Bộ tạo TOTP

Giải thích thuật toán một cách đơn giản

TOTP là HOTP (mật khẩu dùng một lần dựa trên HMAC, RFC 4226) trong đó bộ đếm được thay bằng thời gian Unix hiện tại chia cho bước thời gian (thường là 30 giây):

counter = floor(unix_time / 30)
hash = HMAC-SHA1(secret, counter_as_8_byte_big_endian)
offset = last byte of hash AND 0x0F
truncated = 4 bytes from offset, with the top bit zeroed
code = truncated mod 10^digits

Thiết bị của bạn và máy chủ thực hiện cùng một phép tính trên cùng một khóa bí mật và cùng một đồng hồ, nên cả hai cho ra cùng một mã mà mã đó chưa bao giờ phải truyền đi đâu cả. Mã 6 chữ số đơn giản là HMAC đã cắt gọn lấy phần dư theo 10^6. Không có phép màu, chỉ là băm.

Các tham số thường gặp

Nếu một dịch vụ từ chối mã của bạn, hãy kiểm tra số chữ số và chu kỳ trước, rồi mới đến thuật toán. Cũng cần lưu ý rằng một số ứng dụng xác thực âm thầm bỏ qua các tham số không mặc định (Google Authenticator trước đây coi mọi thứ là SHA-1, 6 chữ số, 30 giây), vì vậy hãy luôn thử với đúng ứng dụng mà người dùng của bạn sẽ dùng.

Cất giữ khóa bí mật an toàn

• Không bao giờ gửi khóa bí mật 2FA qua email hay tin nhắn. Một khi đã nằm trong hộp thư, nó sẽ tồn tại vô thời hạn trong nhật ký và bản sao lưu của nhà cung cấp.
• Đăng ký bằng cách quét mã QR. Mã QR chứa một URI otpauth://totp/... gói khóa bí mật, thuật toán, số chữ số và chu kỳ vào một khối duy nhất, không thể hiểu nhầm.
• Sao lưu ngay lúc đăng ký. Lưu mã khôi phục, hoặc chính khóa bí mật, vào trình quản lý mật khẩu; mất điện thoại mà không có chúng là bạn bị khóa ngoài tài khoản.
• Mỗi dịch vụ một khóa riêng. Dịch vụ nào cũng phát hành khóa bí mật riêng khi thiết lập; nếu một khóa bị lộ, hãy đăng ký lại 2FA ở đó để khóa cũ hết hiệu lực.

Lệch thời gian

TOTP chỉ hoạt động khi hai đồng hồ khớp nhau. Trang này tính mã bằng đồng hồ của máy chủ, nên nếu mã ở đây khác với ứng dụng xác thực trên điện thoại, nghi phạm đầu tiên là đồng hồ của thiết bị. Đa số hệ thống kiểm tra chấp nhận lệch một cửa sổ về mỗi phía (30 đến 60 giây); vượt quá mức đó, hãy đồng bộ đồng hồ thiết bị qua NTP trước khi đổ lỗi cho khóa bí mật.

Chỉ dùng khóa thử nghiệm tại đây

Công cụ này tính mã trên máy chủ của chúng tôi: khóa bí mật bạn nhập được truyền qua HTTPS ở mỗi lần cập nhật, và cũng xuất hiện trong URL của trang khi bạn di chuyển giữa các bước của công cụ. Điều đó hoàn toàn ổn cho phát triển, demo và gỡ lỗi với các khóa dùng xong bỏ. Nhưng đây không phải chỗ cho khóa bí mật thật đang bảo vệ email hay tài khoản ngân hàng của bạn; những khóa đó phải nằm trong ứng dụng xác thực chuyên dụng trên điện thoại. Nếu bạn đã lỡ dán một khóa thật ra ngoài ứng dụng xác thực, hãy đăng ký lại 2FA ở dịch vụ đó để thay khóa.