TOTP

TOTP, o Time-based One-Time Password (contraseña de un solo uso basada en el tiempo), es el estándar que hay detrás de los códigos de seis dígitos que generan las aplicaciones de autenticación para la autenticación de dos factores. Al activarlo, el servicio y tu aplicación comparten una clave secreta; ambos combinan después ese secreto con la hora actual para calcular un código corto que cambia cada 30 segundos, de modo que un código interceptado o reutilizado más tarde no vale nada.

Por ejemplo, al proteger una cuenta de un exchange escaneas un código QR con una aplicación como Google Authenticator o Authy. El código QR contiene el secreto compartido. A partir de entonces, los inicios de sesión y los retiros requieren el código de seis dígitos vigente de tu aplicación, y el exchange lo verifica ejecutando el mismo cálculo por su lado. El esquema funciona por completo sin conexión en tu teléfono; no interviene ninguna red ni ningún SMS.

TOTP es considerablemente más seguro que los códigos por SMS porque no se puede robar mediante un SIM swap. Sus principales debilidades son los sitios de phishing que retransmiten tu código en tiempo real y la pérdida del dispositivo que guarda los secretos, razón por la que los servicios ofrecen códigos de respaldo para guardar de forma segura durante la configuración. Un error común es creer que los códigos los envía el servicio; se calculan localmente a partir del secreto compartido y del reloj, y por eso un reloj del teléfono muy desajustado hace que los códigos fallen.