Question 1

TOTP와 HOTP의 차이점은 무엇인가요?

Accepted Answer

TOTP(시간 기반 OTP)는 현재 타임스탬프를 입력으로 사용하여 30초마다 새로운 6자리 코드를 생성합니다 — Google Authenticator 같은 인증 앱이 사용하는 방식입니다. HOTP(HMAC 기반 OTP)는 사용할 때마다 증가하는 카운터 값을 기반으로 코드를 생성하여, 각 코드는 시간 만료 대신 사용될 때까지 유효합니다.

Question 2

브라우저에서 OTP를 생성하는 것이 안전한가요?

Accepted Answer

이 도구는 브라우저에서 Web Crypto API와 HMAC-SHA1을 완전히 사용합니다 — 비밀 키는 기기를 벗어나지 않습니다. 그러나 브라우저 도구에 비밀 키를 저장하는 것은 생체 인식 잠금 기능이 있는 보호된 앱 저장소에 비밀을 저장하는 전용 인증 앱(Authy, Google Authenticator 등)보다 덜 안전합니다.

Question 3

비밀 키는 어떤 형식이어야 하나요?

Accepted Answer

비밀 키는 Base32 인코딩 형식이어야 합니다 — A-Z와 2-7 문자를 사용하며, 선택적으로 패딩 문자 `=`가 포함될 수 있습니다. 대부분의 2FA 설정 QR 코드는 otpauth:// URI 내에 Base32로 비밀을 인코딩합니다. 일반적인 비밀 길이는 16 또는 32자(80 또는 160비트)입니다.

Question 4

TOTP에 30초 창이 있는 이유는 무엇인가요?

Accepted Answer

RFC 6238은 기본 시간 단계를 30초로 정의하는데, 이는 사용성(코드를 읽고 입력할 충분한 시간)과 보안(훔친 코드를 오래 사용할 수 없을 만큼 짧음)의 균형입니다. 대부분의 서버는 약간의 시계 편차를 허용하기 위해 인접 시간 창(±30초)의 코드도 수락합니다.

Question 5

otpauth:// URI는 무엇에 사용되나요?

Accepted Answer

otpauth:// URI는 인증 앱에 계정을 추가하는 데 필요한 모든 매개변수를 인코딩합니다 — 유형(totp/hotp), 발급자, 계정 이름, 비밀, 알고리즘, 자릿수, 기간. 이 URI가 QR 코드로 인코딩되면 인증 앱이 스캔하여 자동으로 구성할 수 있습니다.

OTP 생성기

자주 묻는 질문

Comments & Feedback