TOTP и WebAuthn: как работают одноразовые коды и ключи безопасности

Коротко: TOTP создаёт шестизначный код каждые 30 секунд из общего секрета и времени. WebAuthn заменяет коды парой ключей, которая работает только на настоящем сайте. Оба — формы 2FA.

TOTP (одноразовый пароль по времени)

1. При настройке сайт и приложение-аутентификатор делят секрет (обычно в виде QR-кода).
2. Каждые 30 секунд оба вычисляют из секрета и часов один и тот же код.
3. Вы вводите код, сайт сравнивает.

WebAuthn

У устройства или ключа безопасности есть пара ключей для конкретного сайта; закрытый ключ никогда не покидает устройство. Фишинговый сайт бесполезен, так как ключ работает только для настоящего домена.

См. также: 2FA, passkeys