TOTP: Kok Google Authenticator Bisa Ngasih Kode Walau Gak Ada Kuota?

Bayangin HP Kamu Mati Sinyal...

Bayangin Budi mau Login ke akun Binance miliknya. Setelah masukin password, Binance minta kode 2FA (6 digit) dari aplikasi Google Authenticator. Budi ngeluarin HP-nya yang ternyata kehabisan kuota dan sedang dalam Mode Pesawat (Offline).

Ajaibnya, saat aplikasi Authenticator dibuka, angka 6 digit itu tetap muncul dan berubah-ubah setiap 30 detik! Budi ngetik angka itu di Binance, dan ajaibnya lagi, Server Binance (yang ada di Amerika) TAHU bahwa angka yang diketik Budi itu benar! Lah, Server dan HP Budi kan gak saling terhubung internet? Kok bisa pikirannya nyambung?

Masalahnya: SMS OTP Itu Bahaya dan Mahal

Dulu kita dikirimi SMS OTP. Tapi SMS gampang disadap Hacker dan biaya kirim SMS per *user* sangat mahal bagi perusahaan. Solusi aplikatif *offline* sangat dibutuhkan.

Nah, Di Sinilah 'TOTP' Masuk!

Sihir magis pembaca pikiran ini murni matematika. Namanya adalah algoritma TOTP (Time-Based One-Time Password). Algoritma ini butuh 2 bahan baku yang sama persis antara HP Budi dan Server Binance:

1. Rahasia Bersama (Secret Key): Ingat saat pertama kali Budi Scan Barcode QR? Barcode itu berisi teks rahasia (Misal: RAHASIA123). HP Budi dan Server Binance kini memegang kata kunci rahasia yang sama.
2. Waktu (Current Time): Walaupun HP Budi Offline, jam (waktu) di HP Budi dan jam di Server Binance di Amerika berjalan sama persis. (Misalnya jam 12:00:00).

Bagaimana Kodenya Dibuat?
HP Budi memasukkan RAHASIA123 + Jam 12:00:00 ke dalam mesin penggiling matematika (Hashing HMAC), lalu menghasilkan angka 654321.
Di saat yang sama, Server Binance juga menggiling teks RAHASIA123 + Jam 12:00:00 di komputernya, dan menghasilkan angka 654321.

Karena kedua mesin punya bahan baku yang sama, mereka Pasti menghasilkan angka yang sama di detik yang sama! Setelah lewat 30 detik, waktunya berubah, maka kodenya pun ikut berubah. Sihir terpecahkan!