关于Okta Verify无网络环境下验证码工作原理的技术问询

Okta Verify的离线验证码基于**TOTP（基于时间的一次性密码）**标准实现，这是一种无需实时联网的对称式身份验证方案，核心依赖预同步的共享密钥与时间校准：

1. 初始绑定的同步环节（需联网） #

• 当你在移动设备上激活Okta Verify并绑定账号时，Okta服务器会生成一个唯一的共享密钥（Secret Key），通过加密通道同步到你的设备并本地存储。
• 同时，设备与Okta服务器会校准UTC系统时间，确保双方的时间误差控制在30秒以内——这是TOTP生成验证码的核心前提。

2. 离线生成验证码的本地逻辑 #

• 断网状态下，Okta Verify应用直接调用本地存储的共享密钥，结合设备当前的UTC时间（按固定30秒为一个时间窗口分段），通过HMAC-SHA-1算法计算出6位数字验证码。
• 整个生成过程完全在移动设备本地完成，无需与任何服务器通信。

3. 服务器端的校验逻辑 #

• 当你在笔记本电脑输入验证码后，Okta服务器会调用你账号下存储的同一共享密钥，结合服务器当前的UTC时间（同样按30秒窗口分段），生成预期的验证码。
• 为兼容设备与服务器的微小时间偏差，服务器会同时校验当前窗口、前一个窗口和后一个窗口的验证码，只要输入的验证码匹配其中任意一个，即可通过身份验证。

简单来说：推送通知需要服务器主动向设备发起请求，因此必须联网；而TOTP验证码是双方用提前约定的密钥和时间独立计算，只要初始同步完成，断网状态下也能完成校验。

内容的提问来源于stack exchange，提问作者Tulika