مولّد رموز التحقّق TOTP

كيفية الاستخدام مولّد رموز التحقّق TOTP

1. الصق مفتاح Base32 من شاشة الإعداد لدى الخدمة.
2. يظهر الرمز الحالي مع عدّ تنازلي للرمز التالي.
3. لا تغيّر عدد الأرقام أو المدة إلا إذا حدّدت الخدمة قيمًا مخالفة.

لماذا هذا للاختبار لا للاستخدام اليومي

الغرض منه التطوير والتشخيص: تجربة إعداد TOTP، والتأكّد من صحة نقل المفتاح، وفهم سبب رفض الرموز.

وليس الغرض أن يكون عاملك الثاني الدائم. فمعنى المصادقة الثنائية أن يكون العامل الثاني على جهاز غير الأول. ومن يحفظ كلمة المرور والمفتاح في المتصفح نفسه لديه عاملان يسقطان معًا — أي عامل واحد فعليًا.

وللاستخدام اليومي مكان المفتاح تطبيق مصادقة على الهاتف أو مدير كلمات مرور على جهاز آخر. ورموز الاسترداد تُطبع وتُحفظ في مكان آمن، لا في الملف نفسه الذي فيه كلمة المرور.

أسباب رفض الرمز

ثلاثة أسباب تغطّي أغلب الحالات.

أشيعها الساعة. فالرمز مشتقّ من الوقت الحالي، فإن انحرفت ساعة الجهاز أكثر من نافذة واحدة لم يطابق. والخوادم تتسامح عادةً مع نافذة قبل وبعد، أي نحو دقيقة ونصف. وخطأ المنطقة الزمنية لا يضرّ، وخطأ الوقت نفسه يضرّ.

والثاني نقل المفتاح خطأً. فترميز Base32 لا يستخدم الأرقام 0 و1 و8 تفاديًا للخلط مع O وI وB. ومن ينسخ المفتاح يدويًا يخطئ عند هذه المواضع تحديدًا.

والثالث إعدادات مخالفة: بعض الخدمات تستخدم ثمانية أرقام أو مدة ستين ثانية أو خوارزمية SHA-256. وإن لم ترد في رمز الإعداد فيجب ضبطها يدويًا.

ما في رمز QR للإعداد

رمز QR لا يحتوي صورة بل عنوانًا بصيغة otpauth://totp/....

وفيه اسم الخدمة والحساب والمفتاح بترميز Base32، وربما معاملات مخالفة لعدد الأرقام والمدة والخوارزمية.

ومن يمسح الرمز بقارئ QR عادي بدل تطبيق مصادقة يرى هذا العنوان نصًا صريحًا — ومعه المفتاح. ولهذا تُعامل صورة رمز الإعداد معاملة كلمة المرور: حفظها في محادثة أو تطبيق ملاحظات يُبطل الحماية الثنائية عمليًا.

الأسئلة الشائعة