Ingeniería
4 sept 2024
Guía sencilla para entender TOTP y HOTP
En el mundo digital de hoy, la seguridad es una prioridad máxima. Todos hemos oído hablar de las contraseñas tradicionales y cómo no son tan seguras como pensábamos. Aquí es donde entran las contraseñas de un solo uso (OTPs). Ofrecen una forma más segura y dinámica de autenticar usuarios.
Hoy exploraremos dos métodos populares de OTP: Contraseña de Un Solo Uso Basada en Tiempo (TOTP) y Contraseña de Un Solo Uso Basada en HMAC (HOTP). ¿Cuáles son las diferencias entre ellos? ¿Y cómo decides cuál se adapta mejor a tus necesidades? Vamos a profundizar.
Entendiendo OTP
Primero lo primero, ¿qué es exactamente un OTP?
Un OTP es una contraseña única que solo se puede usar una vez para una sesión de inicio de sesión o transacción. Estas contraseñas suelen tener seis dígitos y se usan en sistemas de Autenticación de Dos Factores (2FA) y Autenticación de Múltiples Factores (MFA).
La principal ventaja de los OTPs es que son dinámicos y de corta duración, lo que los hace mucho más seguros que las contraseñas estáticas. Para más información, puedes leer nuestra guía completa sobre SMS OTP.
Ahora, vamos a profundizar en los dos principales tipos de OTPs.
Contraseña de Un Solo Uso Basada en Tiempo (TOTP)
¿Cómo funciona TOTP?
TOTP utiliza un algoritmo basado en tiempo donde el factor móvil es el tiempo Unix actual dividido por un valor de tiempo escalonado, normalmente establecido en 30 o 60 segundos. Esto significa que el OTP solo es válido por un corto periodo, mejorando la seguridad.
El algoritmo TOTP típicamente funciona de la siguiente manera:
Se establece un secreto compartido entre el servidor y el cliente.
Se determina el tiempo actual y se divide por el tiempo escalonado.
Este valor se combina con el secreto compartido usando una función de hash criptográfica.
El hash resultante se trunca para crear un OTP legible por humanos.
Beneficios y Desventajas del TOTP
✅ Beneficios:
Mayor seguridad debido al corto periodo de validez
Reduce la ventana de ataques potenciales
Auto-sincronizable (basado en el tiempo actual)
🚩 Desventajas:
Requiere sincronización de tiempo entre el dispositivo del usuario y el servidor
El OTP puede expirar antes de la entrada, lo que podría ser inconveniente
Sensible al desfase horario en dispositivos
Contraseña de Un Solo Uso Basada en HMAC (HOTP)
¿Cómo funciona HOTP?
HOTP se basa en un algoritmo basado en eventos. Cuando el usuario solicita un OTP, un contador se incrementa en ambos lados, cliente y servidor. Este contador, junto con una clave secreta compartida (conocida como la "semilla"), genera un OTP único. Este proceso utiliza la función de hash HMAC-SHA-1.
El algoritmo HOTP típicamente funciona de la siguiente manera:
Se establece un secreto compartido y un valor de contador inicial entre el servidor y el cliente.
Cuando se solicita un OTP, el valor del contador actual se combina con el secreto compartido usando HMAC-SHA-1.
El hash resultante se trunca para crear un OTP legible por humanos.
El contador se incrementa en ambos lados después de su uso.
Beneficios y Desventajas del HOTP
✅ Beneficios:
Flexible, ya que el OTP no expira hasta su uso
No requiere sincronización de tiempo
Puede ser implementado sin conexión a internet
🚩 Desventajas:
Potencialmente menos seguro debido al periodo de validez más largo
Riesgo de desincronización si se generan múltiples OTPs sin uso
Requiere una gestión segura del contador en ambos lados, cliente y servidor
Diferencias clave entre HOTP y TOTP
⏳ Expiración de OTP
Una de las principales diferencias es cuánto tiempo permanece válido el OTP. Los tokens HOTP no expiran hasta que se usan, lo que ofrece más flexibilidad. Por otro lado, los tokens TOTP expiran después de un periodo establecido, generalmente de 30-60 segundos, lo que mejora la seguridad pero requiere una entrada oportuna.
🔐 Comodidad vs. Seguridad
HOTP ofrece una experiencia más amigable sin restricciones de tiempo pero es menos seguro debido a la ventana de validación. TOTP, aunque requiere una entrada oportuna del OTP, es más seguro debido a su expiración basada en el tiempo.
🪢 Complejidad de Implementación
HOTP generalmente es más fácil de implementar porque no requiere sincronización de tiempo. TOTP, sin embargo, necesita sincronización de tiempo precisa, añadiendo una capa de complejidad pero también aumentando la seguridad.
Eligiendo entre HOTP y TOTP
Tu elección entre HOTP y TOTP depende de tus necesidades y circunstancias específicas:
Requisitos de Seguridad: Si la seguridad es tu principal prioridad, TOTP generalmente es la mejor opción.
Experiencia del Usuario: Si deseas evitar restricciones de tiempo para los usuarios, HOTP podría ser más adecuado.
Sincronización de Tiempo: Si mantener los dispositivos sincronizados es un desafío, HOTP puede ser una opción más práctica.
Recursos e Implementación: Si buscas algo rápido y fácil de implementar con menos recursos, HOTP es el camino a seguir.
Uso en Línea vs. Fuera de Línea: Para aplicaciones fuera de línea, HOTP podría ser más adecuado ya que no requiere comunicación en tiempo real con el servidor.
Ambos, HOTP y TOTP, mejoran significativamente la seguridad sobre las contraseñas tradicionales al ofrecer métodos de autenticación dinámicos y de un solo uso.
La naturaleza basada en el tiempo de TOTP lo hace generalmente más seguro, convirtiéndose en la elección preferida para la mayoría de las aplicaciones en línea modernas.
Al elegir entre HOTP y TOTP, considera tus requisitos de seguridad específicos, los objetivos de experiencia del usuario y las limitaciones de implementación. Cualquiera que sea el método que elijas, implementar sistemas sólidos de OTP puede mejorar significativamente tu postura de seguridad, protegiendo tus activos digitales del acceso no autorizado y asegurando una experiencia de usuario más segura.
¿Buscas implementar soluciones seguras de OTP para tu aplicación?
En Prelude.so, nos especializamos en proporcionar verificación avanzada TOTP por SMS e infraestructura de incorporación móvil a través de un conjunto de APIs unificadas.
Nuestra solución permite a las empresas:
Verificar a sus usuarios a nivel mundial a través de múltiples canales: SMS, WhatsApp, Viber o RCS
Prevenir el fraude de bombeo de SMS para proteger a sus usuarios (y su presupuesto)
Comenzar con la verificación de usuarios en menos de un día, con APIs fáciles de usar y documentación completa
Reducir su presupuesto de verificación a través de precios competitivos y facturación transparente
Ya sea que estés en medios sociales, citas, fintech, comercio electrónico, o cualquier otra industria que requiera verificación de usuarios, Prelude.so puede ayudarte a optimizar tus procesos de autenticación y aumentar la seguridad.
Artículos Recientes
