物联网安全-动态口令TOTP

TOTP介绍

TOTP是OTP（动态口令）的一种类型，全称是Time-based one time password。OTP其他类型还有：事件同步、挑战/应答，其中TOTP为最常见的动态口令。

TOTP特点

密保生成的元素：密保的时钟、唯一的序列号、专用算法（这三个信息保存在设备端和服务器端）
原理：服务器通过唯一的序列号，匹配对应专用算法和密保时钟，最终生成一个不可预测的随机数字组合
常见生成间隔：60S
主要问题：必须保证服务器和设备端的密保时钟同步，密保时钟不同步会使得验证不通过。
常见解决方案：对于无法后期同步的设备来说，服务器需要允许偏差存在，一般为前后10分钟。使用当前时间前后10分钟的所有密保时钟结果进行匹配，如果匹配成功，将记录保留10分钟以上，用于避免10分钟内使用相同密保进行认证。
应用产品：网络游戏行业（优逸密宝、盛大密保、网易将军令、魔兽世界（WOW）安全令牌）