Zeitbasierte Einmalpasswörter (TOTP)

Zeitbasierte Einmalpasswörter (TOTP) – Temporäre Codes für sichere Authentifizierung

Zeitbasierte Einmalpasswörter (TOTP) sind temporäre, nur für eine kurze Zeit gültige Passwörter, die in der Zwei-Faktor-Authentifizierung (2FA) eingesetzt werden. Sie erhöhen die Sicherheit, indem sie eine zusätzliche Schutzebene zu herkömmlichen Passwörtern hinzufügen. TOTP-Codes basieren auf einem gemeinsamen geheimen Schlüssel und der aktuellen Uhrzeit.

Wie funktioniert TOTP?

• Geheimer Schlüssel: Der Nutzer und der Dienst teilen sich einen geheimen Schlüssel (Secret Key), der bei der Einrichtung der 2FA generiert wird.
• Zeitabhängige Berechnung: Mit dem geheimen Schlüssel und der aktuellen Zeit wird ein numerischer Code erzeugt, der meist 6 bis 8 Stellen umfasst.
• Gültigkeitsdauer: Der TOTP-Code ist nur für eine kurze Zeit gültig, üblicherweise 30 Sekunden.
• Validierung: Der Server berechnet den erwarteten Code basierend auf dem gleichen geheimen Schlüssel und der Zeit und vergleicht ihn mit dem eingegebenen Code.

Technischer Hintergrund

TOTP basiert auf dem Algorithmus, der in der Spezifikation RFC 6238 definiert ist. Er verwendet die folgenden Komponenten:

• HMAC (Hash-based Message Authentication Code): Ein kryptografischer Algorithmus, der den geheimen Schlüssel und die aktuelle Zeit kombiniert, um den Code zu erzeugen.
• Unix-Timestamp: Die aktuelle Zeit wird in Intervallen (z. B. 30 Sekunden) unterteilt, um sicherzustellen, dass der Code regelmäßig wechselt.

Beispiele für TOTP-Anwendungen

• Authentifizierungs-Apps: Apps wie Google Authenticator, Microsoft Authenticator oder Authy generieren zeitbasierte Einmalpasswörter.
• Online-Dienste: Viele Plattformen wie E-Mail-Anbieter, Cloud-Dienste und soziale Netzwerke nutzen TOTP für die 2FA.
• VPNs und Netzwerksysteme: TOTP wird auch in Unternehmensumgebungen verwendet, um den Zugang zu sensiblen Netzwerken zu schützen.

Vorteile von TOTP

• Erhöhte Sicherheit: Selbst wenn ein statisches Passwort kompromittiert wird, ist der Zugang ohne den zeitbasierten Code nicht möglich.
• Keine Internetverbindung erforderlich: TOTP-Codes werden lokal auf dem Gerät generiert und erfordern keine Online-Kommunikation.
• Einfach zu implementieren: Viele Dienste und Systeme unterstützen TOTP nahtlos.

Herausforderungen und Einschränkungen

• Synchronisierung: Die Systemzeit des Servers und des Geräts des Nutzers müssen genau übereinstimmen, um den Code korrekt zu validieren.
• Verlust des Geräts: Wenn das Gerät mit der TOTP-App verloren geht, kann es schwierig sein, Zugriff auf die Dienste wiederherzustellen.

Einrichtung von TOTP

1. Der Nutzer scannt einen QR-Code, der den geheimen Schlüssel enthält, mit einer Authentifizierungs-App.
2. Die App beginnt, zeitbasierte Einmalpasswörter zu generieren.
3. Der Dienst fordert den Nutzer auf, einen generierten Code einzugeben, um die Einrichtung abzuschließen.

Bedeutung in der modernen IT-Sicherheit

TOTP ist eine der effektivsten und am weitesten verbreiteten Methoden zur Implementierung von Zwei-Faktor-Authentifizierung. Es schützt Benutzerkonten vor unbefugtem Zugriff, selbst wenn ein Angreifer das primäre Passwort kennt. In Kombination mit weiteren Sicherheitsmaßnahmen wie Biometrie oder Hardware-Token bietet TOTP eine starke Grundlage für den Schutz sensibler Informationen.

Alle Angaben ohne Gewähr.