Utilia
Kategorije ▾
Jezik: sl ▾

Generator kod TOTP in HOTP

Ustvari kode 2FA TOTP in HOTP iz skrivnosti Base32 ali URI otpauth:// s SHA-1, SHA-256 ali SHA-512, odštevalnikom v živo in kodo QR za aplikacije 2FA.

Skrivnost 2FA je enako občutljiva kot geslo. Vse tu teče lokalno v tvojem brskalniku: skrivnost, kode in koda QR se nikamor ne pošiljajo.

Nastavi aplikacijo za overjanje

Dodaj izdajatelja in ime računa, nato skeniraj kodo QR ali kopiraj povezavo otpauth:// v svojo aplikacijo za overjanje.

Kako ustvariti kode TOTP

  1. Skrivnost Base32 (na primer JBSWY3DPEHPK3PXP) ali celotno povezavo otpauth:// prilepi v Skrivnost (Base32) ali URI otpauth://. Sprejeti so presledki, vezaji, male črke in manjkajoče polnilo =.
  2. Kode se pojavijo med tipkanjem ali ko klikneš Pokaži kode. Prilepljen URI namesto tebe izpolni polja Vrsta, Algoritem, Števke, Obdobje (sekunde), Izdajatelj in Račun.
  3. Preberi Trenutno kodo na sredini, s Prejšnjo kodo in Naslednjo kodo na obeh straneh. Vrstica spodaj odšteva sekunde do spremembe kode, Kopiraj kodo pa jo skopira brez presledka.
  4. Pri kodah na podlagi števca izberi HOTP (na podlagi števca), nastavi Števec in z Naslednji števec napreduj.
  5. Za ustvarjanje nove skrivnosti 2FA klikni Nova naključna skrivnost. Izpolni Izdajatelj in Račun, nato skeniraj kodo QR z aplikacijo za overjanje, Kopiraj URI ali Prenesi kodo QR (PNG).

Kako delujeta TOTP in HOTP

HOTP (RFC 4226) izračuna HMAC 8-bajtnega števca s skupno skrivnostjo, nato uporabi dinamično krajšanje: zadnji štirje biti HMAC izberejo odmik, od tam se preberejo štirje bajti, zgornji bit se počisti in število se zmanjša po modulu 10^števk. Rezultat je koda s 6 do 8 števkami.

TOTP (RFC 6238) je HOTP, pri katerem je števec trenutni časovni korak: T = floor(čas Unix / obdobje), privzeto z obdobjem 30 sekund. Tvoj telefon in strežnik isto kodo izračunata neodvisno, ker si delita skrivnost in (približno) isto uro. Zato sta prikazani Prejšnja koda in Naslednja koda: strežniki običajno sprejmejo en korak pred ali po, da prenesejo odstopanje ure.

HMAC teče z API-jem Web Crypto tvojega brskalnika s SHA-1, SHA-256 ali SHA-512. SHA-1 s 6 števkami in 30 sekundami uporablja skoraj vsaka storitev; SHA-256 in SHA-512 dovoljuje RFC 6238, vendar ju nekatere aplikacije prezrejo, zato privzete vrednosti spremeni le, če to zahteva storitev.

URI otpauth:// in koda QR

Aplikacije za overjanje se nastavijo z URI, kot je otpauth://totp/Example:alice@example.com?secret=…&issuer=Example&algorithm=SHA1&digits=6&period=30, ki je običajno prikazan kot koda QR. To orodje take URI bere (vključno z odstotno kodiranimi oznakami, kot je ACME%20Co) in gradi nove. Koda QR je lokalno narisana iz URI, prikazanega pod URI otpauth://.

Nova naključna skrivnost ima 20 bajtov (160 bitov), kolikor priporoča RFC 4226, vzeta iz crypto.getRandomValues.

Varnostni nasveti

  • Skrivnost je sam drugi dejavnik: kdor jo ima, lahko ustvari tvoje kode. Skrivnosti pomembnih računov ne lepi na skupnih računalnikih in nikoli ne deli posnetkov zaslona kode QR.
  • Vse se izračuna lokalno; po omrežju se nič ne pošilja. Ko končaš, zapri zavihek.
  • Hrani rezervne kode storitve: izgubljene skrivnosti ni mogoče obnoviti.

Pogosta vprašanja

Zakaj moja koda ni enaka tisti v aplikaciji?

Najprej preveri uro naprave: kode TOTP se spremenijo vsako obdobje, zato ura, ki zaostaja ali prehiteva za več kot približno 30 sekund, da drugačne kode. Nato preveri, ali algoritem, število števk in obdobje ustrezajo tistemu, kar je uporabila storitev.

Ali je to orodje združljivo z Google Authenticator in podobnimi aplikacijami?

Da. Sledi RFC 6238 in obliki URI otpauth, ki jo uporabljajo te aplikacije. Skeniraj kodo QR ali v aplikacijo vpiši skrivnost Base32 in obe bi morali prikazati isto Trenutno kodo.

Kakšna je razlika med TOTP in HOTP?

TOTP napreduje s časom, zato koda po obdobju poteče. HOTP napreduje s števcem, ki se poveča ob vsaki uporabi kode, zato koda ostane veljavna, dokler ni uporabljena ali zamenjana.

Ali lahko to orodje uporabljam kot vsakdanji overjevalnik?

Namenjeno je preizkušanju, razvoju in obnovitvi. Za vsakodnevno rabo sta varnejša aplikacija v telefonu ali strojni ključ, ker skrivnosti ni treba vsakič prilepiti na spletno stran.

Ali so bili izračuni preverjeni glede na standarde?

Da. Orodje je preizkušeno z vrednostmi HOTP iz dodatka D RFC 4226 in vrednostmi TOTP iz dodatka B RFC 6238 za SHA-1, SHA-256 in SHA-512.

Sorodna orodja