两步验证及 TOTP 动态验证码原理解析

两步验证（Two-Factor Authentication，简称 2FA）是一种常见的身份验证机制，用于提高账号安全性。相比仅依赖密码的传统登录方式，二步验证在密码之外增加了一个「第二层凭证」，即使密码泄露，也能有效防止非法访问。

两步验证的基本思路

二步验证的核心在于「双重保障」：

• 第一步：用户密码（已知信息）
• 第二步：动态验证码（拥有信息，如手机验证码、硬件令牌等）

这种设计思路是「即使攻击者窃取了密码，若没有第二步凭证，仍无法登录」。

动态验证码的常用形式

目前常见的二步验证方式包括短信验证码、邮件验证码、以及基于时间的一次性密码（TOTP）。其中，TOTP 凭借无需网络、稳定可靠等优势，成为主流方式，被大量网站及服务采用。

TOTP（Time-based One-Time Password）的原理

TOTP 中文可译为「基于时间的一次性密码」。其主要依赖两部分数据：

• 共享的「密钥」：在设置二步验证时生成，由服务器和用户设备共同保存
• 当前时间：按固定时间段分段（通常为 30 秒）

验证码生成步骤

1. 确定时间步（Time Step）
   当前 UTC 时间戳除以 30 秒，得到一个整数时间步。例如： T = floor(当前时间戳 / 30) 每过 30 秒，时间步会加 1，验证码随之变化。
2. 进行哈希计算
   使用 HMAC-SHA1 算法，将「密钥」与「时间步」作为输入，生成一个哈希值。
3. 动态截取哈希值
   根据哈希值最后一字节的低 4 位确定偏移量，从哈希值中提取出 4 字节并组合，得到动态二进制码。
4. 生成验证码
   将得到的动态二进制码取模，通常生成 6 位或 8 位的数字验证码，作为最终展示给用户的结果。

离线生成的原因

由于密钥已存储在本地设备中，生成验证码只需要依赖系统时间，无需联网。因此，即使在飞行模式或无网络环境下，验证码仍能正常生成。

验证流程

在使用 TOTP 时，验证流程通常如下：

1. 用户输入账号和密码
2. 系统提示输入动态验证码
3. 用户在认证器（如 Google Authenticator、Authy 等）上查看当前验证码并输入
4. 系统使用相同算法生成验证码，与用户提交的验证码比对
5. 若两者一致，登录成功

安全性优势

• 时间限制：每个验证码有效期一般为 30 秒，过期即失效
• 不依赖网络传输：相比短信验证码，避免了被拦截或转发风险
• 密钥本地保存：验证码无法逆推出原始密钥，攻击难度大幅提高

总结

基于时间的一次性密码（TOTP）为二步验证提供了高效、安全、易用的解决方案。通过与密码的双重验证机制，能够有效抵御绝大多数针对账户安全的攻击风险，已成为现代网站和服务的重要安全基石。