Zaman tabanlı tek seferlik parola algoritması sayfasının kaynağını görüntüle

[[Dosya:FreeOTP Android screenshot.png|küçükresim|Zaman tabanlı tek seferlik parola algoritması (TOTP) uygulaması FreeOTP'nin ekran görüntüsü.]]
'''Zaman tabanlı tek seferlik parola algoritması''' ('''TOTP'''), üretildiği zaman aralığının benzersizliğini alarak, [[tek seferlik parola]] üreten bir [[HMAC Tabanlı Tek Seferlik Parola|HMAC Tabanlı Bir-Zamanlı Parola algoritmasının]] (HOTP) uzantısıdır. [[IETF|İnternet Mühendisliği Görev Gücü]] standardı RFC 6238 olarak kabul edilmiştir.<ref name="RFC6238" /> [[Initiative For Open Authentication|Açık Kimlik Doğrulama Girişiminin]] (OATH) temel taşıdır ve [[Çok faktörlü kimlik doğrulaması|iki faktörlü kimlik doğrulama]] sistemlerinde kullanılır.

Ağ ya da insan kaynaklı gecikme veya senkronize edilmemiş saatler nedeniyle, tek seferlik parola, kimlik doğrulayıcı ile kimliği doğrulanacak taraf arasında bir süre boyunca aktif olmalıdır. Burada, taraflar arasında geçerliliği sağlamak için zaman daha büyük sürelere (örneğin, 30 saniye) düşürülür. Bununla birlikte, HOTP'de olduğu gibi, azalan benzersizlik, oran sınırlaması gibi ek önlemler gerektirir.

== Algoritma ==
TOTP kimlik doğrulaması oluşturmak için kimliği doğrulanacak taraf ve kimlik doğrulayıcı hem [[HMAC Tabanlı Tek Seferlik Parola|HOTP parametrelerini]] hem de aşağıdaki TOTP parametrelerini önceden belirlemelidir:

* ''T<sub>0</sub>,'' zaman adımlarını saymaya başlamak için kullanılan Unix zamanı (varsayılan 0'dır)
* ''T<sub>x</sub>,'' sayaç C<sub>T</sub> değerini hesaplamak için kullanılacak bir zaman aralığı (varsayılan 30 saniyedir)

Hem kimlik doğrulayıcı hem de kimliği doğrulanacak taraf, TOTP değerini hesaplar, ardından kimlik doğrulayıcı, kimliği doğrulanacak tarafından sağlanan TOTP değeriyle, yerel olarak üretilen TOTP değerinin aynı olup olmadığını kontrol eder. Bazı kimlik doğrulayıcılar, saatteki sapma, ağ gecikmesi veya kullanıcı gecikmelerinin hesaba katılması için mevcut saatten önce veya sonra üretilmiş olması gereken değerlere izin verir.

=== TOTP değeri ===
TOTP, HOTP algoritmasını kullanarak sayacı geçerli zamana göre azalan olmayan bir değerle değiştirir.

: TOTP &thinsp; değer (''K'') = [[HMAC Tabanlı Tek Seferlik Parola|HOTP &thinsp; değer]] (''K'', ''C<sub>T</sub>'')

Zaman sayacı, ''C<sub>T</sub>,'' tam sayı cinsinden olacak şekilde süre sayar. ''T<sub>x</sub>,'' [[Unix zaman]], ''T''<nowiki/>'yi temel alan bir değerdir. ''T''<sub>0</sub> bir Unix dönemidir (epoch). Diğer değerler, tam sayı saniye cinsindendir.

:<math>C_T = \left\lfloor\frac{T - T_0}{T_X}\right\rfloor,</math>

Unix zamanının, özellikle artık saniye UTC'ye eklendiği durumlar başta olmak üzere, monotonik olmadığını unutmayın.

== Pratik düşünceler ==
Kimlik doğrulama işlemlerinin çalışması için kimliği doğrulanacak taraf ve kimlik doğrulayıcının saatlerinin kabaca senkronize edilmesi gerekir (kimlik doğrulayıcı tipik olarak kimliği doğrulanacak kişinin zaman bilgisinden ± 1 zaman aralığında farklılık gösteren zaman bilgisiyle oluşturulan tek seferlik parolaları kabul eder).

== Zayıf yönleri ve güvenlik açıkları ==
TOTP değerleri, diğer parolaların çalınabildiği gibi çalınabilir. Ancak, saldırganların kimlik bilgilerini sonradan toplamak yerine, gerçek zamanlı olarak vekil sunucuya ihtiyaçları vardır.

Oturum açma girişimlerini sınırlamayan uygulamalar, değerlerin kaba kuvvet yöntemiyle çalınmasına açık kapı bırakır.

Paylaşılan bilgiyi çalan bir saldırgan, ilerisi için yeni ve geçerli bir TOTP değeri üretebilir. Saldırgan büyük bir kimlik doğrulama veritabanını ihlal ederse, bu ciddi bir problem olabilir.<ref>[https://www.wired.com/2011/06/rsa-replaces-securid-tokens/ {{Webarşiv|url=https://web.archive.org/web/20201112032021/https://www.wired.com/2011/06/rsa-replaces-securid-tokens/ |tarih=12 Kasım 2020 }}<nowiki>]</nowiki>]</ref>

TOTP aygıtlarının pillerinin tükenmesi, senkronizasyonun bozulmasına neden olabileceği veya TOTP yazılımlarının bulunduğu telefonların çalınma ya da kaybolabilme durumu olabileceği için, tüm gerçek dünyadaki uygulamaların korumayı atlatma/iptal etme yöntemleri vardır (örneğin: basılı kodlar, e-posta sıfırlama yöntemi vs.). Bu, hatırı sayılır bir destek yüküne neden olabilir ve sahte kullanıcılara yararlanabilecekleri ek yollar sunar.

TOTP değerleri ekranda gösterdikleri süreden daha uzun süre geçerlidir (genellikle iki katı). Bu, kimliği doğrulayan ve kimliği doğrulanacak tarafların saatlerinin arasında büyük bir fark olabileceği durumlar için bir imtiyazdır.

Tüm tek seferlik parola tabanlı kimlik doğrulama şemaları (diğerlerinin yanı sıra TOTP ve HOTP dahil olmak üzere), yine de ele geçirilebilir, yani bir saldırgan, oturum açtıktan sonra kullanıcının oturumunu yönetebilir.

== Tarihçe ==
Endüstri destekli bir standart oluşturmak için birkaç OATH üyesinin işbirliği ile bir TOTP taslağı geliştirilmiştir. Bu standart, etkinlik tabanlı tek seferlik standart HOTP'yi tamamlar ve son kullanıcı kurum ve kuruluşlarına uygulama gereksinimlerine ve güvenlik yönergelerine en uygun teknolojileri seçmede daha fazla seçenek sunar. 2008 yılında, OATH, şartnamenin taslak bir versiyonunu IETF'ye sunmuştur. Bu sürüm, yazarların IETF'ye sunulan önceki sürümlere dayanarak teknik topluluktan aldığı tüm geri bildirimleri ve yorumları içerir.<ref>{{Web kaynağı |url=http://www.openauthentication.org/news/20080408 |başlık=Arşivlenmiş kopya |erişimtarihi=7 Nisan 2019 |arşivurl=https://www.webcitation.org/6DtdCt3JN?url=http://www.openauthentication.org/news/20080408 |arşivtarihi=23 Ocak 2013 |ölüurl=evet }}</ref>  Mayıs 2011'de, TOTP resmen [[Yorumlar İçin Talep|RFC]] 6238 standardı olmuştur.<ref name="RFC6238">{{Web kaynağı | arşivengelli = evet}}</ref>

== Kaynakça ==
<references></references>

== Dış bağlantılar ==

* [https://nbviewer.jupyter.org/github/algorithmic-space/cryptoy/blob/master/rfc6238.ipynb Jupyter Not Defteri'nde adım adım Python uygulaması] {{Webarşiv|url=https://web.archive.org/web/20190406214815/https://nbviewer.jupyter.org/github/algorithmic-space/cryptoy/blob/master/rfc6238.ipynb |tarih=6 Nisan 2019 }}

[[Kategori:Kriptografik algoritmalar]]
[[Kategori:Bilgisayar erişim kontrolü]]
[[Kategori:İnternet protokolleri]]
[[Kategori:İncelenmemiş çeviri içeren sayfalar]]