自己网站的管理后台，只用 TOTP 做身份认证可以吗？

[mrchi]

RT，自己的小博客网站想做个管理后台，也就是控制博客发布，设置博客标签和分类之类的功能。目前想直接用 TOTP 验证。

如果设置 30 秒内同一 IP 只能输入 3 次 TOTP 验证码，会不会很容易被暴力破解？

[agagega]

30 秒 1 次也可以吧。暴力破解不太现实，不过想一想要是万一数据库泄漏了，还是加上一个固定密码吧

[sobigfish]

固定 pin （字母或者数字）+totp 一起输入 后台验证 稍微好点？
@agagega #1 数据库都泄露了的话怎么都不安全了

[honeycomb]

totp 是 secret 的摘要，它的一般用法适合密钥或别的 credential 一起使用，以减低风险。

如果要单用 totp，是需要用比较长的摘要比较好，但 totp 协议里好像只规定了 6 位或 8 位数字，它们的空间太小