Genera password monouso basate su tempo o contatore, verifica codici 2FA e analizza algoritmi SHA-1/SHA-256/SHA-512 con finestra temporale configurabile.
Features
- Supporto TOTP/HOTP: Genera OTP basati sul tempo con sincronizzazione automatica ogni 30 secondi oppure basati su contatore con incremento manuale.
- Algoritmi flessibili: Scegli tra SHA-1, SHA-256 e SHA-512, personalizza la lunghezza del codice (6-8 cifre) e il periodo di validità.
- Validazione immediata: Inserisci codice e segreto per verificare l'OTP contro la tua implementazione server e monitorare finestra di tolleranza.
- Analisi finestre temporali: Visualizza il tempo residuo, prova la deriva di orologio, sposta il contatore HOTP e confronta con app 2FA reali.
Usage Guide
- Imposta la chiave segreta: Incolla la chiave Base32 fornita dal provider 2FA o generane una nuova per i test.
- Seleziona tipo e algoritmi: Scegli TOTP o HOTP, l'algoritmo HMAC, il numero di cifre e il periodo/contatore richiesto dalla tua applicazione.
- Genera il codice: Premi "Genera" per ottenere l'OTP corrente. Per HOTP aumenta il contatore ad ogni richiesta per mantenere la sincronizzazione.
- Valida implementazioni: Inserisci un codice generato da app esterne e verifica la corrispondenza. Usa i risultati per calibrare tolleranza e sincronizzazione.
Technical Details
RFC 4226 & 6238
L'algoritmo HOTP (RFC 4226) usa un contatore e HMAC per generare OTP; TOTP (RFC 6238) deriva da HOTP sostituendo il contatore con l'ora Unix/periodo, garantendo codici sincronizzati temporalmente.
HMAC e Base32
La chiave segreta condivisa viene codificata in Base32, decodificata localmente e usata per calcolare l'HMAC con l'algoritmo selezionato senza mai inviare il segreto all'esterno.
Troncamento dinamico
Il risultato HMAC viene troncato dinamicamente (mod 2^31) e ridotto al numero di cifre desiderato (6-8) per produrre il codice finale conforme alle specifiche IETF.
Frequently Asked Questions
- Qual è la differenza tra TOTP e HOTP?
- TOTP genera codici basati sull'ora corrente e scade dopo ogni periodo (es. 30 s). HOTP usa un contatore incrementale condiviso: ogni codice è valido finché il contatore non avanza.
- Quali parametri devo allineare con l'app 2FA?
- Chiave segreta Base32, algoritmo (spesso SHA-1), numero di cifre (6) e periodo (30 s). Differenze in uno di questi valori portano a codici diversi.
- Come gestire la deriva dell'orologio?
- Sincronizza server e client con NTP e, lato validazione, accetta una finestra di ±1 periodo per compensare piccoli scarti temporali.
- È sicuro incollare qui la chiave segreta?
- Lo strumento elabora i dati solo localmente e non li invia ai server AnyTools. Tuttavia, evita di testare segreti di produzione su dispositivi non protetti.
Related Documentation
- RFC 6238 – TOTP - Standard IETF per password monouso basate su tempo
- RFC 4226 – HOTP - Algoritmo HMAC-Based One-Time Password con contatore condiviso
- NIST SP 800-63B - Linee guida sulle autenticazioni forti e l'uso di OTP
- Google Authenticator - Documentazione ufficiale sull'implementazione e l'esportazione delle chiavi
- OWASP ASVS 2FA - Requisiti OWASP per sistemi di autenticazione a due fattori