TOTP是什么？

TOTP 是Time-based One-Time Password的简写，表示基于时间戳算法的一次性密码。 是时间同步，基于客户端的动态口令和动态口令验证服务器的时间比对，一般每60秒，或30秒产生一个新口令，要求客户端和服务器能够十分精确的保持正确的时钟，客户端和服务端基于时间计算的动态口令才能一致。

适用场景

• 服务器登录动态密码验证
• 公司VPN登录双因素验证
• 银行转账动态密码
• 网银、网络游戏的实体动态口令牌
• 等基于时间有效性验证的应用场景

TOTP的基本原理

TOTP计算公式

TOTP(K, TC) = Truncate(HMAC-SHA-1(K, TC))

K，密钥串 HMAC-SHA-1， 表示使用SHA-1做HMAC（当然也可以使用SHA-256等）

C，基于时间戳计算得出，通过定义纪元（T0）的开始并以时间间隔（TI）为单位计数，将当前时间戳变为整数时间计数器（TC）

Truncate，是一个函数，用于截取加密后的字符串

TC的计算公式

TC = (T - T0) / T1;

T，当前的时间戳 T0，起始时间，一般为0 T1，时间间隔，根据业务需要自定义

Truncate函数

1. 取加密后的最后一个字节的的低4位，offset；
2. 以offset开始取4个字节，按照大端方式组成整数，binary；
3. 根据需要的长度对binary取模，opt
4. 以字符串方式返回opt，并补足长度

h = hmac.new(self.key.encode(), msg, sha256).digest()
offset = h[len(h)-1] & 0xf
binary = (h[offset] & 0x7f) << 24
binary = binary | ((h[offset+1] & 0xff)<<16)
binary = binary | ((h[offset+2] & 0xff)<<8)
binary = binary | (h[offset+3] & 0xff)
otp = binary % (10 ** self.codeDigits)
return str(otp).rjust(self.codeDigits, '0')

Python实现

import binascii
import hmac
from hashlib import sha256
class TOTP:
 
 def __init__(self, key, codeDigits):
 self.key = key
 self.codeDigits = codeDigits
 def truncate(self, tc):
 tc = tc.rjust(16,'0')
 bigint = binascii.unhexlify(hex(int('10'+tc, 16))[2:])
 msg = bigint[1:len(bigint)]
 h = hmac.new(self.key.encode(), msg, sha256).digest()
 offset = h[len(h)-1] & 0xf
 binary = (h[offset] & 0x7f) << 24
 binary = binary | ((h[offset+1] & 0xff)<<16)
 binary = binary | ((h[offset+2] & 0xff)<<8)
 binary = binary | (h[offset+3] & 0xff)
 otp = binary % (10 ** self.codeDigits)
 return str(otp).rjust(self.codeDigits, '0')
		
	def tc(self, ttl):
 return format(int(int(time.time())/int(ttl)),'x').upper()

上面的代码就是我基于python3的实现（可以保存为totp.py），散列算法使用的是SHA-256，使用方式如下：

import base64
import totp
secretKey = base64.b32encode(‘My secret key‘)
t = totp.TOTP(secretKey, 4)
time = t.tc(60) # 此处时间单位为秒
result=t.truncate(time)
print(resut)