8.2. 一个时间密码(OTP)策略

适用于您的 OTP 生成器的 Red Hat Single Sign-On 中的算法基于时间和计数器。

使用基于时间的一次性密码(TOTP)，令牌生成器将显示当前的时间和共享 secret。服务器通过将时间内的哈希值与已提交的值进行比较来验证 OTP。TOTP 在较短的时间内有效。

使用基于计数器的一次性密码(HOTP)，Red Hat Single Sign-On 使用共享计数器而不是当前时间。Red Hat Single Sign-On 服务器在每次成功 OTP 登录时递增计数器。成功登录后有效的 OTP 更改。

TOTP 比 HOTP 更安全，因为匹配 OTP 在较短的时间内有效，而 HOTP 的 OTP 则有效一段时间。HOTP 比 TOTP 更友好，因为没有时间限制进入 OTP。

每次服务器递增计数器时，HOTP 需要数据库更新。在这个版本中，在负载过重时，在身份验证服务器上会排空性能。为提高效率，toTP 不会记住使用的密码，因此无需执行数据库更新。缺陷在于，可以在有效时间间隔中重新使用 TOTP。