¿Qué es el TOTP?

Una contraseña de un solo uso basada en el tiempo (TOTP) es un código numérico de corta duración generado a partir de un secreto compartido y la hora actual, que se actualiza automáticamente cada 30 segundos. Una aplicación de autenticación lo genera tras escanear un código QR una sola vez, y sirve como segundo factor de autenticación que demuestra que el usuario posee un dispositivo específico registrado.

Puntos clave

• El método TOTP verifica que el usuario posea un dispositivo registrado, no solo una contraseña.
• Los códigos se calculan a partir de un secreto compartido y del intervalo de tiempo actual.
• Una aplicación de autenticación genera códigos sin conexión tras escanear un código QR una vez.
• Los códigos suelen actualizarse cada 30 segundos, lo que limita los ataques de repetición.
• Versa SASE Tanto Client como Concerto ofrecen el TOTP como segundo factor de autenticación.

En esta página: Por qué es importante · Cómo funciona · Tipos · TOTP y Versa · Preguntas frecuentes

¿Por qué es importante el TOTP?

Las contraseñas por sí solas son el eslabón más débil del acceso remoto: son objeto de phishing, se reutilizan y se recopilan en ataques de «credential stuffing». Un segundo factor subsana esa vulnerabilidad al exigir una prueba que un atacante no puede copiar a partir de una filtración: que el usuario posea un dispositivo específico. El TOTP proporciona esa prueba sin conexión: el código se calcula localmente a partir de un secreto que el dispositivo ya contiene, por lo que sigue funcionando incluso cuando los SMS se retrasan o son interceptados.

Dado que TOTP es un estándar abierto, cualquier aplicación de autenticación puede registrar el mismo secreto compartido y generar códigos compatibles, por lo que las organizaciones no están limitadas a la aplicación de un único proveedor. Esa portabilidad, junto con su resistencia a la interceptación, es la razón por la que marcos como el NIST SP 800-63B recomiendan TOTP, y por la que el cliente de Versa SASE lo ofrece junto con la autenticación mediante certificado y SAML.

¿Qué es el TOTP?

El TOTP se define en el RFC 6238 como una variante basada en el tiempo del HOTP (contraseña de un solo uso basada en HMAC, RFC 4226). El proceso de registro comienza cuando el servidor genera un secreto compartido aleatorio y lo codifica —normalmente dentro de un código QR— para que la aplicación de autenticación pueda importarlo sin que el usuario tenga que escribir manualmente una cadena larga.

Para generar un código, la aplicación divide el tiempo Unix actual por un intervalo fijo (normalmente de 30 segundos), calcula un HMAC sobre el secreto y ese contador, y trunca el resultado a una cadena numérica corta —normalmente de 6 dígitos—. El servidor realiza el mismo cálculo y compara los resultados, tolerando un pequeño margen de pasos adyacentes para compensar la deriva del reloj. El código no se puede reutilizar una vez que expira su intervalo.

Tipos de TOTP

TOTP es una de las variantes de la familia de contraseñas de un solo uso OATH. HOTP (RFC 4226) es su variante basada en eventos: avanza un contador cada vez que se solicita un código, en lugar de seguir el reloj, lo que resulta adecuado para los tokens de hardware con un botón físico, pero puede desincronizarse si un código no se utiliza. TOTP sustituyó el contador por el tiempo, lo que mantiene al cliente y al servidor sincronizados automáticamente.

Dentro del propio TOTP, las implementaciones varían en función de tres parámetros: el algoritmo de hash (SHA-1 por defecto, con SHA-256 y SHA-512 como alternativas), la longitud del código (lo habitual son 6 dígitos; algunos utilizan 8) y el intervalo de tiempo (lo habitual son 30 segundos; unos pocos utilizan 60). La forma de entrega también varía: la mayoría se basa en una aplicación móvil, pero las claves de seguridad de hardware implementan el mismo algoritmo.

TOTP y Versa

El cliente « Versa »SASE admite TOTP como una de sus opciones de autenticación multifactorial, junto con la autenticación mediante OTP por SMS o correo electrónico y la autenticación mediante certificados x509, integradas en la autenticación de usuarios mediante LDAP, RADIUS o SAML. La autenticación TOTP se habilita desde un nodo Director de Versa (versión 22.1.3 de VOS y posteriores) o, en Concerto, desde una regla de acceso seguro para clientes: en «Configuración del cliente», al habilitar la autenticación multifactorial (MFA) y seleccionar el «Servicio de autenticación OTP basado en el tiempo (TOTP)», se activan los códigos basados en el tiempo; la versión 12.2.2 de Concerto y posteriores también pueden enviar el código QR de registro por correo electrónico.

Durante el registro inicial, si se requiere TOTP, el cliente muestra un código QR; el usuario lo escanea con cualquier aplicación de autenticación e introduce el código resultante para completar el registro. Consulte «Uso de la aplicación de cliente Versa SASE », «Uso del cliente Versa SASE con Concerto» y «Configuración de extremo a extremo de Concerto SASE » para conocer el flujo de trabajo completo.

Preguntas frecuentes

¿Cuál es la diferencia entre TOTP y HOTP?

El método HOTP avanza un contador cada vez que se solicita un código, por lo que el cliente y el servidor pueden desincronizarse si se omiten códigos. El método TOTP sustituye el contador por la hora actual en intervalos fijos, lo que mantiene ambas partes sincronizadas automáticamente; de ahí que la mayoría de las aplicaciones de autenticación utilicen el método TOTP.

¿Cómo puedo registrar un dispositivo en TOTP?

El servidor genera un secreto compartido y lo muestra en forma de código QR. Al escanearlo con una aplicación de autenticación, se importa el secreto; a continuación, la aplicación genera un código nuevo cada 30 segundos sin necesidad de realizar ningún otro intercambio de datos con el servidor.

¿Por qué se considera que el TOTP es más seguro que el OTP por SMS?

Los códigos TOTP se calculan localmente a partir de un secreto que ya se encuentra en el dispositivo, por lo que no pueden ser interceptados durante la transmisión, como ocurre con los mensajes SMS, ni siquiera mediante ataques de intercambio de tarjetas SIM que se apropian del número de teléfono de la víctima. El sistema TOTP también funciona sin conexión móvil ni Wi-Fi.

¿Qué ocurre si el reloj de mi dispositivo se desvía?

Dado que los códigos TOTP se calculan a partir de la hora actual, si el reloj de un dispositivo presenta una diferencia demasiado grande con respecto al del servidor, se generan códigos que ya no son válidos. Los servidores suelen aceptar un pequeño margen de intervalos de tiempo adyacentes para compensar pequeñas desviaciones; si la diferencia persiste, es necesario volver a sincronizar el dispositivo.

¿Cómo utiliza Versa el método TOTP para el cliente SASE ?

El cliente « Versa » (SASE ) ofrece TOTP como segundo factor de autenticación durante el registro y el inicio de sesión, configurado desde Versa Director o mediante una regla de acceso de cliente de Concerto Secure. El cliente muestra un código QR una sola vez; tras escanearlo, los inicios de sesión posteriores solo requieren el código TOTP actual.

Más información sobre el TOTP

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre el TOTP, te recomiendo que eches un vistazo a estos artículos a continuación.