TOTP і WebAuthn: як працюють одноразові коди та ключі безпеки

Коротко: TOTP створює шестицифровий код кожні 30 секунд зі спільного секрету та часу. WebAuthn замінює коди парою ключів, яка працює лише на справжньому сайті. Обидва — форми 2FA.

TOTP (одноразовий пароль за часом)

1. Під час налаштування сайт і застосунок-автентифікатор ділять секрет (зазвичай у вигляді QR-коду).
2. Кожні 30 секунд обидва обчислюють зі секрету й годинника один і той самий код.
3. Ви вводите код, сайт порівнює.

WebAuthn

У пристрою чи ключа безпеки є пара ключів для конкретного сайту; закритий ключ ніколи не залишає пристрій. Фішинговий сайт марний, бо ключ працює лише для справжнього домену.

Див. також: 2FA, passkeys