TOTP-Generator

Zwei-Faktor-Codes lokal erzeugen

Ein zeitbasiertes Einmalpasswort (TOTP) ist der wechselnde 6-stellige Code, den Authenticator-Apps für die Zwei-Faktor-Authentifizierung verwenden. Dieser Generator nimmt Ihren geheimen Base32-Schlüssel und berechnet den aktuellen Code direkt in Ihrem Browser mit crypto.subtle und HMAC-SHA1, genau wie in RFC 6238 beschrieben. Das gemeinsame Geheimnis verlässt die Seite nie: kein Upload, kein Konto und kein Server-Roundtrip. Sie können die rohe Base32-Zeichenfolge einfügen, die ein Dienst neben seinem QR-Code anzeigt, oder den gesamten otpauth://totp/...-URI einfügen. Das Tool liest Geheimnis, Stellenzahl und Zeitintervall dann automatisch aus den Parametern.

So funktioniert TOTP

TOTP baut auf dem HOTP-Algorithmus auf. Die aktuelle Unix-Zeit wird durch ein Zeitintervall, meist 30 Sekunden, geteilt, um einen Zählerwert zu erhalten. Dieser Zähler wird mit HMAC-SHA1 und Ihrem geheimen Schlüssel gehasht, und ein dynamischer Kürzungsschritt macht aus dem Hash einen kurzen numerischen Code, üblicherweise sechsstellig. Ihr Gerät und der Server führen dieselbe Berechnung aus und stimmen daher im Code überein, solange ihre Uhren nah beieinander liegen. Da sich der Zähler alle 30 Sekunden ändert, ist jeder Code kurzlebig, und ein abgefangener Code wird schnell nutzlos. Der Countdown-Ring auf dieser Seite zeigt genau, wie viele Sekunden bis zum nächsten Code verbleiben.

Schützen Sie Ihr Geheimnis

Das TOTP-Geheimnis ist so sensibel wie ein Passwort, denn jeder, der es besitzt, kann dauerhaft gültige Codes erzeugen, bis Sie es zurücksetzen. Betrachten Sie dieses Tool als bequeme Möglichkeit, einen Code auf einem Gerät abzulesen, auf dem Ihre Authenticator-App nicht installiert ist, nicht als Langzeitspeicher. Fügen Sie keine Arbeits- oder Bankgeheimnisse in Browser-Tools ein, die Sie nicht kontrollieren, und leeren Sie das Feld, wenn Sie fertig sind. Wird ein Geheimnis jemals offengelegt, deaktivieren Sie die Zwei-Faktor-Authentifizierung für dieses Konto und richten Sie sie neu ein, um auf ein frisches Geheimnis zu wechseln. Für den Alltag bleiben eine eigene Authenticator-App oder ein Hardware-Schlüssel auf einem vertrauenswürdigen Gerät die sicherste Option, diese Seite dient als schnelle lokale Sicherung.