Bis 2010 waren gestohlene Passwörter der übliche Weg in fremde Konten, und Hardware-Token-Systeme waren teuer und proprietär. Die Branchengruppe OATH entwickelte einen zeitbasierten Einmalpasswort-Algorithmus, sodass ein Code aus der aktuellen Zeit und einem gemeinsamen Geheimnis abgeleitet werden konnte.
Das Design bedeutete, dass der Server nie einen Zustand verfolgen musste: Beide Seiten führen HMAC über denselben Zeitabschnitt aus, sodass ein Telefon und eine Website sich alle 30 Sekunden auf einen frischen Code einigen. Die IETF veröffentlichte das Ergebnis im Mai 2011 als RFC 6238, einen offenen Standard, den jeder implementieren konnte.
Google lieferte daraufhin Google Authenticator als kostenlose App aus, in die jeder Codes durch Scannen eines QR-Codes einbinden konnte. Jeder Dienst konnte denselben offenen Standard übernehmen, und Zwei-Faktor-Authentifizierung wurde zu einem Kontrollkästchen statt zu einem Hardware-Kauf, was sich über Banken, soziale Netzwerke und Entwicklerwerkzeuge verbreitete.
Den Code aus der Zeit ableiten, sodass kein Serverzustand nötig ist
Zeit ersetzt Zähler, sodass Server und Telefon ohne Zustand synchron bleiben
Ein offener RFC bedeutete, dass kein Anbieter das Format besaß
Googles kostenlose App beseitigte die Hardware-Hürde für die Einführung
Ein gestohlenes Passwort allein reichte nicht mehr aus, um einzudringen
Liefere die kostenlose Implementierung zusammen mit dem offenen Standard aus, und der Standard setzt sich selbst durch – ganz ohne Vertriebsteam.
TOTP wurde zum Standard-Zweitfaktor für Millionen von Diensten und ist in Passwort-Manager und Plattform-Authentifikatoren integriert. Phishing-resistente WebAuthn-Passkeys haben es inzwischen begonnen zu verdrängen, doch TOTP bleibt der grundlegende Zwei-Faktor-Standard.
DEN BELEGEN FOLGEN
Die Quellen
- Time-based one-time password Wikipedia · en.wikipedia.org
- RFC 6238: TOTP: Time-Based One-Time Password Algorithm IETF / RFC Editor · datatracker.ietf.org