TOTP Oluşturucu

RFC 6238'de tanımlanan, zamana dayalı tek kullanımlık paroladır. Sunucu ve uygulama ortak bir anahtar paylaşır, ikisi de o anki zamanı 30 saniyelik dilimlere böler ve üzerinde HMAC çalıştırır. Aynı girdiden aynı sonucu ürettikleri için hiçbir kod ağ üzerinden geçmek zorunda kalmaz.

Hepsiyle. Google Authenticator, Microsoft Authenticator, Authy, 1Password, Bitwarden ve diğerleri aynı otpauth URI biçimini okur.

Çünkü yaygın uygulamaların birkaçı bu parametreleri sessizce yok sayıp yine SHA-1 ile altı haneli kod üretir. Sonuç, hiç tutmayan kodlar ve tekrar üretemediğiniz bir destek talebi olur. İki tarafı da siz kontrol etmiyorsanız varsayılanlarda kalın.

Kodlar tutmaz. Sunucular genelde bir önceki ve bir sonraki pencereyi de kabul eder, bu da yaklaşık bir dakikalık kaymayı tolere eder. Pencereyi daha da genişletmek korumayı zayıflatır.

Anahtar tarayıcınızda üretilir ve hiçbir yere gönderilmez, yani araç kendisi bir risk değil. Karar vermeniz gereken şey kendi cihazınız ve ekranınız. Üretimdeki bir kayıt için anahtarı, onu saklayacak sunucuda üretin.

otpauth URI'sini kopyalayıp QR kod oluşturucumuza yapıştırın. Doğrulayıcı uygulamalar anahtarın resmini değil URI'yi okur, yani doğru kodlanmış her QR çalışır.

Çünkü anahtar bazen elle yazılmak zorunda kalır. Base32, birbirine karışan karakterleri dışarıda bırakır; 0 ile O ya da 1 ile l sorunu olmaz.

Evet, hem de açık farkla. SMS araya girilerek okunabilir ya da SIM kart takasıyla başka telefona taşınabilir; TOTP anahtarı ise kaydedildiği cihazdan hiç çıkmaz. İkisi de inandırıcı bir oltalama sayfasını durduramaz, donanım anahtarları tam olarak bunun için var.