Che cos'è una password monouso a tempo (TOTP)?
- Glossario IAM
- Che cos'è una password monouso a tempo (TOTP)?
La password monouso a tempo (Time-Based One-Time Password, TOTP) è un metodo di autenticazione in cui vengono generati codici unicivoci ogni 30-60 secondi sulla base di un algoritmo. Nell'autenticazione multifattoriale (AMF) gli utenti inseriscono un codice TOTP dopo aver inserito la propria password per poter verificare la propria identità e accedere a un account.
Come funziona la TOTP
TOTP si basa su un algoritmo segreto che genera codici. L'algoritmo, che è unico per ogni istanza, utilizza l'orario corrente come fattore. Ciò consente all'algoritmo di produrre un nuovo codice univoco ogni 30-60 secondi.
Ogni volta che un utente avvia la creazione di una nuova TOTP per un account, i server dell'account generano un algoritmo unico e segreto, solitamente visualizzato come codice QR. Il server conserva la chiave segreta e la utilizza per generare i codici TOTP.
L'utente scansionerà il codice QR con uno strumento di autenticazione, che può essere un'app dedicata del telefono o una funzionalità di un gestore di password. Poiché dispone dell'algoritmo segreto, lo strumento di autenticazione calcola gli stessi identici codici a sei cifre del server.
Una volta impostato, l'algoritmo viene eseguito contemporaneamente sia sul server che sullo strumento di autenticazione dell'utente, producendo gli stessi identici codici a sei cifre nello stesso identico momento.
Quando un utente effettua l'accesso, inserisce il codice visualizzato in quel momento sul proprio strumento di autenticazione. Il server confronta il codice calcolato con quello dell'utente. Se i codici corrispondono, l'utente viene verificato e gli viene concesso l'accesso.
Come utilizzare le TOTP
Ecco i passaggi per utilizzare le TOTP:
Scegliete lo strumento di autenticazione. Noi vi consigliamo di usare un gestore di password per generare i codici TOTP perché semplifica il processo di accesso e non richiede l'uso di più dispositivi per accedere al vostro account.
Richiedete un algoritmo segreto dal vostro account. Accedete al vostro account e trovate le impostazioni di sicurezza. Se i codici TOTP sono un'opzione AMF del vostro account, vedrete un'impostazione per richiedere un codice QR.
Scansionate il codice QR con il vostro strumento di autenticazione. Qualunque sia l'applicazione utilizzata, il codice QR può essere scansionato, probabilmente utilizzando la fotocamera del telefono o la funzione di screenshot.
Tutto è pronto! Ogni volta che effettuate l'accesso e il server richiede un codice per l'autenticazione, consultate lo strumento di autenticazione per trovare il codice visualizzato. Assicuratevi di inserire il codice prima che il tempo sia scaduto e il codice cambi (di solito ogni 30-60 secondi).
Perché utilizzare l'autenticazione con TOTP
Le TOTP sono una delle forme più sicure e convenienti di autenticazione multifattoriale. L'AMF è consigliata per tutti gli account e funziona come un ulteriore livello di sicurezza per la password. Se qualcuno ottiene la password e tenta di accedere a un account con AMF abilitato, non sarà in grado di accedervi senza il secondo metodo di autenticazione.
Le password vengono spesso compromesse in violazioni di dati di massa e in altri attacchi informatici. Ecco perché l'AMF è fondamentale. Se non utilizzate l'AMF nei vostri account, i criminali informatici possono facilmente accedere con credenziali rubate ai vostri dati riservati.
Ciò che rende le TOTP una delle forme più sicure di AMF è che i codici sono calcolati in modo indipendente dalle due parti. Per questo motivo, i codici non devono essere comunicati tra le parti. Il codice non può essere intercettato finché l'algoritmo rimane segreto. Il fatto che il codice cambi così frequentemente fornisce un ulteriore livello di sicurezza.
Rispetto a un codice di verifica tradizionale, solitamente inviato tramite e-mail o SMS, la TOTP è molto più sicura. Questo perché le e-mail e gli SMS non sono crittografati e possono essere facilmente intercettati dai criminali informatici.
OTP, TOTP e HOTP a confronto
La differenza tra OTP, TOTP e HOTP è il tipo di fattore utilizzato per calcolare il conseguente codice della password.
One-Time Password (OTP) è un termine generico che si riferisce a qualsiasi tipo di codice monouso utilizzato per l'autenticazione. Questi codici di verifica possono essere generati in vari modi, alcuni dei quali risultano più sicuri di altri.
Come abbiamo stabilito, la TOTP è un tipo di OTP che utilizza il tempo come fattore per calcolare il codice. Il fattore cambia con il passare del tempo, il che significa che ogni 30-60 secondi viene generato un nuovo codice. Poiché la TOTP cambia tanto frequentemente, è il tipo di OTP più sicuro.
Una Hash-Based One-Time Password (HOTP) o password monouso basata su hash funziona in modo simile, ma utilizza un fattore diverso per calcolare il codice, in questo caso un codice di autenticazione per messaggi basato su hash (Hash-Based Message Authentication Code, HMAC). Un HMAC conta il numero di volte in cui un codice viene richiesto e lo utilizza per calcolare il codice. Il codice cambia ogni volta che viene richiesto, invece di cambiare ogni 30-60 secondi.
TOTP - Utilizza l'orario corrente come base per la generazione dei codici
- Cambia ogni 30-60 secondi
- Il metodo più sicuro
HOTP - Utilizza il conteggio delle richieste di codice come base per la generazione dei codici
- Rimane invariata finché non viene richiesto un nuovo codice
- Sicura, ma meno di TOTP
Le password monouso a tempo sono una soluzione conveniente per proteggere i vostri account. Keeper Password Manager consente di impostare in modo semplice la TOTP per tutti gli account, oltre a generare password complesse. Con KeeperFill, il processo di login è un gioco da ragazzi: Keeper inserisce automaticamente la password e i codici TOTP, in modo che i vostri account siano sicuri senza dover ricorrere ad altri metodi AMF.
