Question 1

TOTPとHOTPの違いは何ですか？

Accepted Answer

TOTP（時間ベースOTP）は現在のタイムスタンプを入力として使用し、30秒ごとに新しい6桁のコードを生成します — Google AuthenticatorなどのAuthenticatorアプリが使用する方式です。HOTP（HMACベースOTP）は使用するたびに増加するカウンター値に基づいてコードを生成し、各コードは時間による有効期限ではなく使用されるまで有効です。

Question 2

ブラウザでOTPを生成するのは安全ですか？

Accepted Answer

このツールはブラウザ内でWeb Crypto APIとHMAC-SHA1を完全に使用しています — 秘密鍵はデバイスの外に出ることはありません。ただし、ブラウザツールに秘密鍵を保存することは、生体認証ロック付きの保護されたアプリストレージに秘密を保存する専用Authenticatorアプリ（AuthyやGoogle Authenticatorなど）よりも安全性が低くなります。

Question 3

秘密鍵はどの形式である必要がありますか？

Accepted Answer

秘密鍵はBase32エンコーディング形式である必要があります — A-Zと2-7の文字を使用し、オプションでパディング文字`=`が含まれます。ほとんどの2FAセットアップQRコードはotpauth:// URI内にBase32で秘密をエンコードしています。一般的な秘密の長さは16または32文字（80または160ビット）です。

Question 4

TOTPに30秒のウィンドウがある理由は何ですか？

Accepted Answer

RFC 6238は、デフォルトの時間ステップを30秒と定義しています。これはユーザビリティ（コードを読んで入力するための十分な時間）とセキュリティ（盗んだコードを長く使用できないほど短い）のバランスです。ほとんどのサーバーは、わずかな時計のずれを許容するために隣接する時間ウィンドウ（±30秒）のコードも受け入れます。

Question 5

otpauth:// URIは何に使われますか？

Accepted Answer

otpauth:// URIは、アカウントをAuthenticatorアプリに追加するために必要なすべてのパラメーター（タイプ（totp/hotp）、発行者、アカウント名、秘密、アルゴリズム、桁数、期間）をエンコードします。このURIがQRコードとしてエンコードされると、AuthenticatorアプリがスキャンしてNOTPを自動的に設定できます。

OTPジェネレーター

よくある質問

Comments & Feedback