иметь резервный доступ или же аккаунт может полностью заблокироваться.

Вот несколько вариантов резервного доступа:

Аппаратный ключ.
Резервные коды.
Ручная верификация через поддержку.
Другое устройство с привязкой OTP.

Когда OTP-аутентификация не требуется

Сценарии, когда OTP-аутентификация может не использоваться – это достаточно индивидуальное решение в каждой конкретной ситуации, и оно может вести к определенным рискам.

Но все же, такой подход может использоваться внутри корпоративных систем, если в системе нет чувствительной информации, используются другие методы альтернативной защиты, и в любых других подобных вариантах.