HOTPとTOTPの違いを徹底解説！今すぐ使い分けるための超入門ガイド

---

HOTPとTOTPの基本と違いを押さえる

OTP（1回限りの使い捨てコード）について理解することから始めましょう。

この仕組みを安全に運用するには、コードがいつ生成され、どのように使われるかを知ることが重要です。

HOTPは「カウンター」ベースのOTPで、サーバーとクライアントの両方が同じ回数カウントした時に同じコードが生まれます。つまり、二者間で事前にカウンターの同期が取れていれば、コードは毎回同じではなく、カウンターが進むごとに新しいコードが表示されます。

これは、端末がオンラインのときや、サーバー側でカウンターを管理できる場合に向いています。対してTOTPは「時刻」ベースのOTPです。現在の時刻を一定の時間ステップ（例：30秒）で区切り、その区切りごとに同じ秘密鍵から新しいコードを算出します。

この方式は、スマホアプリとサーバーの時刻が揃っていれば、オンライン・オフラインを問わず使いやすいのが特徴です。

重要なポイントは、HOTPはカウンターの同期を保つ必要があること、TOTPは時計の同期が前提になることです。これらの違いを理解するだけで、あなたの利用場面に適したOTPの選択肢が自然と見えてきます。

次の章では、具体的な仕組みと、どんな場面でどちらを使うべきかをさらに深掘りします。

仕組みの違いを技術的に詳しく解説

HOTPは、秘密鍵KとカウンターCを使い、HMAC-SHA1(K, C)を計算します。その結果を一定の規則で整形して6桁のコードにします。カウンターはサーバーとクライアントの両方で同じ値に保たれる必要があり、同期のズレが生じると認証が難しくなります。

TOTPは、同じ秘密鍵Kと現在時刻Tを用い、Tを時間ステップに変換して得られるCtを使い、HOTP(K, Ct)を実行します。時間ステップは通常30秒程度に設定され、コードの有効期間もこの時間で決まります。

つまり、HOTPはカウンターの連携、TOTPは時計の連携が運用の要点です。以下の表は、両者の代表的なポイントを比較したものです。

e>比較項目HOTPTOTP発行タイミングカウンターが進むごとに新コード時間ステップごとに新コード同期の前提サーバーとクライアントのカウンター同期時計の同期が重要適した場面オンラインでの管理が可能な場合日常的なログインでの利便性セキュリティの特徴遅延耐性が低いが同期が効くリアルタイム性が高い

この違いを理解すると、実際のサービス選択にも役立ちます。

さらに、運用時にはセキュリティの基本原則である秘密鍵の保護と適切なバックアップが重要です。

実生活での使い分けと導入のポイント

現場での使い分けは、所属するサービスの仕様と組織の運用方針で決まります。

例えば、企業のVPNや社内システムでは、サーバー側でカウンターを厳格に管理できる場合、HOTPを採用するケースもあります。これにより、社員がアプリを使い回しても、同期のずれを最小化できます。

一方、日常的なウェブアカウントの2段階認証にはTOTPが広く採用されています。スマホの認証アプリが現在時刻に基づくコードを生成するため、毎回コードを入力する手間が減り、ログイン体験がスムーズになります。

導入のコツは、時計同期を正確に保つこと、シークレット鍵の保護を徹底すること、そしてバックアップの運用を整えることです。バックアップとして、シークレットのリカバリコードを安全な場所に控えるか、複数のデバイスで同じアカウントを設定することで、紛失時の復旧を容易にします。

最後に、利用者教育も重要です。利用者に対して、コードの取り扱い方、フィッシング対策、端末の紛失時対応の手順を明確に伝えることで、実際のセキュリティが大きく高まります。

このように、HOTPとTOTPの違いを理解して適切に選び、運用のコツを押さえることで、あなたのオンラインライフはより安全で快適になります。

ピックアップ解説

ねえ、TOTPって時間で決まる使い捨てコードだよね。時計がちょっとズレてもログインに影響するんじゃないかと思う人もいる。でも実体は、スマホのアプリが秘密鍵と現在時刻から6桁程度の数字を作る仕組みです。時計を自動に同期しておくと、コードのずれは最小限に抑えられます。職場のネットワークにNTPサーバがある場合、端末の時計をそれに合わせると安定します。つまりTOTPの肝は時計の同期と鍵の安全な管理です。慣れてくると、日常の2段階認証がぐっと楽になります。

---