TOTP / 2FA 코드 생성기

TOTP / 2FA 코드 생성기란?

// Generate a TOTP code in the browser with the Web Crypto API
// (SHA-1, 6 digits, 30s period — RFC 6238 defaults)
async function generateTotp(base32Secret, time = Date.now()) {
  // Decode the Base32 secret to raw bytes (A-Z, 2-7)
  const alpha = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ234567';
  let bits = '';
  for (const c of base32Secret.replace(/=+$/, '').toUpperCase())
    bits += alpha.indexOf(c).toString(2).padStart(5, '0');
  const bytes = new Uint8Array(
    bits.match(/.{8}/g).map((b) => parseInt(b, 2)));

  // Counter = number of 30s steps since the Unix epoch (8-byte big-endian)
  const counter = Math.floor(time / 1000 / 30);
  const msg = new Uint8Array(8);
  let c = counter;
  for (let i = 7; i >= 0; i--) { msg[i] = c & 0xff; c = Math.floor(c / 256); }

  const key = await crypto.subtle.importKey(
    'raw', bytes, { name: 'HMAC', hash: 'SHA-1' }, false, ['sign']);
  const hmac = new Uint8Array(await crypto.subtle.sign('HMAC', key, msg));

  // Dynamic truncation (RFC 4226) -> 6-digit code
  const off = hmac[hmac.length - 1] & 0x0f;
  const bin = ((hmac[off] & 0x7f) << 24) | (hmac[off + 1] << 16) |
              (hmac[off + 2] << 8) | hmac[off + 3];
  return (bin % 1_000_000).toString().padStart(6, '0');
}

const code = await generateTotp('JBSWY3DPEHPK3PXP');
// -> a 6-digit code that rotates every 30 seconds

주요 기능

TOTP 생성기 예시

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-1
digits: 6
period: 30s

Code: 282760  ·  expires in 30s

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-256
digits: 8
period: 30s

Code: 31094217  ·  expires in 30s

issuer: Acme
account: alice@example.com
secret: JBSWY3DPEHPK3PXP

otpauth://totp/Acme:alice@example.com?secret=JBSWY3DPEHPK3PXP&issuer=Acme&algorithm=SHA1&digits=6&period=30

TOTP 생성기 사용 방법

1. 1

   Base32 시크릿 붙여넣기

   생성 탭에서 Base32 시크릿(예: JBSWY3DPEHPK3PXP)을 붙여 넣으세요. 현재 TOTP 코드가 30초 카운트다운과 함께 즉시 나타납니다 — 생성 버튼은 없습니다.

2. 2

   고급 옵션 조정 (선택)

   고급 옵션을 열어 알고리즘(SHA-1/256/512), 자릿수(6 또는 8), 주기(30 또는 60초)를 제공업체가 발급한 값에 맞게 변경하세요.

3. 3

   설정 또는 검증

   설정 탭으로 인증기 앱용 시크릿과 QR을 생성하거나, 검증 탭으로 ±1 시간 단계 허용 범위에서 코드를 시크릿과 대조하여 확인하세요.

흔한 실수

secret + SHA-1/6 digits  // but server expects SHA-256/8

algorithm: SHA-256, digits: 8  // match the otpauth:// URI

system clock 90s fast  // code is two steps ahead

enable NTP / automatic time  // code aligns with server

secret: "JBSW 0NE8"  // contains 0 and 8

secret: "JBSWY3DPEHPK3PXP"  // valid Base32

일반적인 사용 사례

2FA 로그인 흐름 디버깅

사용자의 인증기 앱이 보여 주는 정확한 코드를 재현하여 이중 인증 로그인이 거부되는 이유를 추적하세요.

새 계정 등록

새로운 Base32 시크릿과 QR 코드를 생성한 다음, Google Authenticator, Authy, 1Password로 스캔하여 2FA를 설정하세요.

서버의 허용 창 검증

코드를 시크릿과 대조해 검증하여 백엔드가 방금 회전한 코드는 받아들이고 만료된 코드는 거부하는지 확인하세요.

종단 간 테스트 픽스처 구축

알려진 시크릿으로 결정론적 TOTP 코드를 계산하여 이중 인증 흐름의 자동화 테스트를 구동하세요.

엔터프라이즈 설정 맞추기

제공업체가 SHA-1 / 6자리 기본값에서 벗어날 때 8자리 또는 SHA-256 코드를 재현하여 불일치를 디버깅하세요.

빠른 접근 복구

휴대폰을 사용할 수 없을 때 백업된 시크릿으로 현재 코드를 생성하세요 — 시크릿의 일회용 사본을 사용해서요.

기술 세부 정보

RFC 6238 / RFC 4226 준수

RFC 4226의 HOTP 동적 절단 알고리즘 위에서 RFC 6238에 따라 TOTP를 구현하며, 선택 가능한 SHA-1, SHA-256, SHA-512를 지원합니다.

네이티브 Web Crypto HMAC

코드는 빅엔디언 시간 단계 카운터에 대한 crypto.subtle HMAC을 통해 도출됩니다. Base32 디코딩과 절단은 전적으로 브라우저 내에서 실행됩니다.

표준 otpauth:// URI, 의존성 제로

설정 URI는 발급자, 알고리즘, 자릿수, 주기 매개변수와 함께 Key Uri Format(otpauth://totp)을 따릅니다. 외부 라이브러리도, 네트워크 호출도 없습니다.

모범 사례

시크릿을 비밀번호처럼 다루기

Base32 시크릿을 가진 사람은 누구나 미래의 모든 코드를 생성할 수 있습니다. 시크릿 관리자에 저장하고, 절대 소스 관리에 두지 말며, 여기서는 테스트 시크릿을 선호하세요.

시계를 동기화 상태로 유지하기

TOTP는 정확한 시간에 의존합니다. 서버와 기기에서 네트워크 시간 동기화를 활성화하여 코드가 검증 창 내에서 정렬되도록 하세요.

필요하지 않으면 기본값 유지하기

SHA-1, 6자리, 30초 주기는 앱 호환성을 극대화합니다. 제공업체가 요구할 때만 8자리 또는 SHA-256/512로 전환하세요.

TOTP / 2FA 생성기 FAQ