Senha descartável
Uma senha descartável, ou One-Time Password (OTP), é uma credencial de segurança que possui validade extremamente limitada. Ela é projetada para ser utilizada uma única vez, seja para uma sessão de login específica, uma transação financeira ou dentro de um curto intervalo de tempo predefinido em sistemas de computadores e outros dispositivos digitais, aumentando significativamente a segurança.
Pontos-chave
- Senhas descartáveis são válidas para uma única sessão, transação ou período de tempo.
- Existem padrões de OTP baseados em HMAC (HOTP) e tempo (TOTP), descritos em RFCs.
- HOTP e TOTP utilizam uma chave secreta compartilhada para gerar senhas.
- Serviços como Google Authenticator empregam esses padrões de OTP.
- O provedor do serviço e o gerador de OTP calculam o mesmo valor para validação.
Existem diversos padrões para senhas descartáveis, alguns formalizados em documentos técnicos conhecidos como RFCs (Request for Comments). Dois dos mais proeminentes são o HOTP, baseado em um autenticador de mensagem, e o TOTP, uma especialização do HOTP que incorpora o fator tempo. Esses padrões são a base para geradores de OTP populares, como o Google Authenticator.
Como Funcionam HOTP e TOTP
Quando um usuário conecta sua conta de um serviço a um aplicativo gerador de OTP (como o Google Authenticator), o provedor do serviço gera uma chave secreta. Essa chave é normalmente compartilhada com o usuário através de um código QR, que é lido pelo gerador de OTP. A partir desse momento, quando o usuário abre o gerador de OTP, ele utiliza essa chave secreta para codificar uma mensagem usando o algoritmo HMAC (Hash-based Message Authentication Code). No caso do HOTP, a mensagem pode ser um contador que incrementa a cada uso. No TOTP, a mensagem é baseada no tempo atual. Uma porção de, no mínimo, 6 dígitos dessa mensagem codificada é então extraída e exibida ao usuário como a senha descartável. Simultaneamente, o provedor do serviço executa exatamente o mesmo algoritmo, com a mesma chave e a mesma base (contador ou tempo), para calcular o valor esperado. A senha enviada pelo usuário é então validada contra esse valor calculado pelo provedor, garantindo a autenticidade.
