ワンタイムパスワード
更新日:
用語解説
ワンタイムパスワード（OTP）は、一回の認証又は短い有効期間だけ使える認証用の値で、認証器と検証側が共有する秘密等から生成し、使い回す固定パスワードの危険を減らします。
■ 試験で押さえるポイント
カウンタを進めるイベント同期型のHOTP、現在時刻を基に一定時間ごとに変わる時刻同期型のTOTPなどがあり、検証側は再利用と許容範囲を管理します。
使用済み又は期限切れの値を再送する単純なリプレイ攻撃には耐性がありますが、偽サイトが有効なOTPを即時中継するリアルタイムフィッシングは防げません。
生成秘密を安全に登録・保管し、短い有効期間、試行回数制限、時刻ずれ補正の制限、安全な再発行・回復手続を設けます。
OTP機器の所持に加えて別の知識・生体要素を要求すれば多要素になります。OTPを表示するだけの単一要素認証器もあるため方式を確認します。
■ 選択肢での判断ポイント
一度又は短時間だけ有効でリプレイ耐性を持ちますが、手入力OTPは接続先へ暗号学的に結び付かず、フィッシング耐性はない点が重要です。
例: 30秒ごとに変わるTOTPを偽サイトへ入力すると、攻撃者が30秒以内に正規サイトへ中継できます。重要用途ではFIDO等の耐フィッシング認証を使います。