crypto.getRandomValues ile harf, rakam ve sembollerden rastgele parolalar.
TOTP/HOTP Kod Oluşturucu
Yerelde çalışır
Araç İngilizce dilindedir; bu sayfada ise araç, sizin dilinizde açıklanmaktadır.
TOTP/HOTP Kod Oluşturucu'i kullanın
Ne işe yarar?
Bir Base32 gizli anahtarı için, kimlik doğrulama uygulamalarının yaptığı gibi zamana dayalı (TOTP) veya sayaca dayalı (HOTP) tek kullanımlık şifreler hesaplayın ve kodların eşleşip eşleşmediğini kontrol edin. Kendi 2FA kurulumunuzu test etmek için kullanışlıdır.
Tamamen tarayıcınızda çalışır: girdiğiniz hiçbir bilgi yukarıya yüklenmez.
TOTP/HOTP Kod Oluşturucu nasıl kullanılır?
- Sırrı girin. Kendi test hesabınızın Base32 sırrını Secret key (Base32) alanına yapıştırın ya da yeni bir 32 karakterlik sır için Random düğmesine basın.
- Uygulamanızın ayarlarını eşleştirin. Kod türünü (TOTP – zamana dayalı veya HOTP – sayaca dayalı), algoritmayı ve basamak sayısını seçin. Çoğu kimlik doğrulama uygulaması TOTP, HMAC-SHA-1 ve 6 basamak kullanır.
- Kodu göster. TOTP için “TOTP Başlat” düğmesine basın: Kod, geri sayımla birlikte görüntülenir ve her saniye yeniden hesaplanır. HOTP için sayacı ayarlayın ve “HOTP kodunu göster” düğmesine basın; “İleri” düğmesi bir sonraki sayaca geçer.
- Bir kodu kontrol et. Uygulamanızdan veya bir sunucudan aldığınız kodu “Kodu Doğrula” alanına girin ve “Doğrula” düğmesine basın. Sonuç, kodun eşleşip eşleşmediğini ve hangi zaman adımı veya sayaç için geçerli olduğunu gösterir.
- Dur ve temizle. İşiniz bittiğinde “Dur” düğmesine basın; son kod ekranda kalır. Gizli alanı kendiniz boşaltın.
Örnek
RFC 6238 test sırrı
GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQ412568Bu, Base32 formatında yayınlanmış RFC 6238 test anahtarı 12345678901234567890’dur. Sayfa, mevcut altı basamaklı kodu ve bir sonraki koda kadar kalan saniye sayısını gösterir; bu, bir kimlik doğrulama uygulamasının bu gizli anahtar için gösterdiği kodla aynıdır; sayaç 0 olarak ayarlanmış HOTP moduna geçildiğinde ise ilk RFC 4226 test değeri olan 755224 gösterilir.
Neyi kontrol eder?
| Sinyal | Bunun anlamı nedir? |
|---|---|
| Kod | Zaman adımının (TOTP) veya sayacın (HOTP) HMAC’si; RFC 4226 ve RFC 6238’de belirtildiği gibi 6 veya 8 basamağa kısaltılmıştır. Yalnızca tür, algoritma ve basamak sayısı aynı olduğunda bir uygulamayla eşleşir. |
| Ns cinsinden güncelleme · zaman adımı N | Mevcut 30 saniyelik zaman aralığında kalan saniye sayısı ve cihazınızın saatinden alınan adım numarası. Saatin doğru çalışmaması durumunda bir önceki veya bir sonraki kod görüntülenir. |
| N tuşuna basın · İleri tuşuna basın | HOTP modunda kod, o sayaça aittir. Her kod yalnızca bir kez kullanılır; ardından sunucular bir sonraki sayacı bekler. |
| Base32 değil: ... | Şifre, A–Z ve 2–7 aralığı dışındaki karakterler içeriyor; örneğin 0, 1, 8 veya 9 gibi. Boşluklar, tireler ve = işareti göz ardı edilir; küçük harfler kabul edilir. |
| Gizem sadece N bitliktir | Gizli anahtar, RFC 4226'da istenen 128 bitlik (26 Base32 karakteri) uzunluktan daha kısadır. Kodlar yine de görüntülenir, ancak bu tür bir gizli anahtarın tahmin edilmesi daha kolaydır. |
| Geçerli: ... ile eşleşir | Verify, alanda mevcut zaman adımı veya HOTP sayacına ait kodu buldu. |
| Bir önceki veya bir sonraki adım için geçerlidir | Kod, şu andan önceki veya sonraki 30 saniyelik bir aralığa aittir (turuncu renkle gösterilmiştir). Genellikle iki cihaz arasında küçük bir saat farkı olur. |
| Eşleşme yok | Ne kontrol edilen zaman adımları ne de sayaçlar uyuşmuyor. Şifreyi, saati, algoritmayı ve basamak sayısını kontrol edin. |
Diğer örnekler
RFC 4226 test anahtarı, HOTP
GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQHOTP kod türü, HMAC-SHA-1, 6 basamaklı ve sayaç değeri 0 olduğunda kod 755224 olur; Next, sayaç değeri 1 için 287082 sonucunu verir; bu, RFC 4226’da yayınlanan test değerleridir.
Bir adım ilerideki kodu doğrula
GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQHOTP modunda, sayaç değeri 0 iken, “Kodu Doğrula” alanına 287082 yazıldığında şu mesaj görüntülenir: Sayaç 1 için geçerli; sayaç alanından 1 ileride.
Base32 formatında bir gizli anahtar değil
0189“0”, “1”, “8”, “9” harfleri ve rakamları içerdiği için “Base32 değil” mesajıyla bir HATA oluştu; zira Base32 yalnızca A–Z harflerini ve 2–7 rakamlarını kullanır.
Sık Sorulan Sorular
Tam olarak neyi hesaplıyor?
Mevcut zamandan itibaren 30 saniyelik aralıklarla oluşturulan TOTP kodları (RFC 6238) veya sizin belirlediğiniz bir sayaç için HOTP kodları (RFC 4226); HMAC-SHA-1, SHA-256 veya SHA-512 ile şifrelenmiş ve 6 veya 8 basamaklı; çoğu kimlik doğrulama uygulaması SHA-1 ve 6 basamak kullanır. Kod doğrulamasında, geçerli zaman adımı ve her iki yönde birer adım veya HOTP sayacı ve sonraki 9 adım denenir; A-Z ve 2-7 dışındaki karakterler içeren gizli kodlar ise bir mesajla reddedilir.
Bir TOTP kodu beni kimlik avından korur mu?
Tamamen değil. Ortadaki saldırgan (adversary-in-the-middle) kimlik avı kitleri kodu siz yazarken gerçek siteye iletir; böylece kod parolayla birlikte ele geçirilir. Passkey'ler ve FIDO2 güvenlik anahtarları gerçek alan adına bağlı oldukları için buna karşı dirençlidir.
Sır bir yere gönderiliyor veya saklanıyor mu?
Hayır. Kodlar, Web Crypto API kullanılarak tarayıcınızda hesaplanır ve gizli anahtar hiçbir zaman yüklenmez veya kaydedilmez. TOTP, cihazınızın saatine bağlıdır; bu nedenle, saati yanlış ayarlanmış bir cihazda farklı kodlar üretilir.
Kodları RFC’lerle nasıl karşılaştırabilirim?
12345678901234567890 test anahtarını, Base32 formatında GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQ olarak kullanın. HOTP modunda sayaç 0, 755224 değerini verir; sayaç 1 ise 287082 değerini verir (RFC 4226). RFC 6238, 1 Ocak 1970 UTC'den 59 saniye sonra 8 basamak için 94287082 değerini listeler; TOTP modu her zaman geçerli saati kullanır.
TOTP ile HOTP arasındaki fark nedir?
HOTP (RFC 4226), kullanım sayısını sayar: her kod, bir bir artan bir sayaca aittir. TOTP (RFC 6238) ise sayacı mevcut 30 saniyelik zaman aralığına ayarlanmış bir HOTP’dir; dolayısıyla kod, saatin ilerlemesiyle birlikte değişir.
Uygulamam neden farklı bir kod gösteriyor?
Önce saatleri kontrol edin, çünkü 30 saniyelik bir fark kodu değiştirir. Ardından, şifrede yazım hatası olup olmadığını ve hesabın SHA-256, SHA-512, 8 basamaklı bir şifre mi yoksa zaman yerine bir sayaç mı kullandığını kontrol edin ve buradaki seçenekleri de aynı şekilde ayarlayın.
Gerçek bir 2FA sırrını buraya yapıştırmalı mıyım?
Kaçının. Sır tarayıcınızda kalır, ancak onu gören veya kopyalayan herkes, o hesapta 2FA'yı sıfırlayana kadar kodlarınızı üretebilir. 2FA'yı yeni bir telefona taşımak için hesabın kendi aktarım veya sıfırlama seçeneğini kullanın.