TOTP и HOTP генератор на кодови

Генерирајте TOTP и HOTP 2FA кодови од Base32 тајна или otpauth:// URI, со SHA-1, SHA-256 или SHA-512, одбројување во живо и QR код за 2FA апликации.

2FA тајната е осетлива колку и лозинка. Сè овде се извршува локално во вашиот прелистувач: тајната, кодовите и QR кодот никогаш не се испраќаат никаде.

Тајна (Base32) или otpauth:// URI

Тип Алгоритам Цифри Период (секунди)

Поставување апликација за автентикација

Додајте издавач и име на сметка, па скенирајте го QR кодот или копирајте ја врската otpauth:// во вашата апликација за автентикација.

Издавач Сметка

otpauth:// URI

Како да генерирате TOTP кодови

Залепете Base32 тајна (на пример JBSWY3DPEHPK3PXP) или цела врска otpauth:// во Тајна (Base32) или otpauth:// URI. Се прифаќаат празни места, цртички, мали букви и недостасувачко пополнување =.
Кодовите се појавуваат додека пишувате или кога ќе кликнете Прикажи кодови. Залепена URI автоматски ги пополнува полињата Тип, Алгоритам, Цифри, Период (секунди), Издавач и Сметка.
Прочитајте го Моментален код во средината, со Претходен код и Следен код од двете страни. Лентата подолу ги одбројува секундите пред кодот да се смени, а Копирај код го копира без празното место.
За кодови врз основа на бројач, изберете HOTP (врз основа на бројач), поставете Бројач и користете Следен бројач за да одите напред.
За да создадете нова 2FA тајна, кликнете Нова случајна тајна. Пополнете Издавач и Сметка, па скенирајте го QR кодот со апликација за автентикација, Копирај URI или Преземи QR код (PNG).

Како работат TOTP и HOTP

HOTP (RFC 4226) пресметува HMAC на 8-бајтен бројач со заедничката тајна, па применува динамично скратување: последните четири бита од HMAC избираат поместување, оттаму се читаат четири бајти, највисокиот бит се бришe, а бројот се редуцира по модул 10^цифри. Резултатот е код од 6 до 8 цифри.

TOTP (RFC 6238) е HOTP каде бројачот е моменталниот временски чекор: T = floor(Unix време / период), со период од 30 секунди по основно. Вашиот телефон и серверот го пресметуваат истиот код независно, бидејќи ја делат тајната и (приближно) истиот часовник. Затоа се прикажани Претходен код и Следен код: серверите обично прифаќаат еден чекор пред или по за да го толерираат отстапувањето на часовникот.

HMAC се извршува со Web Crypto API на вашиот прелистувач со SHA-1, SHA-256 или SHA-512. SHA-1 со 6 цифри и 30 секунди го користи речиси секоја услуга; SHA-256 и SHA-512 се дозволени со RFC 6238, но некои апликации ги игнорираат, па менувајте ги основните вредности само ако услугата го бара тоа.

URI otpauth:// и QR код

Апликациите за автентикација се поставуваат со URI како otpauth://totp/Example:alice@example.com?secret=…&issuer=Example&algorithm=SHA1&digits=6&period=30, обично прикажана како QR код. Оваа алатка чита такви URI (вклучувајќи ознаки со процентно кодирање како ACME%20Co) и гради нови. QR кодот се црта локално од URI прикажана под otpauth:// URI.

Новата случајна тајна има 20 бајти (160 бита), должината што ја препорачува RFC 4226, земена од crypto.getRandomValues.

Безбедносни совети

Тајната е самиот втор фактор: секој што ја има може да произведува ваши кодови. Не залепувајте тајни на важни сметки на споделени компјутери и никогаш не споделувајте слики од екранот на QR кодот.
Сè се пресметува локално; ништо не се испраќа преку мрежа. Затворете го табот кога ќе завршите.
Чувајте ги резервните кодови од услугата: изгубена тајна не може да се обнови.

Често поставувани прашања

Зошто мојот код не се совпаѓа со оној во мојата апликација?

Прво проверете го часовникот на вашиот уред: TOTP кодовите се менуваат секој период, па часовник што отстапува повеќе од околу 30 секунди дава различни кодови. Потоа проверете дали алгоритамот, цифрите и периодот одговараат на она што го користела услугата.

Дали алатката е компатибилна со Google Authenticator и слични апликации?

Да. Го следи RFC 6238 и форматот на otpauth URI што го користат тие апликации. Скенирајте го QR кодот или впишете ја Base32 тајната во апликацијата, и двете треба да го покажуваат истиот Моментален код.

Која е разликата меѓу TOTP и HOTP?

TOTP напредува со времето, па кодот истекува по периодот. HOTP напредува со бројач што се зголемува секој пат кога се користи код, па кодот останува важечки додека не се употреби или замени.

Можам ли да ја користам алатката како мој секојдневен автентикатор?

Наменета е за тестирање, развој и обновување. Апликација на телефон или хардверски клуч е побезбеден за секојдневна употреба, бидејќи тајната не мора секој пат да се залепува во веб-страница.

Дали пресметките се проверени според стандардите?

Да. Алатката е тестирана со HOTP вредностите од Додаток D на RFC 4226 и TOTP вредностите од Додаток B на RFC 6238 за SHA-1, SHA-256 и SHA-512.