Gerador TOTP

O algoritmo em linguagem simples

TOTP é HOTP (senha de uso único baseada em HMAC, RFC 4226) com o contador substituído pelo horário Unix atual dividido pelo passo de tempo (geralmente 30 segundos):

counter = floor(unix_time / 30)
hash = HMAC-SHA1(secret, counter_as_8_byte_big_endian)
offset = last byte of hash AND 0x0F
truncated = 4 bytes from offset, with the top bit zeroed
code = truncated mod 10^digits

Seu dispositivo e o servidor fazem a mesma conta com o mesmo segredo e o mesmo relógio, então chegam ao mesmo código sem que ele jamais seja transmitido. Um código de 6 dígitos é apenas o HMAC truncado módulo 10^6. Sem mágica, só hashing.

Parâmetros comuns

Se um serviço rejeitar seus códigos, verifique primeiro a quantidade de dígitos e o período, depois o algoritmo. Note também que alguns aplicativos autenticadores ignoram silenciosamente parâmetros fora do padrão (o Google Authenticator historicamente tratava tudo como SHA-1, 6 dígitos, 30 segundos), então teste sempre com o aplicativo exato que seus usuários vão usar.

Guardando os segredos com segurança

• Nunca envie um segredo 2FA por e-mail ou mensagem. Assim que ele entra em uma caixa de entrada, fica para sempre nos registros e backups do provedor.
• Cadastre a 2FA escaneando o QR code. O QR codifica uma URI otpauth://totp/... que reúne segredo, algoritmo, dígitos e período em um único pacote sem ambiguidade.
• Faça backup no momento do cadastro. Guarde os códigos de recuperação, ou o próprio segredo, em um gerenciador de senhas; perder o celular sem eles deixa você trancado do lado de fora.
• Um segredo por serviço. Cada serviço emite o próprio segredo na configuração; se algum vazar, cadastre a 2FA de novo para que o antigo pare de funcionar.

Desvio de relógio

TOTP só funciona enquanto os dois relógios concordam. Esta página calcula os códigos com o relógio do servidor, então, se o código daqui for diferente do seu aplicativo autenticador, o primeiro suspeito é o relógio do dispositivo. A maioria dos validadores aceita uma janela de desvio para cada lado (30 a 60 segundos); além disso, sincronize o relógio do dispositivo via NTP antes de culpar o segredo.

Use segredos de teste aqui

Esta ferramenta calcula o código no nosso servidor: o segredo que você digita é transmitido por HTTPS a cada atualização e também aparece na URL da página se você navegar entre as etapas da ferramenta. Isso é adequado para desenvolvimento, demonstrações e depuração com segredos descartáveis. Não é o lugar para o segredo real que protege seu e-mail ou sua conta bancária; esse deve morar em um aplicativo autenticador dedicado no seu celular. Se você já colou um segredo real fora do seu autenticador, cadastre a 2FA de novo naquele serviço para que o segredo seja trocado.