TOTP-generator

Algoritmen på vanlig svenska

TOTP är HOTP (HMAC-baserat engångslösenord, RFC 4226) där räknaren ersatts av den aktuella Unix-tiden delad med tidssteget (oftast 30 sekunder):

counter = floor(unix_time / 30)
hash = HMAC-SHA1(secret, counter_as_8_byte_big_endian)
offset = last byte of hash AND 0x0F
truncated = 4 bytes from offset, with the top bit zeroed
code = truncated mod 10^digits

Din enhet och servern gör samma matematik på samma hemlighet och samma klocka, så de landar på samma kod utan att koden någonsin skickas någonstans. En 6-siffrig kod är helt enkelt den trunkerade HMAC:en modulo 10^6. Ingen magi, bara hashning.

Vanliga parametrar

Om en tjänst avvisar dina koder, kontrollera först antalet siffror och perioden, därefter algoritmen. Tänk också på att vissa autentiseringsappar tyst ignorerar parametrar som inte är standard (Google Authenticator behandlade historiskt allt som SHA-1, 6 siffror, 30 sekunder), så testa alltid med exakt den app dina användare kommer att använda.

Förvara hemligheter säkert

• Mejla eller meddela aldrig en 2FA-hemlighet. Så fort den ligger i en inkorg finns den kvar i leverantörens loggar och säkerhetskopior på obestämd tid.
• Registrera genom att skanna QR-koden. QR-koden innehåller en otpauth://totp/...-URI som samlar hemlighet, algoritm, siffror och period i ett entydigt paket.
• Säkerhetskopiera vid registreringen. Spara återställningskoderna, eller själva hemligheten, i en lösenordshanterare; utan dem blir du utelåst om telefonen försvinner.
• En hemlighet per tjänst. Varje tjänst utfärdar sin egen hemlighet vid konfigurationen; läcker någon, registrera om 2FA där så att den gamla slutar fungera.

Tidsdrift

TOTP fungerar bara så länge båda klockorna stämmer överens. Den här sidan beräknar koderna med serverns klocka, så om koden här skiljer sig från din autentiseringsapp är enhetens klocka den första misstänkta. De flesta validerare accepterar ett fönsters avvikelse åt varje håll (30 till 60 sekunder); bortom det, synka enhetens klocka via NTP innan du skyller på hemligheten.

Använd testhemligheter här

Det här verktyget beräknar koden på vår server: hemligheten du skriver in skickas över HTTPS vid varje uppdatering och syns dessutom i sidans URL om du går mellan verktygets steg. Det är helt okej för utveckling, demonstrationer och felsökning med engångshemligheter. Det är däremot fel plats för den riktiga hemlighet som skyddar din e-post eller ditt bankkonto; den hör hemma i en dedikerad autentiseringsapp i telefonen. Har du redan klistrat in en riktig hemlighet utanför din autentiseringsapp, registrera om 2FA hos den tjänsten så att hemligheten byts ut.