Apa yang dilakukan alat ini
Kebanyakan kode login dua langkah adalah kode TOTP: enam digit yang berganti setiap 30 detik, dibuat dari kunci rahasia bersama dan waktu saat ini. Alat ini membuat kode yang sama di peramban Anda. Tempel kunci rahasia (ditulis dalam Base32, huruf A sampai Z dan angka 2 sampai 7) atau seluruh tautan otpauth://, lalu Anda melihat kode saat ini dengan cincin hitung mundur ke kode berikutnya, serta kode sebelumnya dan sesudahnya. Cocok untuk pengembang yang membangun atau menguji dua faktor, untuk memeriksa apakah kunci tersalin dengan benar, dan untuk siapa pun yang punya kunci tersimpan dan butuh satu kode.
Cara kode dibuat
Kunci diubah menjadi byte. Jumlah periode penuh sejak 1 Januari 1970 (UTC) menjadi penghitung 8 byte. HMAC penghitung dengan kunci menghasilkan nilai 20 byte (SHA-1). Empat bit terakhir memilih posisi, empat byte dari sana dibaca sebagai bilangan tanpa bit teratas, dan sisa pembagian dengan satu juta (enam digit) adalah kodenya, diberi nol di depan bila perlu. Contoh pemeriksaan: kunci uji RFC 6238 adalah teks 12345678901234567890, yang dalam Base32 adalah GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQ. Pada detik ke-59 penghitung bernilai 1, dan dengan SHA-1 serta delapan digit kodenya 94287082; dengan enam digit menjadi 287082.
Algoritma, digit, periode, dan tautan otpauth
Layanan menjelaskan kunci lewat tautan otpauth, yaitu isi kode QR di layar pendaftaran. Tautan dapat memuat penerbit, nama akun, algoritma, digit (6 sampai 8), dan periode. Sebagian aplikasi mengabaikan opsi ini dan selalu memakai SHA-1, enam digit, 30 detik; jika kode tidak cocok dengan aplikasi Anda, coba nilai itu. Untuk membaca tautan dari gambar QR gunakan pembaca kode QR lalu tempel di sini. Tautan untuk kode berbasis penghitung (HOTP) dikenali dan ditolak.
Keamanan
Kunci TOTP sama berharganya dengan kata sandi: siapa pun yang memilikinya bisa membuat kode Anda selamanya. Jangan tempel kunci akun asli, seperti bank atau email utama, ke situs mana pun, termasuk yang ini. Halaman ini berjalan di peramban, tidak mengirim kunci, tidak menyimpannya di penyimpanan atau bilah alamat, dan melupakannya saat tab ditutup, tetapi Anda tidak bisa memverifikasinya dari luar. Pakai untuk akun uji, dan simpan kunci asli di aplikasi autentikator atau pengelola kata sandi. Lihat juga pembuat kata sandi dan enkripsi teks.
Saat kode ditolak
Kode bergantung pada jam perangkat. Jika jam meleset semenit, kode milik periode lain dan layanan menolaknya; aktifkan waktu otomatis. Kode sebelumnya dan berikutnya ditampilkan agar Anda bisa melihat apakah layanan menerima periode tetangga. Periksa juga apakah kunci kehilangan satu karakter: kunci yang salah tetap menghasilkan kode, hanya saja bukan yang benar.
