Двофакторна автентифікація (2FA): Глибокий погляд на механізми захисту та алгоритми TOTP і HOTP
У сучасному цифровому світі традиційних паролів вже недостатньо для забезпечення надійного захисту даних. Кібератаки стають дедалі складнішими, а витоки баз даних — рутинними новинами. Саме тут на арену виходить двофакторна автентифікація (2FA).
У цій статті ми детально розберемо, що таке 2FA, як вона працює на фундаментальному рівні, та зануримося в математику і логіку найпопулярніших алгоритмів генерації кодів: HOTP та TOTP.
Що таке двофакторна автентифікація (2FA)?
Автентифікація — це процес підтвердження того, що користувач є саме тим, за кого себе видає (наприклад, перевірка правильності введеного пароля).
Двофакторна автентифікація (2FA) — це метод безпеки, який вимагає від користувача надати два різні типи доказів (факторів) для отримання доступу до системи або облікового запису.
Щоб зрозуміти концепцію 2FA, важливо розрізняти три основні фактори автентифікації:
Фактор знання (Те, що ви знаєте): Ваш пароль, PIN-код або відповідь на секретне питання.
Фактор володіння (Те, що ви маєте): Ваш смартфон, апаратний токен (наприклад, YubiKey), смарт-картка або доступ до електронної пошти.
Фактор властивості (Те, ким ви є): Біометричні дані, такі як відбиток пальця, сканування сітківки ока або FaceID.
Важливий нюанс: Використання двох паролів не є двофакторною автентифікацією. Це просто використання двох "факторів знання". Справжня 2FA вимагає комбінації різних категорій, найчастіше — пароля (знання) та одноразового коду зі смартфона (володіння).
Що таке OTP (Одноразовий пароль)?
Основою більшості сучасних систем 2FA є OTP (One-Time Password) — одноразовий пароль. Це унікальний набір символів або цифр, який дійсний лише для одного сеансу входу або транзакції.
На відміну від статичного пароля, який ви запам'ятовуєте, OTP генерується динамічно. Найпопулярніші стандарти для їх генерації — це алгоритми HOTP та TOTP. Обидва спираються на спільний секрет та криптографічні функції.
Ключові терміни:
Seed (Секретний ключ або Зерно): Унікальний криптографічний ключ (зазвичай це довгий рядок символів), який відомий лише серверу та вашому додатку-автентифікатору (наприклад, Google Authenticator). Він часто передається у вигляді QR-коду під час налаштування 2FA.
HMAC (Hash-based Message Authentication Code): Криптографічний алгоритм, який використовує хеш-функцію (математичний алгоритм, що перетворює дані довільного розміру на рядок фіксованого розміру) разом із секретним ключем (Seed) для створення унікального підпису.
Алгоритм HOTP: Автентифікація на основі подій
HOTP (HMAC-based One-Time Password) — це алгоритм генерації одноразових паролів, який базується на лічильнику подій. Стандарт описаний у документі RFC 4226.
Як це працює:
При налаштуванні 2FA сервер та ваш додаток (або апаратний токен) зберігають:
Секретний ключ (Seed).
Лічильник (Counter), який починається з нуля (або іншого узгодженого числа).
Коли ви натискаєте кнопку "згенерувати код", алгоритм бере Seed і поточне значення Лічильника, пропускає їх через алгоритм HMAC і видає 6- або 8-значний код. Після цього лічильник у вашому пристрої збільшується на 1.
Коли ви вводите цей код на сайті, сервер робить ті самі обчислення. Якщо коди збігаються, доступ дозволено, і сервер також збільшує свій лічильник на 1.
Нюанси та проблеми HOTP:
Розсинхронізація: Якщо ви випадково натиснете кнопку генерації коду на своєму пристрої кілька разів, але не використаєте ці коди для входу, ваш лічильник піде вперед, а лічильник сервера залишиться позаду.
Рішення (Вікно передбачення): Щоб вирішити цю проблему, сервери зазвичай перевіряють не лише поточне значення лічильника, а й кілька наступних (наприклад, наступні 10 значень). Якщо виявляється збіг, сервер автоматично синхронізує свій лічильник з вашим.
Алгоритм TOTP: Автентифікація на основі часу
TOTP (Time-based One-Time Password) — це еволюція алгоритму HOTP. Замість лічильника подій, він використовує поточний час. Це найпоширеніший стандарт, який використовується в додатках на кшталт Google Authenticator, Authy або Microsoft Authenticator (описаний у RFC 6238).
Як це працює:
Принцип схожий на HOTP, але замість лічильника натискань використовується Unix-час (кількість секунд, що пройшли з 1 січня 1970 року).
Щоб код не змінювався кожну секунду (що зробило б неможливим його введення людиною), час ділиться на фіксовані інтервали, які називаються Time Step (Крок часу). Зазвичай це 30 секунд.
Алгоритм бере Seed та поточний інтервал часу, обчислює їх через HMAC і видає код. Кожні 30 секунд генерується новий інтервал, а отже — новий код.
Нюанси та проблеми TOTP:
Залежність від синхронізації годинників: Оскільки алгоритм спирається на час, годинник на вашому смартфоні та годинник на сервері повинні бути ідеально синхронізовані. Якщо ваш телефон поспішає або відстає на хвилину, коди не підійдуть.
Рішення (NTP та вікно допуску): Сучасні пристрої автоматично синхронізують час через інтернет (протокол NTP). Крім того, сервери часто приймають коди не лише з поточного 30-секундного вікна, але й з попереднього та наступного, компенсуючи незначні затримки в мережі або повільне введення користувачем.
HOTP проти TOTP: Порівняльна таблиця
| Характеристика | HOTP (HMAC-based OTP) | TOTP (Time-based OTP) |
| Основний змінний фактор | Лічильник подій (натискань) | Поточний час (інтервали по 30 сек) |
| Термін дії коду | Поки не буде використаний або згенерований новий | Обмежений у часі (зазвичай 30 секунд) |
| Стійкість до перехоплення | Нижча. Якщо код перехоплено, але не використано одразу, зловмисник має час його застосувати. | Висока. Код "протухає" за 30 секунд, роблячи його марним для зловмисника пізніше. |
| Необхідність доступу до мережі | Не потребує синхронізації часу | Потребує синхронізації часу на пристрої |
| Сфери використання | Апаратні токени з кнопкою, застарілі системи | Більшість сучасних веб-сервісів, додатки-автентифікатори |
Висновок
Двофакторна автентифікація — це не просто тренд, а необхідний стандарт цифрової гігієни. Розуміння того, як працюють алгоритми HOTP та TOTP, дозволяє поглянути на безпеку не як на чорну скриньку, а як на елегантну систему математичних і криптографічних правил.
TOTP, завдяки своїй прив'язці до часу, усунув головні недоліки свого попередника HOTP і став золотим стандартом для захисту облікових записів. Тому наступного разу, коли ви відкриватимете додаток для отримання 6-значного коду, ви знатимете: за цими цифрами стоїть надійний механізм синхронізації часу та криптографічного хешування.
