Was ist TOTP?

Ein zeitbasiertes Einmalpasswort (TOTP) ist ein kurzlebiger numerischer Code, der aus einem gemeinsamen Geheimnis und der aktuellen Uhrzeit generiert und alle 30 Sekunden automatisch aktualisiert wird. Eine Authentifizierungs-App generiert ihn nach dem einmaligen Scannen eines QR-Codes, und er dient als zweiter Authentifizierungsfaktor, der nachweist, dass der Benutzer über ein bestimmtes registriertes Gerät verfügt.

Die wichtigsten Erkenntnisse

• TOTP stellt sicher, dass ein Benutzer ein registriertes Gerät besitzt und nicht nur ein Passwort.
• Die Codes werden aus einem gemeinsamen Geheimnis und dem aktuellen Zeitschritt abgeleitet.
• Eine Authentifizierungs-App generiert nach dem einmaligen Scannen eines QR-Codes Codes im Offline-Modus.
• Die Codes werden in der Regel alle 30 Sekunden aktualisiert, wodurch Replay-Angriffe eingeschränkt werden.
• Versa SASE Sowohl Client als auch Concerto bieten TOTP als zweiten Authentifizierungsfaktor an.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · TOTP & Versa · Häufig gestellte Fragen

Warum ist TOTP wichtig?

Passwörter allein sind das schwächste Glied beim Fernzugriff: Sie werden durch Phishing ergaunert, wiederverwendet und bei Credential-Stuffing-Angriffen gesammelt. Ein zweiter Faktor schließt diese Lücke, indem er einen Nachweis verlangt, den ein Angreifer nicht aus einem Datenleck kopieren kann – nämlich, dass der Benutzer ein bestimmtes Gerät besitzt. TOTP liefert diesen Nachweis offline: Der Code wird lokal aus einem Geheimnis berechnet, das das Gerät bereits enthält, sodass er auch dann weiterhin funktioniert, wenn SMS verzögert oder abgefangen werden.

Da es sich bei TOTP um einen offenen Standard handelt, kann jede Authentifizierungs-App denselben gemeinsamen Schlüssel registrieren und kompatible Codes generieren, sodass Unternehmen nicht an die App eines bestimmten Anbieters gebunden sind. Diese Portabilität sowie die Widerstandsfähigkeit gegen Abhörversuche sind der Grund, warum Rahmenwerke wie NIST SP 800-63B TOTP empfehlen und warum der „ Versa “SASE Client diese Methode neben der Zertifikats- und SAML-Authentifizierung anbietet.

Was ist TOTP?

TOTP wird in RFC 6238 als zeitbasierte Variante von HOTP (HMAC-basiertes Einmalpasswort, RFC 4226) definiert. Die Registrierung beginnt damit, dass der Server ein zufälliges gemeinsames Geheimnis generiert und dieses – in der Regel in einem QR-Code – verschlüsselt, sodass die Authentifizierungs-App es importieren kann, ohne dass der Benutzer eine lange Zeichenfolge von Hand eingeben muss.

Um einen Code zu erzeugen, teilt die App die aktuelle Unix-Zeit durch einen festen Schritt (in der Regel 30 Sekunden), berechnet einen HMAC über das Geheimnis und diesen Zähler und kürzt das Ergebnis auf eine kurze Zahlenfolge – normalerweise 6 Ziffern. Der Server führt dieselbe Berechnung durch und vergleicht die Ergebnisse, wobei er ein kleines Fenster benachbarter Schritte für Uhrenabweichungen toleriert. Der Code kann nach Ablauf seines Schritts nicht wiederverwendet werden.

Arten von TOTP

TOTP ist ein Zweig der OATH-Familie von Einmalpasswörtern. HOTP (RFC 4226) ist das ereignisbasierte Pendant: Es erhöht bei jeder Codeanforderung einen Zähler, anstatt die Uhrzeit zu verfolgen. Dies eignet sich für Hardware-Token mit einer physischen Taste, kann jedoch zu Synchronisationsfehlern führen, wenn ein Code nicht verwendet wird. TOTP hat den Zähler durch die Zeit ersetzt, wodurch Client und Server automatisch synchronisiert bleiben.

Innerhalb von TOTP selbst variieren die Implementierungen hinsichtlich dreier Parameter: des Hash-Algorithmus (standardmäßig SHA-1, alternativ SHA-256 und SHA-512), der Codelänge (Standard sind 6 Ziffern; manche verwenden 8) und des Zeitschritts (typischerweise 30 Sekunden; einige wenige verwenden 60). Auch die Bereitstellung variiert – die meisten nutzen eine Smartphone-App, aber auch Hardware-Sicherheitsschlüssel implementieren denselben Algorithmus.

TOTP & Versa

Der „ Versa “SASE Client unterstützt TOTP als eine seiner Optionen für die Multi-Faktor-Authentifizierung, neben der SMS- oder E-Mail-basierten OTP-Authentifizierung und der x509-Zertifikatsauthentifizierung, die auf der LDAP-, RADIUS- oder SAML-Benutzerauthentifizierung aufbaut. TOTP wird über einen „ Versa “-Director-Knoten (VOS-Version 22.1.3 und höher) oder in Concerto über eine „Secure Client Access Rule“ aktiviert: Unter „Client-Konfiguration“ werden zeitbasierte Codes aktiviert, indem „MFA“ aktiviert und der Authentifizierungsdienst „Time-Based OTP (TOTP)“ ausgewählt wird; ab Concerto-Version 12.2.2 kann der QR-Code für die Registrierung auch per E-Mail versendet werden.

Wenn bei der Erstregistrierung TOTP erforderlich ist, zeigt der Client einen QR-Code an; der Benutzer scannt diesen mit einer beliebigen Authentifizierungs-App und gibt den daraus resultierenden Code ein, um die Registrierung abzuschließen. Den vollständigen Arbeitsablauf finden Sie unter „Verwendung der Client-Anwendung Versa SASE “, „Verwendung des Clients Versa SASE mit Concerto“ und „End-to-End-Konfiguration von Concerto SASE “.

Häufig gestellte Fragen

Was ist der Unterschied zwischen TOTP und HOTP?

Bei HOTP wird der Zähler bei jeder Codeanforderung um einen Schritt erhöht, sodass Client und Server aus dem Takt geraten können, wenn Codes übersprungen werden. Bei TOTP wird der Zähler durch die aktuelle Uhrzeit in festen Schritten ersetzt, wodurch beide Seiten automatisch synchronisiert bleiben – weshalb die meisten Authentifizierungs-Apps TOTP verwenden.

Wie registriere ich ein Gerät für TOTP?

Der Server generiert ein gemeinsames Geheimnis und zeigt es als QR-Code an. Durch das Scannen mit einer Authentifizierungs-App wird das Geheimnis importiert; die App berechnet anschließend alle 30 Sekunden einen neuen Code, ohne dass dabei weiterer Datenaustausch mit dem Server stattfindet.

Warum gilt TOTP als sicherer als SMS-basierte OTP?

TOTP-Codes werden lokal anhand eines bereits auf dem Gerät gespeicherten Geheimnisses berechnet, sodass sie während der Übertragung nicht abgefangen werden können, wie dies bei SMS-Nachrichten der Fall ist – auch nicht durch SIM-Swap-Angriffe, bei denen die Telefonnummer des Opfers missbraucht wird. TOTP funktioniert zudem auch ohne Mobilfunk- oder WLAN-Verbindung.

Was passiert, wenn die Uhr meines Geräts abdriftet?

Da TOTP-Codes auf der Grundlage der aktuellen Uhrzeit berechnet werden, erzeugt eine Geräteuhr, die zu stark von der Serveruhr abweicht, Codes, die nicht mehr gültig sind. Server akzeptieren in der Regel ein kleines Zeitfenster benachbarter Zeitschritte, um geringfügige Abweichungen auszugleichen; bei anhaltenden Abweichungen muss das Gerät neu synchronisiert werden.

Wie nutzt „ Versa “ TOTP für den „ SASE “-Client?

Der „ Versa “SASE -Client bietet TOTP als zweiten Authentifizierungsfaktor bei der Registrierung und Anmeldung an, der über den „ Versa Director“ oder eine „Concerto Secure“-Client-Zugriffsregel konfiguriert wird. Der Client zeigt einmalig einen QR-Code an; nach dem Scannen dieses Codes ist bei späteren Anmeldungen lediglich der aktuelle TOTP-Code erforderlich.

Mehr zu TOTP

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über TOTP informieren, sollten Sie sich als Nächstes diese Artikel ansehen.