Илья Завьялов объясняет, что стоит за словами OTP, TOTP и passkey
Слова OTP, TOTP и passkey встречаются в настройках почты, банка и рабочего аккаунта, и почти всегда без объяснений. Человек видит переключатель, включает первое предложенное и считает, что защита появилась. Разница между этими способами определяет, какую именно атаку аккаунт переживёт, а какую нет. Ниже разобрано, что стоит за каждым словом и где проходит граница между ними.
Илья Завьялов объясняет, что стоит за словами OTP, TOTP и passkey
Что в слове OTP означает одноразовость
Слова OTP, TOTP и passkey перечисляют обычно через запятую, будто это три ступени одной лестницы. OTP расшифровывается как one-time password, одноразовый пароль: короткий код, который действует один раз и после применения превращается в бесполезный набор цифр. Постоянный пароль живёт месяцами, поэтому у его кражи длинный срок годности. У одноразового кода такого срока нет, и в этом вся его заслуга.
Слово OTP описывает свойство кода. Способ доставки оно не задаёт: код приходит в SMS, письмом, уведомлением в приложении банка или лежит заранее распечатанным на листе резервных кодов. Все эти варианты честно называются одноразовым паролем, хотя стойкость у них разная. Путаница начинается ровно здесь: человек включает второй фактор и почти никогда не смотрит, какой канал за этим переключателем стоит.
Общая слабость всей группы в том, что код куда-то едет. У любого канала есть посредник: оператор связи, почтовый сервер, чужое устройство с включённым экраном блокировки. И есть сам человек, которого можно уговорить прочитать шесть цифр вслух. Код остаётся честно одноразовым, только злоумышленнику одного раза и хватает.
TOTP: код, который считает время
TOTP расшифровывается как time-based one-time password, одноразовый пароль на основе времени. При подключении сервис показывает картинку с QR-кодом, внутри которой лежит общий секрет. Приложение сохраняет этот секрет у себя, и дальше обе стороны независимо считают одно и то же число из секрета и текущего времени. Окно обычно тридцать секунд, поэтому цифры на экране постоянно обновляются сами.
Отсюда главное практическое отличие от кода в сообщении. Код никуда не передаётся, он появляется прямо на устройстве, работает без связи, и перехватить его в пути невозможно, потому что пути нет. Оператор связи, почтовый ящик и чужая рука с переоформленной сим-картой выпадают из схемы целиком. Разница между OTP и TOTP укладывается в одну букву, а последствия у неё крупные.
Уязвимым остаётся человек перед поддельной страницей. Если ввести шесть цифр на копии сайта, скрипт передаст их на настоящий сервис за секунды, и тридцатисекундного окна хватит с запасом. Второе слабое место чисто бытовое: секрет живёт в приложении на одном телефоне. Потеря аппарата без сохранённых резервных кодов превращается в долгую переписку с поддержкой.
Passkey: секрет, который невозможно продиктовать
Passkey переводится на русский неуклюже, ближе всего звучит ключ доступа. Устройство создаёт пару ключей: закрытая часть остаётся в защищённом хранилище телефона или компьютера, открытая уходит сервису. При входе сервис присылает случайный запрос, устройство подписывает его закрытым ключом, и подпись подтверждает, что ключ на месте. Разблокировка идёт отпечатком, лицом или пин-кодом самого устройства.
Смысл конструкции в том, что передавать нечего. На сервере хранится открытая часть, кража которой ничего не даёт. Нет строки, которую можно списать с экрана, переслать в мессенджере или произнести в трубку. Просьба назвать passkey бессмысленна технически, и это первое серьёзное отличие от любого кода.
Второе отличие в привязке к адресу. Подпись выдаётся только тому домену, для которого ключ создан, и на поддельной копии браузер молча откажется её отдавать. Проверку выполняет протокол, внимательность человека в ней не участвует. Поэтому фишинговая страница против ключа доступа почти бесполезна, даже если выглядит идеально.
Аппаратный ключ: тот же принцип в отдельном предмете
Аппаратный ключ выглядит как небольшой брелок с разъёмом USB или беспроводной меткой, и держит закрытый ключ внутри себя. Криптография у него та же, что у ключа доступа на телефоне: пара ключей, подпись запроса, жёсткая привязка к домену. Разница проходит по вопросу о том, где живёт секрет и может ли он покинуть носитель.
Passkey на телефоне обычно синхронизируется через учётную запись производителя, чтобы ключ пережил замену устройства. Удобство здесь оплачено тем, что облачная учётка становится точкой, за которую можно потянуть. Аппаратный ключ синхронизацию исключает: секрет никогда не выходит наружу, и подпись требует физического касания пальцем. Удалённая атака упирается в необходимость взять предмет в руки.
Аппаратный ключ замыкает ряд OTP, TOTP и passkey с той стороны, где секрет физически не покидает носитель. Цена выбора тоже понятная: предмет теряется, ломается и остаётся дома в самый неподходящий день. Разумная практика состоит из двух ключей, второй лежит отдельно и заранее привязан ко всем важным аккаунтам.
Подмена сим-карты: удар приходится по номеру
Подмена сим-карты означает, что номер телефона переоформили на другую карту. Схема опирается на утёкшие персональные данные, поддельные документы или сговорчивого сотрудника салона связи. Владелец замечает пропажу связи с задержкой, а к этой минуте сообщения с кодами уже приходят на чужое устройство.
Дальше рушится вся цепочка сразу. Номер во многих системах служит способом восстановления доступа, поэтому обладатель свежего куска пластика запускает сброс пароля почты, а через почту добирается до остального. Пароль при этом никто не подбирал, сменился владелец канала. Практический вывод один: номер стоит убирать из способов восстановления везде, где сервис это разрешает.
Подмена сим-карты объясняет, почему ряд OTP, TOTP и passkey выстраивают именно в таком порядке. Код в приложении к номеру не привязан, ключ доступа тем более. Секрет TOTP лежит в памяти приложения, закрытый ключ хранится в устройстве, и переоформление номера обоих не касается.
Какой фактор какую атаку закрывает
OTP, TOTP и passkey закрывают разные участки, поэтому разговор полезнее начинать с названия атаки. Утечка базы паролей закрывается любым вторым фактором. Подмена сим-карты закрывается переходом с сообщений на приложение или на ключ. Фишинговая страница закрывается только привязкой к домену, то есть ключом доступа или аппаратным ключом.
Отдельная строка это разговор голосом. По данным Federal Trade Commission за 2025 год, подделка под компании принесла около миллиарда долларов потерь, причём самые крупные суммы собрали те, кто представлялся сотрудником банка. Отчёт FBI Internet Crime Complaint Center за тот же год насчитал свыше восьмидесяти тысяч обращений и более 2,9 миллиарда долларов потерь на колл-центровом мошенничестве, куда входят поддельная техподдержка и подделка под государственные службы. Против такого звонка код из сообщения и код из приложения одинаково беззащитны, потому что оба произносятся вслух.
Ту же статистику стоит прочитать со второй стороны. По данным Federal Trade Commission, в четырёх обращениях об имперсонации из пяти денежной потери не было вовсе, то есть попыток намного больше, чем удачных попыток. Второй фактор часто и оказывается местом, где сценарий ломается: человек доходит до просьбы назвать код, спотыкается о неё и кладёт трубку.
Где этот словарь заканчивается
Словарь из OTP, TOTP и passkey описывает вход в аккаунт. О том, что человек сделает после входа, он молчит. Добровольный перевод денег проходит все проверки, потому что подтверждает его настоящий владелец с настоящим ключом. Ключ доступа стережёт дверь и никак не связан с тем, что вынесут через неё с согласия хозяина.
Второе ограничение связано с узнаванием собеседника. Убедительный клон голоса собирается с записи длиной около трёх секунд, а в эксперименте люди отличали настоящий голос от подделки лишь в 37,5 процента случаев. Привычка доверять знакомому голосу в трубке перестала работать как проверка личности. Второй фактор тут бесполезен: он проверяет вход в сервис и ничего не знает о собеседнике на линии.
Отсюда правило, которое от терминологии не зависит. Любой входящий контакт с требованием кода прямо сейчас обрабатывается одинаково: разговор заканчивается, номер берётся с официального сайта или с обратной стороны карты, звонок делается самостоятельно. Ни один из перечисленных факторов эту паузу не заменяет.
Слово, что за ним стоит и какую атаку оно закрывает
Термин
Что это по сути
Что закрывает
OTP в SMS
Одноразовый код, доставленный по сотовой сети
Утечку пароля; перед подменой сим-карты бессилен
OTP в письме
Одноразовый код в почтовом ящике
Утечку пароля; падает вместе с почтой
TOTP в приложении
Код из общего секрета и текущего времени, без канала
Утечку пароля и подмену сим-карты
Push-подтверждение
Кнопка в приложении вместо ввода цифр
Утечку пароля; уязвимо к усталости от запросов
Passkey
Пара ключей, закрытая часть внутри устройства
Фишинг, подбор пароля, утечку базы
Аппаратный ключ
Закрытый ключ внутри отдельного предмета
То же плюс компрометацию облачной учётки
Резервные коды
Список одноразовых строк на бумаге
Потерю устройства при отдельном хранении
Вопросы и ответы
Чем OTP отличается от TOTP?
OTP это общий класс одноразовых кодов, независимо от способа доставки. TOTP это частный случай, где код считается из общего секрета и текущего времени прямо на устройстве и по сети не передаётся.
OTP, TOTP и passkey: что из этого надёжнее?
Порядок обычно такой: код в сообщении слабее кода в приложении, а ключ доступа стоит выше обоих, потому что привязан к адресу сайта. Аппаратный ключ находится на той же ступени, что passkey, и дополнительно исключает синхронизацию секрета через облако.
Что такое подмена сим-карты?
Это переоформление вашего номера на чужую сим-карту через оператора или салон связи. После него сообщения с кодами приходят злоумышленнику, а восстановление пароля по номеру открывает доступ к почте и остальным сервисам.
Passkey и аппаратный ключ это одно и то же?
Криптография у них одинаковая: пара ключей и подпись, привязанная к домену. Разница в носителе, потому что passkey обычно живёт в телефоне и синхронизируется через учётную запись, а аппаратный ключ держит секрет внутри отдельного предмета.
Можно ли отключить коды из SMS, если включён passkey?
Если сервис позволяет, номер стоит убрать и из входа, и из способов восстановления. Пока сообщения остаются запасной дверью, общая стойкость аккаунта равна стойкости самого слабого способа.
Что делать, если телефон с приложением TOTP потерян?
Выручат резервные коды, сохранённые при подключении, или второй заранее настроенный фактор. Если нет ни того ни другого, остаётся процедура восстановления через поддержку сервиса, и занимает она дни.
Автор: Илья Завьялов, консультант по цифровой безопасности. Все термины словаря
