Penjana OTP (TOTP/HOTP)

Cara Penjana OTP Berfungsi

Apa yang Alat Ini Lakukan

Penjana OTP ini mencipta Kata Laluan Sekali Guna Berasaskan Masa (TOTP) dan Kata Laluan Sekali Guna Berasaskan HMAC (HOTP) yang serasi dengan Google Authenticator, Authy, dan aplikasi 2FA lain. Masukkan atau jana kunci rahsia Base32, dan alat ini akan menghasilkan kod 6-8 digit yang berubah setiap 30 atau 60 saat untuk TOTP, atau meningkat mengikut kaunter untuk HOTP. Semua pengiraan dijalankan secara tempatan dalam pelayar anda menggunakan Web Crypto API, jadi rahsia anda tidak pernah meninggalkan peranti anda.

Kes Penggunaan Pembangun yang Lazim

Pembangun menggunakan penjana TOTP dalam talian untuk menguji pelaksanaan pengesahan dua faktor, mengesahkan bahawa pustaka OTP mereka menghasilkan kod yang betul, dan menyahpepijat aliran pengesahan. Apabila membina sistem 2FA, anda boleh menggunakan alat ini untuk menjana rahsia ujian, mengesahkan pelaksanaan TOTP di sisi pelayan, dan memastikan penyegerakan masa adalah betul. Ia juga membantu pasukan QA mengesahkan aliran kerja 2FA tanpa memasang aplikasi pengesah pada peranti mereka.

Format Data dan Piawaian

Alat OTP ini melaksanakan piawaian RFC 6238 (TOTP) dan RFC 4226 (HOTP). Kunci rahsia menggunakan pengekodan Base32, iaitu format standard untuk aplikasi pengesah. Alat ini menyokong algoritma hash SHA-1 (lalai, paling serasi), SHA-256, dan SHA-512. Kod output boleh terdiri daripada 6, 7, atau 8 digit, dengan 6 sebagai yang paling biasa. Format URI OTP Auth (otpauth://totp/...) serasi dengan Google Authenticator dan aplikasi seumpamanya.

Perangkap Lazim dan Kes Tepi

Kod TOTP sangat sensitif terhadap masa. Jika jam pelayan dan klien anda tidak segerak lebih daripada 30 saat, pengesahan akan gagal. Kebanyakan pelaksanaan membenarkan tetingkap 1-2 langkah masa untuk menangani hanyutan kecil. SHA-1 ialah algoritma yang paling meluas disokong; sesetengah aplikasi pengesah lama mungkin tidak menyokong SHA-256 atau SHA-512. Pastikan kunci rahsia anda dikodkan Base32 dengan betul—aksara tidak sah akan menyebabkan ralat penyahkodan.

Bila Perlu Menggunakan Alat Ini Berbanding Kod

Gunakan penjana OTP ini untuk ujian, penyahpepijatan, dan mengesahkan pelaksanaan 2FA anda semasa pembangunan. Untuk sistem produksi, jana dan sahkan kod OTP pada pelayan anda menggunakan pustaka yang mantap seperti pyotp (Python), speakeasy (Node.js), atau GoogleAuthenticator (pelbagai bahasa). Jangan sekali-kali mendedahkan kunci rahsia dalam kod sisi klien. Alat ini sesuai untuk aliran kerja pembangunan, tetapi aplikasi anda sepatutnya mengendalikan pengesahan OTP di sisi pelayan.