TOTP 생성기

알고리즘을 쉬운 말로

TOTP는 HOTP(HMAC 기반 일회용 비밀번호, RFC 4226)에서 카운터를 현재 Unix 시간을 시간 간격(보통 30초)으로 나눈 값으로 바꾼 것입니다.

counter = floor(unix_time / 30)
hash = HMAC-SHA1(secret, counter_as_8_byte_big_endian)
offset = last byte of hash AND 0x0F
truncated = 4 bytes from offset, with the top bit zeroed
code = truncated mod 10^digits

기기와 서버가 같은 비밀키와 같은 시계로 같은 계산을 하기 때문에, 코드를 어디로도 전송하지 않고 둘 다 같은 코드에 도달합니다. 6자리 코드는 잘라낸 HMAC을 10^6으로 나눈 나머지일 뿐입니다. 마법은 없고, 그저 해싱입니다.

일반적인 파라미터

서비스가 코드를 거부하면 자릿수와 주기를 먼저 확인하고, 그다음 알고리즘을 확인하세요. 일부 인증 앱은 비표준 파라미터를 조용히 무시한다는 점도 기억하세요(Google OTP는 과거에 모든 것을 SHA-1, 6자리, 30초로 처리했습니다). 따라서 항상 사용자가 실제로 쓸 바로 그 앱으로 테스트해야 합니다.

비밀키를 안전하게 보관하기

• 2FA 비밀키를 이메일이나 메시지로 절대 보내지 마세요. 받은편지함에 들어가는 순간 제공업체의 로그와 백업에 무기한 남습니다.
• QR 코드를 스캔해서 등록하세요. QR에는 비밀키, 알고리즘, 자릿수, 주기를 하나의 명확한 묶음으로 담은 otpauth://totp/... URI가 들어 있습니다.
• 등록하는 순간에 백업하세요. 복구 코드나 비밀키 자체를 비밀번호 관리자에 보관하세요. 백업 없이 휴대폰을 잃어버리면 계정에서 잠겨 버립니다.
• 서비스마다 비밀키는 하나씩. 모든 서비스는 설정 시 자체 비밀키를 발급합니다. 어느 하나라도 유출되면 그 서비스에서 2FA를 다시 등록해 이전 비밀키를 무효화하세요.

시간 오차

TOTP는 양쪽 시계가 일치할 때만 동작합니다. 이 페이지는 서버 시계로 코드를 계산하므로, 여기 코드가 휴대폰 인증 앱과 다르다면 첫 번째 용의자는 기기의 시계입니다. 대부분의 검증 시스템은 앞뒤로 한 창(30~60초)의 오차를 허용합니다. 그 이상이라면 비밀키를 의심하기 전에 기기 시간을 NTP로 동기화하세요.

여기서는 테스트 비밀키만 사용하세요

이 도구는 코드를 저희 서버에서 계산합니다. 입력한 비밀키는 갱신될 때마다 HTTPS로 전송되고, 도구의 단계를 이동하면 페이지 URL에도 나타납니다. 일회용 테스트 비밀키로 개발, 시연, 디버깅을 하기에는 문제가 없습니다. 그러나 이메일이나 은행 계정을 보호하는 실제 비밀키를 넣을 곳은 아닙니다. 그런 키는 휴대폰의 전용 인증 앱에 있어야 합니다. 실제 비밀키를 이미 인증 앱 밖 어딘가에 붙여넣었다면, 해당 서비스에서 2FA를 다시 등록해 비밀키를 교체하세요.