TOTP・HOTP コード生成（2 段階認証）

認証アプリの 6 桁のコードは、公開されている 2 つのアルゴリズムで作られています。回数を数える HOTP（RFC 4226）と、時計を使う TOTP（RFC 6238）です。この生成ツールは、アプリに渡されたのと同じ Base32 の秘密鍵（または QR コード内の otpauth:// リンク）を受け取り、現在・前・次のコード、残り秒数、前後のステップの表を表示します。自作の 2FA 実装のテストや、特定の時刻のコードの確認、コードが拒否される理由の調査にお使いください。

使い方

1. Base32 の秘密鍵、または otpauth:// リンク全体を貼り付けます。
2. サービスの指示がない限り、TOTP、SHA-1、6 桁、30 秒のままにします。
3. 時刻を空欄にすると現在、Unix 時間か ISO 形式の日付を入れるとその時点のコードを表示します。
4. HOTP の場合は、カウンターベースの種類を選んでカウンターを入力します。

計算式

HOTP(K, C) = Truncate(HMAC-SHA-1(K, C)) mod 10^d。TOTP は C = floor((now − T0) / X) を使い、T0 = 0（1970 年 1 月 1 日）、X = 30 秒です。

Truncate は、HMAC の最後のバイトの下位 4 ビットをオフセットとし、そこから 4 バイトを読んで最上位ビットを消し、31 ビットの数を得ます。d は桁数です。サービスが求める場合は HMAC-SHA-1 の代わりに SHA-256 や SHA-512 を使います。カウンター C は 8 バイトで、上位のバイトから書きます。

計算例

RFC 6238 は ASCII の秘密鍵 "12345678901234567890"、SHA-1、8 桁を使います。Unix 時間 59 ではステップは T = 1 でコードは 94287082、1111111109（2005 年 3 月 18 日 01:58:29 UTC）では T = 37037036 でコードは 07081804 です。同じ秘密鍵を Base32 で書くと GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQ で、カウンター 1 の HOTP では 287082 になります。