Question 1

TOTP 和 HOTP 有什么区别？

Accepted Answer

TOTP（基于时间的 OTP）使用当前时间戳作为输入，每 30 秒生成一个新的 6 位代码 — 这是 Google Authenticator 等身份验证应用使用的方式。HOTP（基于 HMAC 的 OTP）根据每次使用时递增的计数器值生成代码，使每个代码在使用之前有效，而不是按时间过期。

Question 2

在浏览器中生成 OTP 安全吗？

Accepted Answer

此工具完全在浏览器中使用 Web Crypto API 和 HMAC-SHA1 — 您的密钥永远不会离开您的设备。但是，将密钥存储在浏览器工具中不如专用身份验证应用（如 Authy 或 Google Authenticator）安全，后者将密钥存储在受保护的应用存储中，有时还带有生物识别锁。

Question 3

密钥应该是什么格式？

Accepted Answer

密钥必须采用 Base32 编码 — 使用字符 A-Z 和 2-7，以及可选的填充字符 `=`。大多数 2FA 设置二维码在 otpauth:// URI 中以 Base32 编码密钥。典型的密钥长度为 16 或 32 个字符（80 或 160 位）。

Question 4

TOTP 为什么有 30 秒的窗口？

Accepted Answer

RFC 6238 将默认时间步长定义为 30 秒，这是可用性（有足够的时间读取和输入代码）和安全性（时间足够短，被盗代码无法长时间使用）之间的平衡。大多数服务器还接受相邻时间窗口（±30 秒）的代码，以允许轻微的时钟偏差。

Question 5

otpauth:// URI 用于什么？

Accepted Answer

otpauth:// URI 编码将帐户添加到身份验证应用所需的所有参数 — 类型（totp/hotp）、发行者、帐户名称、密钥、算法、数字位数和时间段。当此 URI 被编码为二维码时，身份验证应用可以扫描它以自动配置自身。

OTP生成器

常见问题