Utilia
Kategorije ▾
Jezik: hr ▾

TOTP i HOTP generator kodova

Generiraj TOTP i HOTP 2FA kodove iz Base32 tajne ili otpauth:// URI-ja, uz SHA-1, SHA-256 ili SHA-512, odbrojavanje uživo i QR kod za 2FA aplikacije.

2FA tajna osjetljiva je kao lozinka. Sve se ovdje izvodi lokalno u tvom pregledniku: tajna, kodovi i QR kod nikada se nikamo ne šalju.

Postavi aplikaciju za autentifikaciju

Dodaj izdavatelja i naziv računa, zatim skeniraj QR kod ili kopiraj otpauth:// poveznicu u svoju aplikaciju za autentifikaciju.

Kako generirati TOTP kodove

  1. Zalijepi Base32 tajnu (na primjer JBSWY3DPEHPK3PXP) ili cijelu poveznicu otpauth:// u Tajna (Base32) ili otpauth:// URI. Razmaci, crtice, mala slova i nedostajuća nadopuna = se prihvaćaju.
  2. Kodovi se pojavljuju dok tipkaš ili kad klikneš Prikaži kodove. Zalijepljeni URI sam popunjava polja Vrsta, Algoritam, Broj znamenki, Razdoblje (sekunde), Izdavatelj i Račun.
  3. Pročitaj Trenutačni kod u sredini, s Prethodni kod i Sljedeći kod s obje strane. Traka ispod odbrojava sekunde do promjene koda, a Kopiraj kod kopira ga bez razmaka.
  4. Za kodove temeljene na brojaču odaberi HOTP (brojački), postavi Brojač i koristi Sljedeći brojač za pomak naprijed.
  5. Za izradu nove 2FA tajne klikni Nova nasumična tajna. Ispuni Izdavatelj i Račun, zatim skeniraj QR kod aplikacijom za autentifikaciju, Kopiraj URI ili Preuzmi QR kod (PNG).

Kako rade TOTP i HOTP

HOTP (RFC 4226) izračunava HMAC 8-bajtnog brojača zajedničkom tajnom, a zatim primjenjuje dinamičko skraćivanje: zadnja četiri bita HMAC-a biraju pomak, od tamo se čitaju četiri bajta, najviši bit se briše, a broj se reducira modulo 10^znamenki. Rezultat je kod od 6 do 8 znamenki.

TOTP (RFC 6238) je HOTP kod kojeg je brojač trenutačni vremenski korak: T = floor(Unix vrijeme / razdoblje), uz zadano razdoblje od 30 sekundi. Tvoj mobitel i poslužitelj neovisno izračunavaju isti kod jer dijele tajnu i (otprilike) isti sat. Zato se prikazuju Prethodni kod i Sljedeći kod: poslužitelji obično prihvaćaju jedan korak prije ili poslije kako bi tolerirali odstupanje sata.

HMAC se izvodi pomoću Web Crypto API-ja tvog preglednika uz SHA-1, SHA-256 ili SHA-512. SHA-1 sa 6 znamenki i 30 sekundi koristi gotovo svaka usluga; SHA-256 i SHA-512 dopušta RFC 6238, ali ih neke aplikacije ignoriraju, pa zadane vrijednosti mijenjaj samo ako to usluga traži.

URI otpauth:// i QR kod

Aplikacije za autentifikaciju postavljaju se URI-jem poput otpauth://totp/Example:ana@example.com?secret=…&issuer=Example&algorithm=SHA1&digits=6&period=30, koji se obično prikazuje kao QR kod. Alat čita takve URI-je (uključujući oznake s postotnim kodiranjem poput ACME%20Co) i gradi nove. QR kod crta se lokalno iz URI-ja prikazanog pod otpauth:// URI.

Nova nasumična tajna ima 20 bajtova (160 bitova), duljinu koju preporučuje RFC 4226, uzetu iz crypto.getRandomValues.

Sigurnosni savjeti

  • Tajna je sam drugi faktor: tko je ima, može proizvesti tvoje kodove. Ne lijepi tajne važnih računa na zajedničkim računalima i nikada ne dijeli snimke zaslona QR koda.
  • Sve se izračunava lokalno; ništa se ne šalje mrežom. Zatvori karticu kad završiš.
  • Zadrži rezervne kodove usluge: izgubljena tajna ne može se povratiti.

Česta pitanja

Zašto moj kod ne odgovara onome u mojoj aplikaciji?

Prvo provjeri sat svog uređaja: TOTP kodovi se mijenjaju svako razdoblje, pa sat koji kasni ili žuri više od otprilike 30 sekundi daje drukčije kodove. Zatim provjeri podudaraju li se algoritam, broj znamenki i razdoblje s onim što je usluga koristila.

Je li ovaj alat kompatibilan s Google Authenticatorom i sličnim aplikacijama?

Da. Slijedi RFC 6238 i format otpauth URI-ja koji te aplikacije koriste. Skeniraj QR kod ili upiši Base32 tajnu u aplikaciju i oboje bi trebalo prikazati isti Trenutačni kod.

Koja je razlika između TOTP-a i HOTP-a?

TOTP napreduje s vremenom, pa kod istječe nakon razdoblja. HOTP napreduje brojačem koji raste svaki put kad se kod iskoristi, pa kod vrijedi dok se ne iskoristi ili zamijeni.

Mogu li ovaj alat koristiti kao svoju svakodnevnu aplikaciju za autentifikaciju?

Namijenjen je testiranju, razvoju i oporavku. Aplikacija na mobitelu ili hardverski ključ sigurniji su za svakodnevnu uporabu jer se tajna ne mora svaki put lijepiti u web-stranicu.

Jesu li izračuni provjereni prema standardima?

Da. Alat je testiran HOTP vrijednostima iz Dodatka D RFC-a 4226 i TOTP vrijednostima iz Dodatka B RFC-a 6238 za SHA-1, SHA-256 i SHA-512.

Slični alati