Generator TOTP

Algoritmenya dalam bahasa sederhana

TOTP adalah HOTP (one-time password berbasis HMAC, RFC 4226) yang counter-nya diganti dengan waktu Unix saat ini dibagi langkah waktu (biasanya 30 detik):

counter = floor(unix_time / 30)
hash = HMAC-SHA1(secret, counter_as_8_byte_big_endian)
offset = last byte of hash AND 0x0F
truncated = 4 bytes from offset, with the top bit zeroed
code = truncated mod 10^digits

Perangkat Anda dan server menjalankan hitungan yang sama atas secret yang sama dan jam yang sama, sehingga keduanya sampai pada kode yang sama tanpa kode itu pernah dikirim ke mana pun. Kode 6 digit hanyalah HMAC terpotong modulo 10^6. Tanpa sihir, hanya hashing.

Parameter umum

Jika sebuah layanan menolak kode Anda, periksa dulu jumlah digit dan periodenya, baru algoritmenya. Perhatikan juga bahwa sebagian aplikasi authenticator diam-diam mengabaikan parameter non-standar (Google Authenticator dulunya memperlakukan semuanya sebagai SHA-1, 6 digit, 30 detik), jadi selalu uji dengan aplikasi persis yang akan dipakai pengguna Anda.

Menyimpan secret dengan aman

• Jangan pernah mengirim secret 2FA lewat email atau pesan. Begitu masuk kotak masuk, ia tinggal selamanya di log dan cadangan penyedia layanan.
• Daftarkan 2FA dengan memindai kode QR. QR mengodekan URI otpauth://totp/... yang memuat secret, algoritme, digit, dan periode dalam satu paket yang tidak ambigu.
• Cadangkan saat pendaftaran. Simpan kode pemulihan, atau secret-nya sendiri, di pengelola kata sandi; kehilangan ponsel tanpa itu membuat Anda terkunci.
• Satu secret per layanan. Setiap layanan menerbitkan secret-nya sendiri saat penyiapan; jika ada yang bocor, daftarkan ulang agar secret lama berhenti berlaku.

Penyimpangan waktu

TOTP hanya bekerja selama kedua jam sepakat. Halaman ini menghitung kode dengan jam server, jadi jika kode di sini berbeda dengan aplikasi authenticator di ponsel Anda, tersangka pertamanya adalah jam perangkat. Sebagian besar validator menerima selisih satu jendela ke tiap arah (30 sampai 60 detik); lebih dari itu, sinkronkan jam perangkat lewat NTP sebelum menyalahkan secret-nya.

Gunakan secret uji di sini

Alat ini menghitung kode di server kami: secret yang Anda ketik dikirim lewat HTTPS pada setiap pembaruan, dan juga muncul di URL halaman jika Anda berpindah antar langkah alat. Itu wajar untuk pengembangan, demo, dan debugging dengan secret sekali pakai. Ini bukan tempat untuk secret asli yang melindungi email atau rekening bank Anda; simpan yang itu di aplikasi authenticator khusus di ponsel. Jika Anda telanjur menempelkan secret asli di luar authenticator Anda, daftarkan ulang 2FA di layanan tersebut supaya secret-nya diganti.