TOTP基本原理

TOTP是什么？

TOTP 是Time-based One-Time Password的简写，表示基于时间戳算法的一次性密码。
是时间同步，基于客户端的动态口令和动态口令验证服务器的时间比对，一般每60秒，或30秒产生一个新口令，要求客户端和服务器能够十分精确的保持正确的时钟，客户端和服务端基于时间计算的动态口令才能一致。

适用场景

• 服务器登录动态密码验证
• 公司VPN登录双因素验证
• 银行转账动态密码
• 网银、网络游戏的实体动态口令牌
• 等基于时间有效性验证的应用场景

TOTP的基本原理

TOTP计算公式

TOTP(K, TC) = Truncate(HMAC-SHA-1(K, TC))

K，密钥串
HMAC-SHA-1， 表示使用SHA-1做HMAC（当然也可以使用SHA-256等）
C，基于时间戳计算得出，通过定义纪元（T0）的开始并以时间间隔（TI）为单位计数，将当前时间戳变为整数时间计数器（TC）
Truncate，是一个函数，用于截取加密后的字符串

TC的计算公式

TC = (T - T0) / T1;

T，当前的时间戳
T0，起始时间，一般为0
T1，时间间隔，根据业务需要自定义

Truncate函数

1. 取加密后的最后一个字节的的低4位，offset；
2. 以offset开始取4个字节，按照大端方式组成整数，binary；
3. 根据需要的长度对binary取模，opt
4. 以字符串方式返回opt，并补足长度

h = hmac.new(self.key.encode(), msg, sha256).digest()
offset = h[len(h)-1] & 0xf
binary = (h[offset] & 0x7f) << 24
binary = binary | ((h[offset+1] & 0xff)<<16)
binary = binary | ((h[offset+2] & 0xff)<<8)
binary = binary | (h[offset+3] & 0xff)
otp = binary % (10 ** self.codeDigits)
return str(otp).rjust(self.codeDigits, '0')

Python实现

import binascii
import hmac
import time
from hashlib import sha256

class TOTP:
    
    def __init__(self, key, codeDigits):
        self.key = key
        self.codeDigits = codeDigits

    def truncate(self, time):
        time = time.rjust(16,'0')
        bigint = binascii.unhexlify(hex(int('10'+time, 16))[2:])
        msg = bigint[1:len(bigint)]
        h = hmac.new(self.key, msg, sha256).digest()
        offset = h[len(h)-1] & 0xf
        binary = (h[offset] & 0x7f) << 24
        binary = binary | ((h[offset+1] & 0xff)<<16)
        binary = binary | ((h[offset+2] & 0xff)<<8)
        binary = binary | (h[offset+3] & 0xff)
        otp = binary % (10 ** self.codeDigits)
        return str(otp).rjust(self.codeDigits, '0')

    def tc(self, ttl):
        return format(int(int(time.time())/int(ttl)),'x').upper()

上面的代码就是我基于python3的实现（可以保存为totp.py），散列算法使用的是SHA-256，使用方式如下：

import totp
import base64

secretKey = base64.b32encode(b'My secret key')
t = totp.TOTP(secretKey, 4)
time = t.tc(60)    # 此处时间单位为秒
result=t.truncate(time)
print(result)

源码可以从这里获取：
github