Как TOTP использует время
TOTP расшифровывается как time-based one-time password. Алгоритм берет секретный токен и номер текущего временного окна, затем рассчитывает код. Когда окно меняется, меняется и 2FA-код.
На большинстве сервисов окно составляет около 30 секунд. Иногда принимается код из соседнего окна, чтобы компенсировать небольшое расхождение часов.
Почему код может не подойти
Если устройство или сервер сильно расходятся по времени, код выглядит правильным, но целевой сервис его отклоняет. Также ошибка возникает из-за неправильного токена, лишних символов или использования старого кода после обновления таймера.
Что делать пользователю
Проверьте время на устройстве, дождитесь нового интервала и вставьте свежий код. Если проблема сохраняется, проверьте исходный token base32 или заново настройте 2FA на целевом сервисе.
Почему 30 секунд стали стандартом
Интервал около 30 секунд - компромисс между удобством и безопасностью. Пользователь успевает скопировать и ввести код, но у перехваченного значения мало времени для повторного использования. Поэтому TOTP-код отличается от постоянного пароля и не должен храниться как обычный текст.
Если вы видите два разных кода в разных приложениях, проверьте три вещи: одинаковый ли секрет, синхронизировано ли время, не истек ли текущий интервал. В большинстве случаев проблема находится в одном из этих пунктов.
Связанные запросы
Почему меняется код 2FA, почему Google Authenticator показывает новый код, что значит таймер TOTP, сколько живет одноразовый пароль, почему OTP истек - это одна группа вопросов про временное окно.