OTPコード生成 - TOTPコード・QRコード生成（二要素認証対応）

TOTPとHOTPの違いは何ですか？

TOTP（時間ベースのワンタイムパスワード）とHOTP（HMACベースのワンタイムパスワード）は、それぞれRFC 6238およびRFC 4226で定義されたワンタイムパスワードアルゴリズムです。主な違いはカウンターにあります。TOTPは現在時刻をタイムステップ（通常30秒）で割った値を変動要因として使用するのに対し、HOTPはコード生成ごとに増加するイベントカウンターを使用します。TOTPはコードがユーザー操作なしで自動的に変化するため、現代の2FAでより一般的に使用されています。HOTPは通常、時刻同期が保証されないシナリオで使用されます。当ツールは最も広く使用されているTOTP方式を実装しています。

TOTPアルゴリズムはどのように動作しますか？

TOTPアルゴリズムは4つのステップで動作します：（1）現在のUnixタイムスタンプをタイムステップ（デフォルト30秒）で割り、カウンター値を取得します。（2）このカウンターを共有シークレットキーとHMAC-SHA1で組み合わせてハッシュを生成します。（3）「動的トランケーション」というプロセスでハッシュを切り詰め、31ビットのバイナリ値を抽出します。（4）この値を10^6で割った余りを計算し、6桁のコードを生成します。プロセス全体は決定論的です — 同じシークレットと時刻からは常に同じコードが生成されます。これにより、サーバーと認証アプリは通信することなく一致するコードを生成できます。

このTOTPコード生成ツールはGoogle AuthenticatorやAuthyと互換性がありますか？

はい、完全に互換性があります。当TOTPジェネレーターは標準のSHA1アルゴリズム、30秒のタイムステップ、6桁のコード生成を使用しています — これはGoogle Authenticator、Authy、Microsoft Authenticator、1Password、Bitwarden、およびすべての標準TOTP互換アプリで使用されているパラメーターとまったく同じです。当ツールが生成するQRコードは、すべての認証アプリが認識する標準のotpauth:// URI形式を使用しています。お好みの認証アプリでQRコードをスキャンするだけで、正しいシークレットで自動設定されます。

実際の2FAシークレットをこのOTP生成ツールで使用しても安全ですか？

はい、すべての処理はブラウザ内で100%クライアントサイドで行われるため、実際のシークレットの使用は安全です。シークレットキーがデバイスから送信されることはありません — ネットワーク経由で送信されたり、データベースに保存されたり、サーバーに送信されたりすることは一切ありません。HMAC-SHA1計算、Base32デコード、QRコード生成、その他すべての操作はJavaScriptを使用してローカルで行われます。ただし、セキュリティのベストプラクティスとして、共有または信頼できないコンピューターでは使用せず、使用後はシークレットを消去し、日常的な2FA用途にはスマートフォンの専用認証アプリを使用することを推奨します。

桁数やタイムステップを変更できますか？

現在のバージョンでは、最も一般的なTOTP設定（SHA1アルゴリズム、6桁コード、30秒タイムステップ）を使用しています。これらはGoogle Authenticator、Authy、および大多数のサービスで使用されるデフォルトパラメーターです。TOTP標準では異なるアルゴリズム（SHA256、SHA512）、桁数（8桁）、タイムステップ（60秒）もサポートされていますが、実際に使用されることは稀です。ほとんどのサービスと認証アプリは、標準のSHA1/6桁/30秒構成を想定しています。特定の要件がある場合は、これらのオプションをサポートするように拡張可能です。