Question 1

Qual é a diferença entre TOTP e HOTP?

Accepted Answer

TOTP (OTP baseado em tempo) gera um novo código de 6 dígitos a cada 30 segundos usando o timestamp atual como entrada — é o que aplicativos autenticadores como Google Authenticator usam. HOTP (OTP baseado em HMAC) gera códigos com base em um valor contador que incrementa a cada uso, tornando cada código válido até ser usado em vez de expirar por tempo.

Question 2

É seguro gerar OTPs no navegador?

Accepted Answer

Esta ferramenta usa a Web Crypto API com HMAC-SHA1 completamente no seu navegador — sua chave secreta nunca sai do seu dispositivo. No entanto, armazenar a chave secreta em uma ferramenta do navegador é menos seguro do que um aplicativo autenticador dedicado (como Authy ou Google Authenticator) que armazena segredos em armazenamento de aplicativo protegido, às vezes com bloqueio biométrico.

Question 3

Em que formato deve estar a chave secreta?

Accepted Answer

A chave secreta deve estar em codificação Base32 — usando os caracteres A-Z e 2-7, com caracteres de preenchimento opcionais `=`. A maioria dos QR codes de configuração 2FA codifica o segredo em Base32 dentro de um URI otpauth://. Comprimentos típicos de segredo são 16 ou 32 caracteres (80 ou 160 bits).

Question 4

Por que o TOTP tem uma janela de 30 segundos?

Accepted Answer

O RFC 6238 define o passo de tempo padrão como 30 segundos como um equilíbrio entre usabilidade (tempo suficiente para ler e digitar o código) e segurança (curto o suficiente para que um código roubado não possa ser usado por muito tempo). A maioria dos servidores também aceita códigos das janelas de tempo adjacentes (±30 s) para permitir ligeira deriva do relógio.

Question 5

Para que é usado um URI otpauth://?

Accepted Answer

Um URI otpauth:// codifica todos os parâmetros necessários para adicionar uma conta a um aplicativo autenticador — o tipo (totp/hotp), o emissor, nome da conta, segredo, algoritmo, contagem de dígitos e período. Quando este URI é codificado como um QR code, aplicativos autenticadores podem escaneá-lo para se configurarem automaticamente.

Gerador de OTP

Perguntas Frequentes

Comments & Feedback