TOTP Генератор — Живи код за 2FA аутентикатор

Ова алатка генерише стварне, стандардно усаглашене временски засноване једнократне лозинке (TOTP) из Base32 тајне, исте оне шестоцифрене ротирајуће кодове које приказују апликације попут Google Authenticator-а или Authy-ја. Налепите тајну коју сте добили приликом подешавања двофакторске аутентикације — исти онај низ обично сакривен иза QR кода — и гледајте како живи код одбројава и освежава се сваких 30 секунди, баш као у апликацији на телефону. Намењена је тестирању и верификацији 2FA тајни које поседујете или контролишете: отклањању грешака у току пријаве који правите, потврђивању резервног кода пре него што баците QR код за подешавање или провери да ли је тајна исправно укуцана.

Испод хаубе ово је права имплементација RFC 6238 (TOTP) изграђена на RFC 4226 (HOTP), а не козметичко одбројавање. Base32 тајна се декодира према RFC 4648 у сирове бајтове кључа, тренутно Unix време се дели временским кораком да би се добио покретни бројач, а тај бројач се кодира као 8-бајтни биг-ендиан бафер. Изворни Web Crypto API прегледача (crypto.subtle) израчунава HMAC над тим бафером са изабраним хешом — SHA-1 остаје скоро универзални подразумевани избор ради компатибилности са постојећим аутентикатор апликацијама, док се SHA-256 и SHA-512 нуде за подешавања која подржавају јаче варијанте. Динамичко скраћивање по RFC 4226 затим извлачи четири бајта из HMAC излаза на офсету узетом из његовог последњег бајта, маскира највиши бит и своди резултат по модулу 10^6 или 10^8 да би произвео 6- или 8-цифрени код — исту ону аритметику коју интерно извршава аутентикатор апликација на вашем телефону.

Сваки део процеса одвија се локално: нема серверске компоненте, нема аналитичког сигнала који носи вашу тајну и нема било каквог спољног API позива. Base32 текст који налепите у поље директно парсира JavaScript који ради у вашем табу и никада га не напушта. То чини ову алатку безбедним начином за проверу исправности 2FA тајне на машини којој верујете, мада, као и код сваке алатке која дотиче аутентикациони материјал, и даље треба да избегавате лепљење тајни на дељеним или јавним рачунарима и да ово користите само на кодовима везаним за налоге које поседујете или за чије сте тестирање изричито овлашћени.

Контроле за алгоритам, број цифара и временски корак постоје зато што TOTP примене у стварном свету нису савршено униформне: већина потрошачких сервиса користи SHA-1 са 6 цифара и кораком од 30 секунди, али неки пословни и програмерски алати издају SHA-256 или SHA-512 тајне, 8-цифрене кодове или нестандардне временске кораке попут 15 или 60 секунди. Усклађивање ових подешавања са оним што наводи URI за подешавање или страница за конфигурацију омогућава вам да тачно репродукујете код који би показала ваша аутентикатор апликација, што је непроцењиво када имплементирате сопствени TOTP верификациони сервер и потребна вам је поуздана, офлајн референца за поређење.