時間ベースのワンタイムパスワード (TOTP)

TOTP は広く普及している二要素認証の方式で、利用者の認証アプリ(Google Authenticator、Authy、1Password など)とサーバーが同じ対称シードを共有し、現在の Unix 時刻を 30 秒単位の窓に区切ったうえで同一の HMAC-SHA1 ハッシュを計算します。画面に表示される 6〜8 桁のコードは自動的に切り替わり、ごく短時間しか有効でないため、覗き見やフィッシングで取得しても再利用しにくくなります。QR コードでシードを設定すれば完全にオフラインで動作するのも利点です。主な弱点は、コードを中継するリアルタイムフィッシングプロキシ(AiTM)、端末上のマルウェア、サーバー側でのシード漏えいであり、可能であれば FIDO2 や passkey の利用が推奨されます。