TOTP

TOTP, oftewel Time-based One-Time Password, is de standaard achter de zescijferige codes die authenticator-apps genereren voor tweefactorauthenticatie. Wanneer je het inschakelt, delen de dienst en je app een geheime sleutel; beide combineren dat geheim vervolgens met de huidige tijd om een korte code te berekenen die elke 30 seconden verandert, zodat een code die later wordt onderschept of hergebruikt waardeloos is.

Wanneer je bijvoorbeeld een exchange-account beveiligt, scan je een QR-code met een app zoals Google Authenticator of Authy. De QR-code bevat het gedeelde geheim. Vanaf dat moment hebben inloggen en opnemen de actuele zescijferige code uit je app nodig, en de exchange controleert die door dezelfde berekening aan zijn kant uit te voeren. Het systeem werkt volledig offline op je telefoon; er komt geen netwerk of sms aan te pas.

TOTP is aanzienlijk veiliger dan sms-codes, omdat het niet kan worden gestolen via een SIM-swap. De belangrijkste zwakke punten zijn phishingsites die je code in realtime doorsturen en het verlies van het apparaat waarop de geheimen staan, en daarom bieden diensten bij de installatie back-upcodes aan die je veilig moet bewaren. Een veelvoorkomende misvatting is dat de codes van de dienst komen; ze worden lokaal berekend uit het gedeelde geheim en de klok, en daarom laat een flink afwijkende klok op je telefoon codes mislukken.