O TOTP (Time-Based One-Time Password), é um algoritmo que gera uma senha de uso único e temporária (normalmente válida por 30 ou 60 segundos) combinando uma chave secreta compartilhada com o horário atual do sistema.
No ecossistema do RM, a implementação do TOTP atua como um fluxo de contingência de segurança e segundo fator de autenticação (2FA) para usuários que realizam o login utilizando o provedor de identidade OIDC (OpenID Connect).
A tela é invocada de forma automática somente uma vez logo após o login de sucesso do usuário, sob a condição estrita de que o usuário esteja parametrizado e apto a logar via OIDC e ainda não possua uma chave secreta TOTP configurada no sistema.
Caso o usuário opte por clicar em "Cancelar" e decida não configurar o TOTP naquele momento, o sistema apresentará uma mensagem informativa alertando sobre a alta relevância da segurança desse recurso e informando que a configuração deverá ser feita por um supervisor. |
Ao se deparar com a tela de ativação do TOTP após o login, o usuário deve seguir o roteiro abaixo composto por três etapas lógicas:
O usuário deve realizar o download e instalação de um aplicativo autenticador em seu smartphone ou dispositivo móvel. O sistema recomenda nativamente o aplicativo My Safe ID (disponível via instâncias da Google Play Store e Apple App Store), porém o fluxo é perfeitamente compatível com qualquer gerador de tokens de mercado, tais como Google Authenticator, Microsoft Authenticator ou extensões de navegadores homologadas.
O usuário deve abrir o aplicativo autenticador escolhido, acionar a opção de adicionar nova conta ("+") e realizar um dos seguintes procedimentos:
Uma vez feita a leitura ou inserção da chave, o aplicativo passará a gerar códigos numéricos aleatórios de 6 dígitos que expiram periodicamente. O usuário deve:
Além do fluxo de configuração automática no primeiro login, o sistema disponibiliza uma funcionalidade de gerenciamento centralizado diretamente na Visão de Usuários do RM. O acesso à interface de configuração ocorre por meio de uma Action de WebView integrada como um anexo estendido na listagem principal de registros. Esse anexo é disponibilizado apenas para usuários supervisores.
Se o registro selecionado falhar em qualquer um dos critérios estruturais abaixo, a tela de configuração NÃO DEVE ser exibida e o RM retornará a seguinte mensagem de aviso:
⚠️ "O usuário não está ativo ou não possui OIDC habilitado para utilizar autenticação TOTP"
Flag "Ativo": O usuário selecionado deve estar obrigatoriamente marcado como Ativo em seu cadastro de Identificação. Se a flag estiver desmarcada, a execução é bloqueada.
Flag "Login OIDC" : O usuário deve possuir a flag de integração com o provedor de identidade ativada. Usuários que utilizam a autenticação nativa padrão do RM não são elegíveis ao uso ou gerenciamento do TOTP neste fluxo.