TOTP (Time-based One-Time Password)

Définition

Le TOTP (Time-based One-Time Password — Mot de Passe à Usage Unique Basé sur le Temps) est un algorithme de génération de codes d'authentification temporaires standardisé par la RFC 6238. Il constitue le mécanisme sous-jacent des applications d'authentification mobile comme Google Authenticator, Microsoft Authenticator, et Authy, générant des codes à 6 chiffres renouvelés toutes les 30 secondes. TOTP est basé sur HOTP (HMAC-based One-Time Password, RFC 4226) en substituant le compteur par le temps Unix divisé par l'intervalle (30 secondes par défaut). Le calcul est TOTP(K, T) = HOTP(K, T0) où T0 est le nombre d'intervalles de 30 secondes écoulés depuis l'epoch Unix. La clé secrète K est partagée entre le serveur et l'application cliente lors de l'inscription (via un QR code encodant une URL otpauth://). La sécurité de TOTP repose sur le partage d'un secret et la synchronisation temporelle. Un attaquant ayant intercepté un code TOTP ne peut pas le réutiliser (il expirera dans 30 secondes maximum) et ne peut pas en déduire le prochain code sans connaître la clé secrète. Cependant, TOTP n'est pas résistant au phishing en temps réel : un site de phishing peut relayer en temps réel le code TOTP saisi par la victime vers le service légitime avant son expiration — une attaque Adversary-in-the-Middle (AiTM) que contournent les passkeys et FIDO2. Les meilleures pratiques pour TOTP incluent : stocker les seeds TOTP dans un gestionnaire de mots de passe sécurisé (Bitwarden, 1Password) et non seulement sur un seul smartphone (risque de perte d'accès), sauvegarder les codes de récupération lors de l'inscription, ne pas accorder de confiance excessives aux apps d'authentification avec synchronisation cloud non chiffrée de bout en bout, et préférer les passkeys/FIDO2 quand disponibles pour une résistance au phishing. TOTP est un facteur "something you have" (possession du smartphone ou de la seed) qui protège contre la réutilisation de mots de passe volés mais pas contre le phishing sophistiqué. Sa large adoption (disponible pour pratiquement tous les services) en fait un excellent second facteur par rapport au SMS (vulnérable au SIM swapping).