ran
Deutsch

TOTP

Ein Generator für zeitbasierte Einmalpasswörter nach dem Standard RFC 6238. Er erzeugt wechselnde Bestätigungscodes, wie sie bei der Zwei-Faktor-Authentifizierung (2FA) üblich sind.

API

TOTP.generate

Erzeugt ein zeitbasiertes Einmalpasswort.

Rückgabe

Argument Beschreibung Typ
Object Ein Objekt mit dem OTP und seiner Gültigkeit { otp: string, expires: number }
otp Das erzeugte Einmalpasswort als Zeichenkette string
expires Zeitstempel (in ms), zu dem das OTP verfällt number

Parameter

Parameter Beschreibung Typ Standard
key Der geheime Schlüssel als Base32-kodierte Zeichenkette string Erforderlich
options Optionale Einstellungen Options Siehe unten

Optionen

Parameter Beschreibung Typ Standard
digits Anzahl der Stellen des OTP number 6
algorithm Hash-Verfahren 'SHA-1' | 'SHA-224' | 'SHA-256' | 'SHA-384' | 'SHA-512' | 'SHA3-224' | 'SHA3-256' | 'SHA3-384' | 'SHA3-512' 'SHA-1'
period Länge des Zeitfensters (Sekunden) number 30
timestamp Zeitstempel (in ms), aus dem das OTP erzeugt wird number Date.now()

Beispiel

Grundlegende Verwendung

import { TOTP } from 'ranuts';

const secret = 'JBSWY3DPEHPK3PXP'; // Base32-kodierter geheimer Schlüssel
const result = TOTP.generate(secret);

console.log(result.otp); // etwa: '341128'
console.log(result.expires); // etwa: 1465324730000 (Zeitstempel)

Die Stellenzahl ändern

import { TOTP } from 'ranuts';

const secret = 'JBSWY3DPEHPK3PXP';
const result = TOTP.generate(secret, { digits: 8 });

console.log(result.otp); // etwa: '43341128' (8 Stellen)

Das Zeitfenster ändern

import { TOTP } from 'ranuts';

const secret = 'JBSWY3DPEHPK3PXP';
const result = TOTP.generate(secret, { period: 60 }); // Fenster von 60 Sekunden

console.log(result.otp);
console.log(result.expires);

Ein anderes Hash-Verfahren wählen

import { TOTP } from 'ranuts';

const secret = 'JBSWY3DPEHPK3PXP';
const result = TOTP.generate(secret, { algorithm: 'SHA-512' });

console.log(result.otp);

Ein OTP zu einem bestimmten Zeitpunkt erzeugen

import { TOTP } from 'ranuts';

const secret = 'JBSWY3DPEHPK3PXP';
const timestamp = 1465324707000; // Zeitstempel des 08.06.2016
const result = TOTP.generate(secret, { timestamp });

console.log(result.otp); // OTP, erzeugt aus dem angegebenen Zeitstempel

Mehrere Optionen zusammen

import { TOTP } from 'ranuts';

const secret = 'JBSWY3DPEHPK3PXP';
const result = TOTP.generate(secret, {
  digits: 8,
  algorithm: 'SHA-256',
  period: 60,
});

console.log(result.otp);
console.log(result.expires);

Hinweise

  1. Format des Schlüssels: Der Schlüssel muss eine Base32-kodierte Zeichenkette sein. Enthält er unzulässige Zeichen, wird der Fehler 'Invalid base32 character in key' geworfen.

  2. Gleichlaufende Uhren: TOTP hängt daran, dass die Uhren gleich gehen. Vergewissere dich, dass die Zeit auf Client und Server übereinstimmt, sonst kann die Prüfung fehlschlagen.

  3. Gültigkeit: expires liefert den Zeitstempel, zu dem das aktuelle Zeitfenster endet. Beim Prüfen lässt man üblicherweise ein Fenster Spielraum (etwa ±1 Periode).

  4. Sicherheit: Schlüssel gehören sicher verwahrt und nicht fest in den Code geschrieben. Nimm dafür Umgebungsvariablen oder eine sichere Schlüsselverwaltung.