I've a scenario to create OTP token for a system
如果是这样的话，我不明白你为什么要使用同一组随机数。也许它是用于 2 方系统，所以您需要服务器和客户端使用相同的值？如果是这样，请继续阅读。
已经有一种一次性密码算法 (RFC4226)。这里的所有帖子都是 C# 和/或粗略的（...已经创建了 foo 和 bar，对于第 4 步执行此操作：（一些代码））。我找不到一个以 RFC 要求的方式对令牌/值进行编码的方法。
对下面列出的参考资料有一些提示、帮助和修改，主要基于 RFC 附录 C，这里是一个 VB 版本。
请注意，RFC 描述了 2 方系统。客户端从共享密钥（忽略矛盾）和“移动值”或值序列生成 OTP。然后，服务器可以使用密钥和下一个值进行验证。如果它验证，那么它将计数器移动到系列中的下一个。显然，这些 OTP 会立即使用，否则服务器无法验证客户端 B，直到客户端 A 被“赎回”。
似乎没有人对那部分感兴趣，只是关于用 6 位数字表示哈希的部分，重复的可能性非常低。 RFC 还规定了一个似乎没人感兴趣的校验位。
这个也主要对 6 位哈希的核心操作感兴趣，因此它不符合 RFC4226。可以添加从一系列值中获取值的方面。
Partial Public Class CryptoTools
Private Const TicksPerSec = 10000000
Private Const TicksPerMilli = 10000
' generate your own key
Private Shared SecretKey As String = "PoNodJHz4jjVG6...UuiIvmA=="
秘密密钥在后面描述。 （这个注释真的是为了减少缩进。）
Public Shared Function GetOneTimePass(somevalue As UInt64,
Optional size As Int32 = 6) As String
' undo how the key was made
Dim Key() As Byte = Convert.FromBase64String(SecretKey)
Dim hashData As Byte()
' encode the value to Data...called text[] in RFC
' this part seems missing in most SO answers
Dim Data(7) As Byte
For n As Int32 = Data.Length - 1 To 0 Step -1
Data(n) = CByte(CLng(somevalue) And &HFF)
somevalue = somevalue >> 8
Next
' create hasher with our key; hash
Using hasher As New HMACSHA1(Key)
hashData = hasher.ComputeHash(Data)
End Using
' THIS is the part everyone likes
' see links and https://www.rfc-editor.org/rfc/rfc4226#section-5.4
Dim offset = hashData(hashData.Length - 1) And &HF
Dim binCode = (hashData(offset) And &H7F) << 24 Or
(hashData(offset + 1) And &HFF) << 16 Or
(hashData(offset + 2) And &HFF) << 8 Or
(hashData(offset + 3) And &HFF)
Dim otp As UInt64
' RFC: 6 is minimim size, 10 is my max
Dim sz = If(size < 6, 6,
If(size > 10, 10, size))
otp = Convert.ToUInt64(binCode Mod Math.Pow(10, sz))
' optional check digit
' no one seems to implement; not included
Dim check = CalculateCheckSum(otp, size)
'Return otp.ToString().PadLeft(sz, "0"c) & String.Format("-{0}", check.ToString)
' pad to minimum length
' work in progress: only works out to 7 chars
'Console.WriteLine(ConvertToBase26(otp))
Return otp.ToString().PadLeft(sz, "0"c)
End Function
Public Shared Function GetTimeToken() As UInt64
Dim t As UInt64 = Convert.ToUInt64(DateTime.Now.Ticks / TicksPerMilli)
Return t
End Function
Public Shared Function GetRandomUInt64() As UInt64
Dim rBytes(7) As Byte
Using crng As New RNGCryptoServiceProvider()
crng.GetBytes(rBytes)
Return BitConverter.ToUInt64(rBytes, 0)
End Using
End Function
##用法：
Dim token As UInt64 = CryptoTools.GetTimeToken()
Dim otp As String = CryptoTools.GetOneTimePass(token)
Dim rToken As UInt64 = CryptoTools.GetRandomUInt64()
Dim otp As String = CryptoTools.GetOneTimePass(rToken)
##注意事项
-
HMACSHA1 散列器的建议密钥大小为 64 字节。要创建您的密钥，请使用 RNGCryptoServiceProvider 创建一个包含 64 个随机字节的数组，然后使用 Convert.ToBase64String()。
- 这需要
UInt64。对于“真正的”2 方 4226 版本，该值应该是值序列中的下一个。否则...
- 值可以来自任何地方：可以是时间或随机数。
GetTimeToken() 是一个以UInt64 形式获取时间的实用函数。 GetRandomUInt64() 返回一个加密随机 UInt64 用作起始值。
- 上面的大多数 SO 链接似乎并没有按照 RFC 要求的方式对值/时间/数据进行编码，如果有的话。一篇文章提到加盐。但是根据 RFC 4226 附录 C 对传递的值进行编码似乎对结果至关重要（这可能解释了盐）。
- 我只运行了 2000 多次迭代，但从未见过任何重复（即使值仅相差一毫秒）。
- RFC 指定最少 6 位数字，这实现了，但可以更长。这允许 6-10 位数字，但超过 6 位难以阅读，请考虑为 8 位或更多位插入分隔符。
RFC 声明 希望 HOTP 值是“仅限数字”（第 4 节）。并不是说它不能是字母数字。就个人而言，如果结果以WYQ77-8WYB9 的形式编码，它会更容易（可能在手机上除外）。我无法将结果转换为超过 7 个字符。
如前所述，这不符合 RFC4226，就像它一样。测试到死。它看起来正确，看起来正确，它与其他版本和/或 RFC 匹配，但按原样呈现。
添加了GetRandomUInt64() 和GetTimeToken() 方法。
参考资料：