自己网站的管理后台，只用 TOTP 做身份认证可以吗？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

For Existing Member Sign In

• 请不要在回答技术问题时复制粘贴 AI 生成的内容

This topic created in 2830 days ago, the information mentioned may be changed or developed.

RT，自己的小博客网站想做个管理后台，也就是控制博客发布，设置博客标签和分类之类的功能。目前想直接用 TOTP 验证。

如果设置 30 秒内同一 IP 只能输入 3 次 TOTP 验证码，会不会很容易被暴力破解？

3 replies • 2018-08-08 12:50:21 +08:00

agagega

Aug 8, 2018 via iPhone

30 秒 1 次也可以吧。暴力破解不太现实，不过想一想要是万一数据库泄漏了，还是加上一个固定密码吧

run2

Aug 8, 2018

固定 pin （字母或者数字）+totp 一起输入后台验证稍微好点？
@agagega #1 数据库都泄露了的话怎么都不安全了

honeycomb

Aug 8, 2018 via Android

totp 是 secret 的摘要，它的一般用法适合密钥或别的 credential 一起使用，以减低风险。

如果要单用 totp，是需要用比较长的摘要比较好，但 totp 协议里好像只规定了 6 位或 8 位数字，它们的空间太小