HOTP (HMAC ベースのワンタイムパスワード)

HOTP は、共有された秘密鍵とカウンター値を使ってワンタイムパスワードを生成します。パスワードを生成するたびにカウンターが 1 つ進みます。アルゴリズムは HMAC-SHA1 を用いて、秘密鍵とカウンターの組み合わせから数字のコード (通常 6 桁) を作ります。

時刻ベースの TOTP と違い、HOTP のコードは自動的には期限切れになりません。使われるか、カウンターが進むまで有効なままです。そのため HOTP は、ボタンを押すとコードを生成するハードウェアトークンに適しています。

主な欠点は同期です。トークン側のカウンターがサーバー側とずれると、コードが一致しなくなります。ソフトウェア認証アプリでは、時刻ベースのコードが自動で失効し、カウンターの同期も不要なため、TOTP が HOTP をほぼ置き換えました。