TOTP 2FA (Time-based One-Time Password)（ティーオーティーピーツーエフエー）
IETF 2011年策定の 2FA 規格 RFC 6238。30秒コード + Google Authenticator + Authy + 1Password 内蔵 + Microsoft Authenticator・「主流 2FA 規格」.
概要
TOTP 2FA は IETF (Internet Engineering Task Force) が2011年5月策定した 2FA 規格 (Time-based One-Time Password・RFC 6238)。HOTP (HMAC-based・RFC 4226) のタイムベース版・30秒コード生成 + 共通鍵 (HMAC-SHA1) + UNIX 時間・Google Authenticator (2010年・Android初) + Authy (2012年) + 1Password (2018年内蔵) + Microsoft Authenticator + Bitwarden Premium で標準採用・「主流 2FA 規格 (Passkey 普及前のメイン)」。TOTP は2011-2024年の13年間 2FA 業界標準で、「Google Authenticator + Authy + Microsoft Authenticator」等の認証アプリでSMS 2FA より遥かに安全 + フィッシング攻撃部分防止を実現。TOTP の仕組み: ① 共通鍵 (Base32 エンコード32文字) + UNIX 時間 (30秒区切り) を HMAC-SHA1 計算 ② 6桁数字コード生成 (30秒毎更新) ③ Web サイト + 認証アプリ両方で同じ計算 + コード一致で認証成功 ④ 共通鍵は QR コードでアプリ登録時に共有 ⑤ タイムドリフト ±30秒許容 でサーバ + クライアント時計同期重要。主要認証アプリ: ① Google Authenticator (無料・Android + iOS) ② Authy (Twilio・無料・Mac/Windows/Android/iOS + クラウド同期) ③ Microsoft Authenticator (無料 + Microsoft アカウント Passkey 統合) ④ 1Password 内蔵 TOTP ($2.99/月) ⑤ Bitwarden Premium 内蔵 TOTP ($10/年) ⑥ Aegis Authenticator (OSS・Android) ⑦ 2FAS (OSS・iOS/Android)。
主な特徴・仕組み
- 策定: IETF (Internet Engineering Task Force)・2011年5月 (RFC 6238)
- ベース: HOTP (HMAC-based One-Time Password・RFC 4226・2005年)
- アルゴリズム: HMAC-SHA1 (主流) + HMAC-SHA256 + HMAC-SHA512 (新世代)
- コード: 6-8桁数字 (主流6桁)
- 時間刻み: 30秒 (主流) ・60秒 (一部)
- タイムドリフト許容: ±30秒
- 共通鍵交換: QR コード (Base32 エンコード) + 手動入力
- 対応サービス: Google + GitHub + Microsoft + Apple + AWS + Slack + Twitter/X + 主要 100万+ サービス
- 認証アプリ: Google Authenticator + Authy + Microsoft Authenticator + 1Password + Bitwarden + Aegis + 2FAS
- 2024-2026年動向: Passkey に徐々に置換進行・TOTP は依然主流継続
スペック比較表
| 2FA 方式 | 安全度 | 利便性 | 主流度 |
|---|---|---|---|
| Passkeys (FIDO2) | 最強 (フィッシング完全防止) | 高 | 急速普及 (2024-2026) |
| TOTP 2FA | 高 (フィッシング部分防止) | 中 (アプリ起動 + 6桁入力) | 主流 (2011-2024) |
| FIDO U2F (YubiKey) | 最強 | 中 (ハードウェアキー必要) | 中 |
| SMS 2FA | 弱 (SIM 交換攻撃) | 低 | 旧主流・廃止傾向 |
| Email 2FA | 弱 (メール侵害リスク) | 低 | 副次的 |
具体例・対応製品
- Google Authenticator (無料・主流推奨) : Android + iOS
- Authy (Twilio・無料・クラウド同期) : Mac/Windows/Android/iOS
- Microsoft Authenticator (無料 + Passkey 統合) : 主流 Enterprise
- 1Password 内蔵 TOTP ($2.99/月) : パスワード + 2FA 統合
- Bitwarden Premium 内蔵 TOTP ($10/年) : OSS + コスパ最強
- Aegis Authenticator (OSS・Android) : OSS + プライバシー重視
- 2FAS (OSS・iOS/Android) : OSS + 軽量
自作PCでの選び方・注意点
TOTP 2FA は2026年現在 「主流 2FA 規格 + Passkey と併用」。選び方: ① コスパ最強 + 無料 + Google エコシステム ならGoogle Authenticator (無料) ② クラウド同期 + マルチデバイス ならAuthy (無料 + Twilio) ③ Microsoft + Passkey 統合 ならMicrosoft Authenticator (無料) ④ パスワード + 2FA 統合 + 業界主流 なら1Password 内蔵 TOTP ($2.99/月) ⑤ OSS + プライバシー重視 ならAegis Authenticator (Android・無料) + 2FAS (iOS/Android・無料) ⑥ コスパ + OSS + 統合 ならBitwarden Premium 内蔵 TOTP ($10/年・$0.83/月)。重要な注意: ① TOTP は SMS 2FA + Email 2FA より遥かに安全でSIM 交換攻撃 + メール侵害リスク防止 ② 共通鍵 (QR コード) は紛失すると2FA 復元不可でバックアップ重要 (Authy + 1Password + Bitwarden + Apple Passwords でクラウド同期推奨・Google Authenticator は2023年クラウド同期対応で Google アカウント連携) ③ Passkey 普及 (2024-2026年) でTOTP 徐々に置換進行だがPasskey 未対応サービスは TOTP 依然主流 ④ タイムドリフト問題: スマホ時計が30秒以上ずれると認証失敗・自動時刻同期 (NTP) 重要 ⑤ Aegis + 2FAS (OSS + プライバシー重視) はGoogle Authenticator (Google データ収集) と一線画すでプライバシー重視ユーザに推奨。重要な歴史: ① 2005年 HOTP RFC 4226 策定 ② 2010年 Google Authenticator 発売 (Android 初) ③ 2011年 TOTP RFC 6238 策定 ④ 2012年 Authy 発売 + 2014年 Twilio 買収 ⑤ 2018年 1Password 内蔵 TOTP ⑥ 2022年 Passkey 発表 + 2024-2026年 Passkey 普及で TOTP 置換進行。
関連用語との違い
- FIDO2: 業界標準 + パスワードレス・TOTP より強力。
- Passkeys: FIDO2 + クラウド同期・TOTP の後継候補。
- HOTP: TOTP の前身・カウンターベース (TOTP は時間ベース)。
よくある質問（FAQ）
Q1: Google Authenticator vs Authy？ A: Google Authenticator (無料 + シンプル + Google アカウント同期 2023年から) vs Authy (無料 + Twilio + クラウド同期 + Mac/Windows 対応)。マルチデバイス + バックアップ重視 ならAuthy。
Q2: 共通鍵紛失したら？ A: 2FA リカバリコード (登録時に発行) で解除・Authy + 1Password + Bitwarden + Apple Passwords でクラウド同期推奨・Google Authenticator は Google アカウント連携でバックアップ可。
Q3: Passkey 普及で TOTP 廃止？ A: 2024-2026年で Passkey に徐々に置換進行・主要サービス Passkey 対応進む・TOTP は Passkey 未対応サービス + 移行期間でしばらく主流継続・完全廃止は2030年予想。