TOTPとは？

TOTP（Time-based One-Time Password、タイムベースワンタイムパスワード）は、現在の時刻と共有された秘密鍵を組み合わせてワンタイムパスワード（OTP）を生成する認証方式です。IETF（Internet Engineering Task Force）によりRFC 6238として標準化されています。

TOTPの仕組みは次のとおりです。サービス登録時にサーバーとアプリ（認証器）の間で秘密鍵を共有します。ログイン時には、認証器が「現在時刻（通常30秒ごとに区切ったタイムステップ）」と「秘密鍵」をHMAC-SHA1などのアルゴリズムで計算し、6〜8桁の数字を生成します。サーバー側も同じ計算をして一致を確認するため、正しい秘密鍵を持つ機器からの入力だけが通過できます。

TOTPの特長は以下のとおりです。

• 使い捨て性：パスワードは30秒ごとに変わるため、傍受されても再利用できない。
• オフライン動作：インターネット接続なしで認証コードを生成できる。
• 標準規格：Google Authenticator、Microsoft Authenticator、Authyなど多くのアプリが対応。

TOTPはGoogleやGitHub、各種クラウドサービスなどの二段階認証（2FA）機能で広く採用されており、パスワード漏洩時の不正ログインを防ぐ重要な手段です。前身のHOTP（カウンタベース）と異なり時刻を使うため、カウンタのずれによる認証失敗が起きにくい点も実用上の利点です。