Como funcionam os Tokens de Autenticação TOTP (chaveiros e cartões)?

~ Termos relacionados ~
Autenticação de Dois Fatores (Two Factor Authentication, 2FA)
Autenticação de Múltiplos Fatores (Multi Factor Authentication, MFA)
One Time Password (OTP)
IToken do Itaú

Se você em algum momento já usou algum dispositivo de hardware ou aplicativo que gerasse uma senha única e aparentemente aleatória a cada 30 segundos ou 1 minuto, você esteve usando a tecnologia Time-based One-Time Password, TOTP (Senha de Uso Único Baseada em Tempo).

Eles podem ser baseados em hardware ou software:

TOTP baseados em hardware são os chaveiros de banco ou cartões com uma telinha, chamados de "tokens" ou "hardware tokens" são um exemplo comum. São chaveiros ou cartões com uma pequena tela de LCD que mostra uma senha numérica (de geralmente 6 dígitos) ao se apertar um botão.

TOTP baseados em software são aplicativos no celular ou computador que ao serem abertos ficam mostrando uma senha única (geralmente de 6 dígitos). O Google Authenticator, Twilio Authy, Duo Mobile são exemplos desses aplicativos.

Explicação em construção...

Referências

Como o Google Authenticator funciona?
https://security.stackexchange.com/questions/35157/how-does-google-authenticator-work

Time Drift in TOTP
https://www.protectimus.com/blog/time-drift-in-totp-hardware-tokens/