プロトコル・技術

TOTP

Time-based One-Time Password

定義

TOTP（Time-based One-Time Password）はRFC 6238で定義された認証方式で、サーバーとクライアントが共有するシークレットキーと現在時刻（UNIX時間を30秒区切りで使用）からHMAC-SHA1で6桁の数字を生成します。毎回使い捨ての数字のため盗聴・リプレイ攻撃に強く、Google Authenticator・Authy・Microsoft Authenticator・1Passwordなどのアプリが実装を提供しています。SMS OTPに比べてSIMスワッピングによる傍受リスクがないためより安全ですが、Evilginxのようなリバースプロキシ型フィッシングはTOTPコードをリアルタイムに中継できるため、フィッシング耐性は完全ではありません。登録時のQRコード（シークレット）が漏洩するとTOTPが完全に無効化されるため、シークレットのバックアップは厳重に管理する必要があります。管理者アカウント・クラウド管理コンソールには少なくともTOTPを導入し、可能であればFIDO2/パスキーへの移行が推奨されます。