§04-05Auth

TOTP / Authenticator

認証アプリの時間ベースコードで 2 要素認証する。

パスワード漏洩時でもアカウントを守る追加の確認手段になる。SMS に依存せず、オフラインでもコードを得られる。

実装のポイント

コードは Unix 時刻を 30 秒で割った値をカウンタとして HMAC-SHA1 から算出する。残り時間はサーバーとの時計ずれを考慮し、前後 1 ステップを許容して検証する。