Question 1

Qual è la differenza tra TOTP e HOTP?

Accepted Answer

TOTP (OTP basato sul tempo) genera un nuovo codice a 6 cifre ogni 30 secondi usando il timestamp attuale come input — è quello che usano le app autenticatrici come Google Authenticator. HOTP (OTP basato su HMAC) genera codici basati su un valore contatore che si incrementa ad ogni uso, rendendo ogni codice valido finché non viene usato invece di scadere nel tempo.

Question 2

È sicuro generare OTP nel browser?

Accepted Answer

Questo strumento usa la Web Crypto API con HMAC-SHA1 interamente nel tuo browser — la tua chiave segreta non lascia mai il tuo dispositivo. Tuttavia, memorizzare la chiave segreta in uno strumento browser è meno sicuro di un'app autenticatrice dedicata (come Authy o Google Authenticator) che memorizza i segreti in un'archiviazione app protetta, a volte con blocco biometrico.

Question 3

In quale formato deve essere la chiave segreta?

Accepted Answer

La chiave segreta deve essere in codifica Base32 — usando i caratteri A-Z e 2-7, con caratteri di padding opzionali `=`. La maggior parte dei QR code di configurazione 2FA codificano il segreto in Base32 all'interno di un URI otpauth://. Le lunghezze tipiche del segreto sono 16 o 32 caratteri (80 o 160 bit).

Question 4

Perché TOTP ha una finestra di 30 secondi?

Accepted Answer

RFC 6238 definisce il passo temporale predefinito come 30 secondi come equilibrio tra usabilità (abbastanza tempo per leggere e digitare il codice) e sicurezza (abbastanza breve da rendere impossibile l'utilizzo prolungato di un codice rubato). La maggior parte dei server accetta anche codici dalle finestre temporali adiacenti (±30 s) per consentire una leggera deriva dell'orologio.

Question 5

A cosa serve un URI otpauth://?

Accepted Answer

Un URI otpauth:// codifica tutti i parametri necessari per aggiungere un account a un'app autenticatrice — il tipo (totp/hotp), l'emittente, il nome dell'account, il segreto, l'algoritmo, il numero di cifre e il periodo. Quando questo URI viene codificato come QR code, le app autenticatrici possono scansionarlo per configurarsi automaticamente.

Generatore OTP

Domande Frequenti

Comments & Feedback