L'Authenticator gratuit de Google a fait des codes à usage unique basés sur le temps la norme de la 2FA

En 2010, les mots de passe volés étaient le moyen par défaut d'accéder aux comptes, et les systèmes de jetons matériels étaient coûteux et propriétaires. Le groupe industriel OATH a développé un algorithme de mot de passe à usage unique basé sur le temps, afin qu'un code puisse être dérivé de l'heure courante et d'un secret partagé.

Cette conception signifiait que le serveur n'avait jamais à suivre d'état : les deux parties exécutent HMAC sur le même pas de temps, de sorte qu'un téléphone et un site web s'accordent sur un code frais toutes les 30 secondes. L'IETF a publié le résultat sous le nom de RFC 6238 en mai 2011, une norme ouverte que chacun pouvait implémenter.

Google a ensuite distribué Google Authenticator sous forme d'application gratuite dans laquelle chacun pouvait enrôler des codes en scannant un QR code. Tout service pouvait adopter la même norme ouverte, et l'authentification à deux facteurs est devenue une simple case à cocher plutôt qu'un achat de matériel, se répandant dans les banques, les réseaux sociaux et les outils de développement.

Dériver le code à partir du temps, afin qu'aucun état serveur ne soit nécessaire

Le temps remplace les compteurs, de sorte que le serveur et le téléphone restent synchronisés sans état

Une RFC ouverte signifiait qu'aucun fournisseur ne possédait le format

L'application gratuite de Google a supprimé la barrière matérielle à l'adoption

Un mot de passe volé seul ne suffisait plus pour s'introduire

Diffusez l'implémentation gratuite en même temps que la norme ouverte, et la norme s'adopte d'elle-même — sans force de vente nécessaire.

Le TOTP est devenu le second facteur par défaut pour des millions de services et est intégré aux gestionnaires de mots de passe et aux authentificateurs de plateforme. Les clés d'accès WebAuthn résistantes à l'hameçonnage ont depuis commencé à le supplanter, mais le TOTP reste la norme de référence pour l'authentification à deux facteurs.