TOTP/HOTP RFC 6238/4226 2026（ティーオーティーピー）
OTP標準仕様。TOTP RFC 6238 (Time-based・30sec window)・HOTP RFC 4226 (HMAC-based・Counter)・Google Authenticator・Microsoft Authenticator・Authy (Twilio・終了→Twilio Verify)・Aegis Authenticator (FOSS Android)・Ente Auth (Cloud Sync FOSS)・2FAS (FOSS iOS+Android+Cloud Sync)・FreeOTP・KeePassXC統合・YubiKey OTP・Bitwarden Premium 内蔵、2026年Passkey併用主流。
概要
TOTP（Time‑Based One‑Time Password）とHOTP（HMAC‑Based One‑Time Password）は、RFC 6238 と RFC 4226 によって定義された OTP（One‑Time Password）規格です。TOTP は 30 秒間隔のタイムウィンドウで 6 桁のコードを生成し、HOTP は 64 ビットのカウンタをインクリメントしてコードを発行します。2025 年以降、Passkey との併用が主流となり、TOTP のセキュリティは多要素認証（MFA）全体の中核を担っています。2026 年には YubiKey OTP の統合が進み、Twilio Verify がサービス停止へ向かう動きが顕著です。
主な特徴・仕組み
- タイムウィンドウ：30 秒（TOTP）
- コード桁数：6 桁（RFC 6238）
- カウンタ長：64 ビット（HOTP）
- ハッシュ関数：HMAC‑SHA‑1（256‑bit キー）
- シード長：32 バイト（256 ビット）
- 発行頻度：1 秒間に最大 1000 回のコード生成が可能
- 認証サーバー：RFC 6238 ではサーバ側も 30 秒同期を保持
- 互換性：Google Authenticator、Microsoft Authenticator、Authy、Aegis Authenticator、Ente Auth、2FAS、FreeOTP、KeePassXC、Bitwarden Premium で動作
- 物理デバイス：YubiKey 5 Nano、YubiKey 5Ci、YubiKey 5 Series（USB‑C、Lightning、USB‑A）
スペック比較表
| 仕様 | TOTP (RFC 6238) | HOTP (RFC 4226) | YubiKey OTP |
|---|---|---|---|
| タイムウィンドウ | 30 秒 | なし | なし |
| カウンタ | なし | 64‑bit | なし |
| コード桁数 | 6 | 6 | 6 |
| ハッシュ | HMAC‑SHA‑1 | HMAC‑SHA‑1 | HMAC‑SHA‑1 |
| 生成速度 | 1000/s | 1000/s | 1000/s |
| 互換デバイス | ほぼ全て | ほぼ全て | YubiKey 5 Nano / 5Ci |
具体例・対応製品
- YubiKey 5 Nano（USB‑A）: 30 mm × 24 mm、重量 5 g、USB‑C での接続が可能。
- YubiKey 5Ci（Lightning + USB‑C）: iOS と Android で同一デバイス使用。
- Google Authenticator（iOS/Android）: 2025 年に Passkey と併用が推奨。
- Microsoft Authenticator: Windows 10/11 との深い統合。
- Authy (Twilio Verify): 2026 年にサービス終了予定、代替として Twilio Verify API が廃止。
自作PCでの選び方・注意点
- USB‑C vs USB‑A：USB‑C は最新のノートPCで必須。YubiKey 5Ci で両方対応。
- ファームウェア更新：YubiKey のファームウェアは 2026 年に 1.0.12 で新機能追加。
- 電源管理：USB‑C の 5 V/3 A 供給を確認。
- データ同期：Aegis Authenticator などはクラウド同期が必須。
- バックアップ：2FAS のクラウド同期で複数デバイスにコードを保持。
関連用語との違い
- OTP：一次的に使われるパスワード全般。TOTP/HOTP はその実装規格。
- MFA：多要素認証。TOTP/HOTP は「第二要素」として機能。
- Passkey：WebAuthn に基づく公開鍵認証。2025 年以降、TOTP は Passkey と併用されるケースが増加。
よくある質問(FAQ)
Q1. TOTP と HOTP の主な違いは何ですか？
A1. TOTP は 30 秒間隔のタイムウィンドウでコードを生成し、時間同期が必要。HOTP は 64 ビットのカウンタをインクリメントしてコードを発行し、同期はカウンタ値のみで行う。
Q2. YubiKey 5 Nano と 5Ci の選択基準は？
A2. 5Nano は USB‑A 接続のみで小型。5Ci は iOS で Lightning、Android で USB‑C を同時にサポートし、デスクトップとモバイル両方で使用したい場合に適している。
Q3. 2026 年に Twilio Verify が終了した場合、代替手段は？
A3. Twilio Verify API の代替として、AWS Cognito、Auth0、Microsoft Azure AD B2C などが推奨される。これらは TOTP/HOTP をサポートし、クラウドベースの MFA を提供する。
まとめ
TOTP と HOTP は 2025 年以降も MFA の根幹を担い、2026 年には YubiKey OTP の統合や Twilio Verify の終了など、環境が変化しています。自作PCを構築する際は USB‑C 対応デバイスの選択、ファームウェア更新、クラウド同期の設定を忘れずに。これらを適切に組み合わせることで、強固で将来性のある認証環境を実現できます。