Senhas de uso único (OTP)

Uma senha de uso único (OTP) é um código temporário usado para autenticação de dois fatores (2FA). O KeePassium pode armazenar e gerar senhas de uso único baseadas em tempo, o esquema mais usado na web moderna.

Armazenar OTPs no seu banco de dados é útil por ser um método seguro, portátil e independente de fornecedor.

Como as OTPs funcionam

Esta seção é uma visão geral rápida de como funcionam as OTPs baseadas em tempo.

Durante a configuração inicial, o serviço online e o app cliente (como o KeePassium) trocam um segredo. Trata-se de uma sequência curta de caracteres, gerada aleatoriamente pelo servidor e enviada ao cliente por meio de um código QR. Tanto o servidor quanto o cliente armazenam o segredo, e isso conclui a configuração inicial.

No uso diário, sempre que você precisa iniciar sessão no servidor, tanto ele quanto o KeePassium executam os seguintes passos:

• Contam quanto tempo se passou desde 1º de janeiro de 1970. Porém, em vez de contar cada segundo, consideramos intervalos de tempo mais longos, como 30 segundos. Em outras palavras, calculamos o número de meios-minutos desde a data de referência (a contagem).
• O número de meios-minutos é processado por um algoritmo criptográfico controlado pelo valor do segredo.
• O resultado é encurtado para 6–8 dígitos para facilitar a digitação.

INFO

O intervalo de tempo, o algoritmo criptográfico e o comprimento do código são parâmetros configuráveis que fazem parte da configuração da OTP. O padrão completo está disponível no RFC6238.

Por fim, quando você insere a OTP gerada no formulário de início de sessão, o servidor compara seu código com o código que ele gerou localmente. Se coincidirem, o servidor tem uma prova sólida de que o cliente conhece o segredo — mesmo que eles não tenham trocado o segredo durante a verificação.

Configuração de OTP

Há duas maneiras de configurar uma OTP no KeePassium: escaneando um código QR ou digitando o segredo manualmente.

Usando um código QR

Este é o método mais fácil e rápido:

• Abra o editor de entradas
• Toque em + na parte superior e, em seguida, Código de uso único → Ler código QR
• Aponte a câmera para o código QR exibido pelo site em questão.
  • Como alternativa, você pode importar o código QR de uma foto.

A configuração será salva em um campo personalizado chamado otp, como um URI otpauth (o padrão de fato para códigos QR de 2FA).

Exemplo de código QR com configuração de OTP

Usando o app Câmera ou um link otpauth

Se a sua configuração de OTP for fornecida como um URL que começa com otpauth://, o KeePassium também consegue tratá-la.

• Abra os ajustes do dispositivo → Geral → Preenchimento Automático e Senhas
• Altere o campo Configurar Códigos em para KeePassium

Agora o KeePassium abrirá automaticamente sempre que você tocar em um link de configuração de OTP ou escanear um código QR de OTP com o app Câmera. O app então o orientará para importar a configuração de OTP para a entrada apropriada.

Usando uma chave secreta

A configuração manual com a chave secreta é útil quando você não consegue escanear códigos QR.

• No site, selecione a opção de inserir a chave secreta manualmente
• Copie a chave secreta para a área de transferência
• No KeePassium, abra o editor de entradas, toque em + na parte superior → Código de uso único → Inserir manualmente
• Cole a chave secreta e toque em Pronto

TIP

Espaços e maiúsculas não importam. Abc e a B C são o mesmo código.

Para OTP do Steam

O serviço Steam, da Valve, tem seu próprio formato de TOTP. O KeePassium também pode gerar códigos TOTP do Steam.

Abra a entrada do Steam no seu banco de dados e crie dois campos personalizados:

• TOTP Settings com o valor 30;S (30 é o intervalo de atualização, e S indica que os códigos TOTP devem ter o formato específico do Steam)
• TOTP Seed com a chave secreta (no formato Base32)

A extração da chave secreta do Steam não é oficialmente suportada pela Valve, mas é possível. O procedimento está fora do escopo deste documento.

Usando OTPs

Depois de configurados, os códigos OTP aparecem tanto na lista de entradas quanto no visualizador de entradas.

OTP na lista de entradas

Na lista de entradas, os códigos OTP normalmente ficam ocultos atrás dos botões de . Toque no botão para revelar a OTP e copiá-la para a área de transferência.

Quando a OTP está prestes a expirar, ela começa a pulsar com uma cor. Às vezes é melhor esperar pelo próximo código para garantir que ele será aceito pelo servidor.

No visualizador de entradas, os códigos OTP são exibidos diretamente. A pequena linha abaixo do código mostra o tempo restante até ele ser atualizado. O campo com os dados de configuração da OTP fica oculto no visualizador. Para acessá-lo, inicie a edição da entrada.

OTP no visualizador de entradas

Compatibilidade

Os códigos OTP configurados pelo KeePassium são compatíveis com o KeePassXC e com a maioria dos apps móveis. Isso também funciona no sentido inverso: códigos configurados em outros apps funcionarão no KeePassium.

Uma exceção notável é o KeePass, que precisa do plugin KeePassOTP para entender OTPs configuradas por outros apps.

Solução de problemas

O botão de configuração de OTP está ausente

Seu arquivo de banco de dados usa um formato antigo que não suporta campos personalizados de entrada. Como solução, atualize seu banco de dados para o formato KDBX.

Os códigos OTP gerados parecem inválidos

• Verifique se a hora do sistema no seu dispositivo está correta. Mesmo um desvio de 30 segundos pode invalidar os códigos gerados.
• Verifique se há erros de digitação na chave secreta inserida. Espaços e maiúsculas não importam.