Os tokens de MFA do Cato são baseados em janelas de tempo, o que significa que não são válidos por um tempo constante a partir do momento em que foram gerados, mas sim em uma janela de tempo constante que abrange o momento em que foram gerados. O tamanho da janela é de 30 segundos, portanto, não importa onde o token foi criado, ele será o mesmo na mesma janela de 30 segundos.
Para usuários VPN, o Cato suporta tanto SMS quanto o uso de um Aplicativo de Autenticação (como o Google Authenticator) como métodos para entregar o token (o token será o mesmo independentemente do método de entrega). Para fins de usabilidade e para evitar que o Usuário receba um Código e, enquanto o insere, o Código expire, o Cato fornece um período de carência de aproximadamente 3 minutos e meio para contabilizar a janela que acabou de passar.
Reenvio do código de autenticação: um Usuário pode solicitar um token duas vezes (re-enviar código de autenticação) e obter o mesmo código, ou pode ser diferente. ou seja, pedir um código às 12:00:05 lhe dará o mesmo código que às 12:00:29. Mas pedir um código às 12:00:29 será diferente do código gerado às 12:00:31.
Quando o Cato irá re-solicitar o código de autenticação: No momento, o Cato aceita até 30 Dias ou mediante Mudanças Geográficas, assumindo que um Usuário escolheu confiar no Dispositivo do qual ele está se conectando. Se um Usuário não escolheu confiar, então um código será requerido na próxima tentativa de login.