Генератор TOTP

Генерируйте коды двухфакторной аутентификации локально

Одноразовый пароль на основе времени (TOTP) — это постоянно меняющийся 6-значный код, который приложения-аутентификаторы используют для двухфакторной аутентификации. Этот генератор берёт ваш секретный ключ Base32 и вычисляет текущий код прямо в браузере с помощью crypto.subtle и HMAC-SHA1, точно так, как описано в RFC 6238. Общий секрет никогда не покидает страницу: без загрузки, без аккаунта и без обмена с сервером. Вы можете вставить необработанную строку Base32, которую сервис показывает рядом со своим QR-кодом, или вставить весь URI otpauth://totp/..., и инструмент автоматически прочитает из его параметров секрет, количество цифр и период времени.

Как работает TOTP

TOTP основан на алгоритме HOTP. Текущее Unix-время делится на шаг времени, обычно 30 секунд, чтобы получить значение счётчика. Этот счётчик хешируется с помощью HMAC-SHA1 с вашим секретным ключом, а шаг динамического усечения превращает хеш в короткий числовой код, как правило из шести цифр. И ваше устройство, и сервер выполняют одно и то же вычисление, поэтому они сходятся в коде, пока их часы близки. Поскольку счётчик меняется каждые 30 секунд, каждый код живёт недолго, а перехваченный код быстро становится бесполезным. Кольцо обратного отсчёта на этой странице точно показывает, сколько секунд осталось до появления следующего кода.

Берегите свой секрет

Секрет TOTP так же чувствителен, как и пароль, ведь любой, кто им владеет, может генерировать действительные коды бессрочно, пока вы его не сбросите. Воспринимайте этот инструмент как удобный способ увидеть код на устройстве, где не установлено ваше приложение-аутентификатор, а не как долговременное хранилище. Не вставляйте рабочие или банковские секреты в любые браузерные инструменты, которые вы не контролируете, и очищайте поле после завершения. Если секрет когда-либо будет раскрыт, отключите двухфакторную аутентификацию для этой учётной записи и настройте её заново, чтобы перейти на новый секрет. Для повседневного использования самым безопасным вариантом остаётся отдельное приложение-аутентификатор или аппаратный ключ на надёжном устройстве, а эта страница служит быстрой локальной резервной копией.