HOTP: qué es y en qué se diferencia de TOTP
HOTP genera un código de un solo uso a partir de un secreto compartido y un contador que avanza cada vez que lo usas, en vez de la hora. Es el antecesor de TOTP, y hoy casi nadie lo elige directamente.
- Qué es
- Código basado en un contador
- Desde
- 2005 (RFC 4226)
- Veredicto
- No
Qué es
HOTP es un método para generar códigos de un solo uso: cada vez que lo usas, un contador interno avanza una posición, y ese número —junto con un secreto compartido— produce el código siguiente. Es el mismo principio que TOTP, pero con un contador en vez del reloj como variable que cambia.
El problema práctico es que el contador del dispositivo y el del servicio tienen que mantenerse sincronizados: si pulsas el botón varias veces sin llegar a usar esos códigos, se desincronizan y hay que reajustarlos.
Cuándo se introdujo
El IETF publicó HOTP como RFC 4226 en diciembre de 2005, como trabajo conjunto de la iniciativa OATH (Open Authentication). Fue la base sobre la que, años después, se construyó TOTP.
Por qué se usa
Se usó sobre todo en los primeros tokens de hardware con botón físico —algunos dispositivos de banca y algunas llaves de seguridad antiguas—, antes de que las apps autenticadoras con TOTP se generalizaran.
Hoy sigue viviendo, de forma invisible, dentro de algunos dispositivos antiguos de banca y de ciertas llaves de seguridad, pero ya no es algo que tengas que elegir ni configurar tú: las apps modernas usan TOTP, y las llaves modernas usan FIDO2.
¿Lo usamos?
No es algo que tengas que elegir: casi nadie lo usa ya directamente. Si lo tienes, es porque viene dentro de un dispositivo antiguo, no porque lo hayas activado tú.
Comprueba esto
- ¿Usas algún dispositivo de banca antiguo con un botón que genera un código al pulsarlo?
- Si ese código falla, ¿sabes a quién llamar para resincronizarlo?
Fuente oficial: RFC 4226, HOTP: An HMAC-Based One-Time Password Algorithm (IETF)