Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
TOTP nedir?
Kısa cevap
TOTP (Time-based One-Time Password), kullanıcının cihazıyla sunucunun paylaştığı bir secret'tan ve o anki zamandan, belirli periyotlarla (çoğunlukla 30 saniye) yeni bir kod üreten OTP yöntemidir (RFC 6238). Google Authenticator ve Microsoft Authenticator gibi uygulamalar bu yöntemle çalışır; kod cihazda üretildiği için gönderim kanalı gerekmez, ancak cihazın ve sunucunun saati doğru olmalıdır. TR7 AGS'de Multi-Factor Authentication (MFA) profilinde MFA Method olarak TOTP seçilir: kullanıcı MFA adımına ilk geldiğinde authenticator uygulamasını QR kodla (Allow Manual Entry açıksa secret'ı elle girerek) kaydeder, sonraki girişlerde uygulamadaki kodu yazar. Profilde TOTP Algorithm (varsayılan SHA1), TOTP Digits (6 ya da 8, varsayılan 6), TOTP Period (15–60 saniye, varsayılan 30), TOTP Window (0–10 adım, varsayılan 1) ve TOTP Issuer Name ayarlanır. Kullanıcıların kayıtları AGS etkin vService'in TOTP sekmesinde izlenir ve sıfırlanır.
TR7'de Nerede Kullanılır
| Nerede | Alan / etiket | Ne için |
|---|---|---|
| AGS → Authentication → Multi-Factor Authentication (MFA) | MFA Method = TOTP; TOTP Algorithm (SHA1 / SHA256 / SHA512), TOTP Digits, TOTP Period, TOTP Window | Kod üretim ve doğrulama parametreleri |
| Aynı form | TOTP Issuer Name (varsayılan %REQHEADER(host)), Allow Manual Entry, Allow Backup Codes (ikisi de varsayılan açık), Trust Device | Uygulamada görünen hesap adı, kayıt biçimi, yedek kodlar ve güvenilen cihaz |
| AGS etkin vService → Flowchart | MFA Profile: hazır TOTP Standard ve TOTP Strict profilleri | Hazır TOTP profillerinin akışta seçilmesi |
| AGS etkin vService → TOTP sekmesi | User ID, Username, Email, Enrolled At, Backup Codes; Reset TOTP | Kayıtlı kullanıcıların ve kalan yedek kodların izlenmesi; telefonunu kaybeden kullanıcının kaydının sıfırlanması |
| AGS etkin vService → Dashboard | AGS TOTP grafiği | Saniye başına gösterilen, yanıtlanan, doğru ve yanlış TOTP kodu sayıları |
Hazır TOTP Profilleri
| Profil | Algorithm | Digits | Period | Window | Backup codes | Trust device |
|---|---|---|---|---|---|---|
| TOTP Standard | SHA1 | 6 | 30 sn | 1 | Açık | Açık, 30 gün |
| TOTP Strict | SHA256 | 8 | 30 sn | 0 | Kapalı | Kapalı |
Sık Karıştırılan Noktalar
- "TOTP kodu SMS ile gönderilir." Kod kullanıcının cihazındaki uygulamada üretilir; hiçbir kanaldan gönderilmez (OTP (One-Time Password) nedir?).
- "Cihaz saati önemsizdir." Kod zamana bağlıdır; cihaz ile TR7 arasındaki fark TOTP Window toleransını aşarsa kod reddedilir. TR7'nin saati NTP ile eşitlenir (NTP nedir; TR7'de saat senkronizasyonu neden önemlidir?).
- "Kayıt bütün vService'lerde geçerlidir." TOTP kaydı MFA profiline değil vService'e bağlıdır; kullanıcı her AGS etkin vService için ayrı kayıt yapar. Kaydı sıfırlamak için ilgili vService'in TOTP sekmesi kullanılır.
Dokümantasyonda nasıl yapılır
