HOTPとは

HOTPとは

HOTP(HMAC-based One-Time Password)は、ワンタイムパスワードを生成するアルゴリズムで、RFC 4226として標準化されてるよ。時刻ベースのTOTPの基礎となった仕様で、カウンターの値を使ってワンタイムパスワードを生成するんだ。

TOTPとの違い

計算の仕組み

HOTP(秘密鍵, カウンター) = Truncate(HMAC-SHA1(秘密鍵, カウンター))

HMAC-SHA1の結果から特定のビットを取り出して6桁の数値に変換するよ。サービス側と端末側でカウンターを同期させておくことが前提なんだ。

現実での使われ方

HOTPは主にハードウェアトークン(RSTシークレット型の物理デバイス)で使われてるよ。ボタンを押すたびにカウンターが増えて新しいコードが表示される。銀行のワンタイムパスワードカードなどに使われてることが多いね。

セキュリティ上の注意

HOTPコードは使用されるまで有効なため、傍受された場合のリスクがTOTPより高い。また、カウンターのずれが大きくなると再同期が必要になる場合がある。現代の2FA実装ではTOTPの方が一般的に使われてるよ。