Xem mã nguồn của Mật khẩu một lần dựa trên thời gian

[[Tập tin:Aegis Authenticator 3.2 screenshot.png|nhỏ|Aegis Authenticator Android screenshot]]
'''Mật khẩu một lần dựa trên thời gian''' ([[tiếng Anh]]: '''Time-based one-time password''', viết tắt: '''TOTP''') là một [[Thuật toán#Thuật toán máy tính|thuật toán máy tính]] tạo ra [[mật khẩu một lần]] (OTP) sử dụng thời gian hiện tại làm nguồn duy nhất. Là một phần mở rộng của thuật toán [[mật khẩu một lần dựa trên HMAC]] (HOTP), thuật toán này đã được sử dụng làm tiêu chuẩn {{IETF RFC|6238}} của [[Lực lượng Chuyên trách về Kỹ thuật Liên mạng]] (IETF).<ref name="RFC6238">{{chú thích web|url=https://tools.ietf.org/html/rfc6238|title=RFC 6238 – TOTP: Time-Based One-Time Password Algorithm|access-date=July 13, 2011|archive-date=July 11, 2011|archive-url=https://web.archive.org/web/20110711124823/http://tools.ietf.org/html/rfc6238|url-status=live}}</ref> TOTP là nền tảng của [[Sáng kiến Xác thực mở]] (OATH) và được sử dụng trong một số hệ thống [[xác thực hai yếu tố]].

== Lịch sử ==

Thông qua sự hợp tác của một số thành viên [[OATH]], một dự thảo TOTP đã được phát triển để tạo ra một tiêu chuẩn được hỗ trợ bởi ngành công nghiệp. Nó bổ sung cho tiêu chuẩn HOTP một lần dựa trên sự kiện và nó cung cấp cho các tổ chức và doanh nghiệp [[người dùng cuối]] nhiều lựa chọn hơn trong việc lựa chọn các công nghệ phù hợp nhất với các yêu cầu ứng dụng và nguyên tắc [[bảo mật]] của họ. Vào năm 2008, OATH đã gửi một bản thảo đặc điểm kỹ thuật của TOTP cho [[IETF]]. Phiên bản này kết hợp tất cả các phản hồi và bình luận mà các tác giả nhận được từ cộng đồng kỹ thuật dựa trên các phiên bản trước được gửi tới IETF.<ref>{{chú thích web|url=http://www.openauthentication.org/news/20080408|title=OATH Submits TOTP: Time-Based One Time Password Specification to IETF|last=Alexander|first=Madison|work=Open Authentication|access-date=22 February 2010|archive-date=9 April 2013|archive-url=https://web.archive.org/web/20130409124046/http://www.openauthentication.org/news/20080408|url-status=live}}</ref> Tháng 5 năm 2011, TOTP chính thức trở thành tiêu chuẩn [[RFC]] 6238.<ref name="RFC6238" />

== Thuật toán ==

Để thiết lập xác thực TOTP, người xác thực và trình xác thực phải thiết lập trước cả tham số [[HOTP]] và tham số TOTP sau:
* ''T''{{sub|0}}, [[Thời gian Unix]] để bắt đầu đếm các bước thời gian (mặc định là 0),
* ''T{{sub|X}}'', một khoảng thời gian sẽ được sử dụng để tính toán giá trị của bộ đếm ''C{{sub|T}}'' (mặc định là 30 giây).

Cả trình xác thực và người xác thực đều tính toán giá trị TOTP, sau đó trình xác thực kiểm tra xem giá trị TOTP do người xác thực cung cấp có khớp với giá trị TOTP được tạo cục bộ hay không. Một số trình xác thực cho phép các giá trị lẽ ra phải được tạo trước hoặc sau thời gian hiện tại để tính đến độ lệch nhẹ của đồng hồ, độ trễ mạng và độ trễ của người dùng.

TOTP sử dụng thuật toán HOTP, thay thế bộ đếm bằng giá trị không giảm dựa trên thời gian hiện tại:

{{in5}} giá trị TOTP(''K'') = [[HOTP#Định nghĩa|Giá trị HOTP]](''K'', ''C{{sub|T}}''),

tính giá trị bộ đếm

<math display="block">C_T = \left\lfloor\frac{T - T_0}{T_X}\right\rfloor,</math>

tại đây mà
* ''C{{sub|T}}'' là số lượng thời lượng ''T{{sub|X}}'' giữa ''T''{{sub|0}} và ''T '',
* ''T'' là thời gian hiện tại tính bằng giây kể từ một [[epoch]] cụ thể,
* ''T''{{sub|0}} là epoch được chỉ định tính bằng giây kể từ [[Thời gian Unix|Unix epoch]] (ví dụ: nếu sử dụng [[thời gian Unix]], thì ''T''{{sub|0}} là bằng 0),
* ''T{{sub|X}}'' là độ dài của một khoảng thời gian (ví dụ: 30 giây).

Thời gian Unix không tăng lên một cách nghiêm ngặt. Khi một [[giây nhuận]] được chèn vào UTC, thời gian Unix lặp lại một giây. Nhưng một giây nhuận không làm cho [[phần nguyên]] của thời gian Unix giảm và ''C{{sub|T}}'' cũng không giảm miễn là ''T{{sub|X}}'' là bội số của một giây.

== Bảo mật ==

Không giống như [[mật khẩu]], mã TOTP chỉ sử dụng một lần, vì vậy thông tin xác thực bị xâm nhập chỉ có hiệu lực trong một thời gian giới hạn. Tuy nhiên, người dùng phải nhập mã TOTP vào trang xác thực, điều này có thể tạo ra khả năng xảy ra các [[Tấn công giả mạo|cuộc tấn công lừa đảo]]. Do khoảng thời gian ngắn để mã TOTP hợp lệ, kẻ tấn công phải ủy quyền thông tin đăng nhập trong thời gian thực.<ref>{{chú thích web|last=Umawing|first=Jovi|date=21 January 2019|access-date=9 August 2020|title=Has two-factor authentication been defeated? A spotlight on 2FA's latest challenge|url=https://blog.malwarebytes.com/cybercrime/2019/01/two-factor-authentication-defeated-spotlight-2fas-latest-challenge/|website=Malwarebytes Labs|language=en-US|archive-date=25 September 2020|archive-url=https://web.archive.org/web/20200925082641/https://blog.malwarebytes.com/cybercrime/2019/01/two-factor-authentication-defeated-spotlight-2fas-latest-challenge/|url-status=live}}</ref> 

Thông tin đăng nhập TOTP cũng dựa trên một mã bí mật được chia sẻ cho cả máy khách và máy chủ, tạo ra nhiều vị trí mà từ đó mã bí mật có thể bị đánh cắp.<ref>{{chú thích báo |title=Time-Based One-Time Passwords (TOTP) |url=https://www.transmitsecurity.com/blog/totp-the-good-the-bad-and-the-ugly |access-date=2 May 2022 |work=www.transmitsecurity.com |date=25 June 2020}}</ref> Kẻ tấn công có quyền truy cập vào mã bí mật được chia sẻ này có thể tạo mã TOTP mới, hợp lệ theo ý muốn. Đây có thể là một vấn đề cụ thể nếu kẻ tấn công vi phạm cơ sở dữ liệu xác thực lớn.<ref>{{chú thích báo|url=https://www.wired.com/2011/06/rsa-replaces-securid-tokens/|title=RSA Agrees to Replace Security Tokens After Admitting Compromise|last=Zetter|first=Kim|newspaper=WIRED|access-date=17 February 2017|language=en-US|archive-date=12 November 2020|archive-url=https://web.archive.org/web/20201112032021/https://www.wired.com/2011/06/rsa-replaces-securid-tokens/|url-status=live}}</ref>

== Xem thêm ==

* [[Botan (thư viện phần mềm)]]
* [[FreeOTP]]
* [[Google Authenticator]]
* [[đaOTP]]

== Tham khảo ==

{{tham khảo}}

== Liên kết ngoài ==
* [https://nbviewer.jupyter.org/github/algorithmic-space/cryptoy/blob/master/rfc6238.ipynb Step by step Python implementation in a Jupyter Notebook] {{Webarchive|url=https://web.archive.org/web/20190406214815/https://nbviewer.jupyter.org/github/algorithmic-space/cryptoy/blob/master/rfc6238.ipynb |date=2019-04-06 }}
* [https://www.docker.com/blog/designing-docker-hub-2fa/ Designing Docker Hub Two-Factor Authentication], (section "Using Time-Based One-Time Password (TOTP) Authentication").

[[Thể loại:Giao thức Internet]]
[[Thể loại:Điều khiển truy cập máy tính]]
[[Thể loại:Thuật toán mật mã]]
[[Thể loại:Xác thực]]