engångskoder

Engångskoder är koder som är giltiga för endast ett inloggningsförsök eller en transaktion. De används för att stärka inloggningsprocessen genom att kräva ägande av en separat faktor utöver ett lösenord. Engångskoder kan genereras vid behov av en server och levereras via kanaler som SMS eller e-post, eller genereras lokalt på en användares enhet och valideras av servern.

Vanliga typer inkluderar tidsbaserade engångskoder (TOTP), som ändras med jämna mellanrum, och händelsebaserade engångskoder (HOTP), som ökar vid varje användning. TOTP bygger på en delad hemlighet och en tidskomponent och används ofta i autentiseringsappar (till exempel Google Authenticator, Microsoft Authenticator) eller i hårdvarutoken. Andra former inkluderar hårdvarunycklar som utför kryptografiska operationer och push-baserade godkännanden.

Användningsområden: primär eller sekundär autentisering i nätjänster, återställning av lösenord, verifiering av transaktioner och åtkomst till känsliga resurser. Säkerhet: engångskoder minskar risken för lösenordsbaserade attacker, men SMS-koder kan avlyssnas genom phishing, SIM-swap eller operatörsproblem. TOTP är mer motståndskraftigt men kan fortfarande bli utsatt för phishing om användare luras att avslöja koder. Rekommenderade metoder: föredra autentiseringsappar eller hårdvarunycklar framför SMS; inaktivera SMS för 2FA där det är möjligt; använd backupkoder och återställningsalternativ; säkerställ tidssynkronisering för TOTPer; utbilda användare i phishing.

Standarder: HOTP (RFC 4226) och TOTP (RFC 6238).