TOTPは時間で変わる使い捨てコード

通信せずに計算できる理由

TOTPは最初に共有された秘密の設定キーと、現在の時間区間から短い数字を計算します。サービス側も対応する設定を持つため、受け取ったコードを照合できます。

通常は30秒程度ごとに表示が変わりますが、桁数やアルゴリズム、周期は発行元の設定によって異なります。

短い番号より設定キーを守る

表示中のコードも他人に伝えるべきではありません。特に設定キーを知られると、相手も将来のコードを計算できる可能性があります。

TOTPはフィッシングに対して万能ではありません。URLの確認や、利用できる場合のパスキー・セキュリティキーも重要です。

SMSで届く認証番号と見分ける

メールやSMSで送られる一時的な番号もOTPと呼ばれますが、認証アプリのTOTPとは発行経路が異なります。TOTPの基本は端末での計算であり、通信状況が悪くても時計と設定キーがあれば番号を表示できます。

「30秒で変わる6桁」という特徴は目安にすぎません。登録元が8桁や別の方式を指定しているなら、その条件と一致する設定を使う必要があります。

フィッシングに対して期待できること

TOTPはパスワードのみの認証より追加の保護になる場合があります。一方、攻撃者が本物そっくりのログイン画面で今の番号を入力させれば、直ちに悪用する余地があります。

認証が急に求められたときは、リンク元ではなく自分で確認した公式URLから入り直してください。QRコードを撮影して保存する行為も、秘密情報の複製であると理解しておくことが大切です。

圏外でもTOTPは使えますか？

時刻と設定キーが端末にあればコード計算自体に通信は不要です。サービスへのログインには通信が必要な場合があります。