что такое otp код
Одноразовый пароль
Одноразовый пароль (англ. one time password, OTP ) — это пароль, действительный только для одного сеанса аутентификации. Действие одноразового пароля также может быть ограничено определённым промежутком времени. Преимущество одноразового пароля по сравнению со статическим состоит в том, что пароль невозможно использовать повторно. Таким образом, злоумышленник, перехвативший данные из успешной сессии аутентификации, не может использовать скопированный пароль для получения доступа к защищаемой информационной системе. Использование одноразовых паролей само по себе не защищает от атак, основанных на активном вмешательстве в канал связи, используемый для аутентификации (например, от атак типа «человек посередине»).
Человек не в состоянии запомнить одноразовые пароли. Поэтому требуются дополнительные технологии для их корректной работы.
Содержание
Способы создания и распространения OTP
Алгоритмы создания OTP обычно используют случайные числа. Это необходимо, потому что иначе было бы легко предсказать последующие пароли на основе знания предыдущих. Конкретные алгоритмы OTP сильно различаются в деталях. Различные подходы к созданию одноразовых паролей перечислены ниже.
Также существуют различные способы, чтобы сообщить пользователю следующий пароль. Некоторые системы используют специальные электронные токены, которые пользователь носит с собой, создающие одноразовые пароли и выводящие затем их на маленьком экране. Другие системы состоят из программ, которые пользователь запускает с мобильного телефона. Ещё другие системы генерируют одноразовые пароли на сервере и затем отправляют их пользователю используя посторонние каналы, такие как SMS сообщения. Наконец, в некоторых системах одноразовые пароли напечатаны на листе бумаги или на скретч-карте, которые пользователю необходимо иметь с собой.
Реализация
Математические алгоритмы
Один подход, разработанный Лесли Лэмпортом, использует одностороннюю функцию (назовём её f). Система одноразовых паролей начинает работать от начального числа s, затем генерирует пароли
столько раз, сколько необходимо. Если ищется бесконечная серия паролей, новое начальное число может быть выбрано после того, как ряд для s оказывается исчерпанным. Каждый пароль распределяется в обратном порядке, начиная с f(f(…f(s))…), заканчивая f(s).
Синхронизированные по времени
Синхронизированные по времени одноразовые пароли обычно связаны с физическими аппаратными токенами (например, каждому пользователю выдаётся персональный токен, который генерирует одноразовый пароль). Внутри токена вcтроены точные часы, которые синхронизированы с часами на сервере. В этих OTP системах, время является важной частью алгоритма создания пароля так как генерация нового пароля основывается на текущем времени, а не на предыдущем пароле или секретном ключе.
В последнее время, стало возможным брать электронные компоненты, связанные с постоянными токенами-часами, такие как от ActivIdentity, InCard, RSA, SafeNet, Vasco, и VeriSign и встраивать их в форм-фактор кредитной карты. Однако, так как толщина карты (от 0.79 мм до 0.84мм) не позволяет использовать традиционные элементов батареек, необходимо использовать специальные батарейки, основанные на полимерах, время жизни которых гораздо больше, чем у обычных мини-батареек. Кроме того, должны использоваться крайне маломощные полупроводниковые компоненты для экономии энергии во время режима ожидания и/или использования продукта. В производстве тонких устройств OTP лидируют две компании: Identita и NagraID.
Мобильные телефоны и КПК также могут быть использованы для генерации синхронизированных по времени одноразовых паролей. Этот подход может быть более экономной альтернативой, так как большинство пользователей Интернета уже имеет мобильные телефоны. Кроме того, это может быть более удобно, потому что у пользователя не будет необходимости носить с собой отдельный токен, для каждого безопасного соединения, когда он или она нуждается в доступе.
Запрос
Использование одноразовых паролей с запросом требует от пользователя обеспечивать синхронизированные по времени запросы, чтобы была выполнена проверка подлинности. Это может быть сделано путём ввода значения в сам токен. Чтобы избежать появления дубликатов, обычно включается дополнительный счётчик, так что если случится получение двух одинаковых запросов, то это всё равно приведёт к появлению разных одноразовых паролей. Однако, вычисления обычно не включают предыдущий одноразовый пароль, так как это приведёт к синхронизации задач. EMV начинают использовать такие системы (т. н. «Chip Authentication Program») для кредитных карт в Европе.
Одноразовый пароль через SMS
Распространённая технология, используемая для доставки одноразовых паролей — это SMS. Так как SMS — это повсеместный канал связи, которая имеется во всех телефонах и используется большим количеством клиентов, SMS сообщения имеют наибольший потенциал для всех потребителей, обладающие низкой себестоимостью. Токены, смарт-карты и другие традиционные методы аутентификации гораздо более дороги для реализации и для использования и часто встречают сопротивление со стороны потребителей. Они также гораздо более уязвимы для атак типа «человек посередине», в которых фишеры крадут одноразовые пароли обманом или даже потому что одноразовые пароли отображаются на экране токена. Также токены могут быть потеряны и интеграция одноразовых паролей в мобильные телефоны может быть более безопасным и простым, потому что пользователям не придётся носить с собой дополнительные портативные устройства. В то же время, одноразовые пароли через SMS могут быть менее безопасны, так как сотовые операторы становятся частью цепи доверия. В случае роуминга, надо доверять более чем одному мобильному оператору.
Одноразовый пароль на мобильном телефоне
По сравнению с аппаратной реализацией токена, которая требует, чтобы пользователь имел с собой устройство-токен, токен на мобильном телефоне существенно снижает затраты и предлагает беспрецедентный уровень удобства. Это решение так же уменьшает материально-технические требования, так как нет необходимости выдавать отдельное устройство каждому пользователю. Мобильные токены, такие как FiveBarGate или FireID дополнительно поддерживают некоторое число токенов в течение одной установки приложения, позволяя пользователю аутентифицироваться на нескольких ресурсах с одного устройства. Этот вариант также предусматривает специфические приложения для разных моделей телефонов пользователя. Токены в мобильных телефонах также существенно более безопасны, чем OTP по SMS, так как SMS отправляются по сети GSM в текстовом формате с возможностью перехвата.
Сравнение технологий
С точки зрения затрат, самыми дешёвыми решениями являются распространение одноразовых паролей на бумаге, скретч-карте или генератор одноразовых паролей на мобильном телефоне. Это так, потому что эти системы исключают затраты, связанные с (пере-)выдачей электронных токенов и стоимостью SMS сообщений.
Для систем, которые опираются на электронные токены, не синхронизованные по времени системы должны решить проблему, когда сервер и токен сбиваются с синхронизации. Это приводит к дополнительным затратам на разработку. С другой стороны, они позволяют избегать расходов на часы в электронных токенах (и коррекцию их значений с учётом временного дрейфа).
Хотя одноразовые пароли являются более безопасными, чем обычные пароли, использование систем OTP всё ещё уязвимо для атак типа «человек посередине». Поэтому одноразовые пароли не должны передаваться третьей стороне. Синхронизирован ли одноразовый пароль по времени, в основном никак не влияет на степень уязвимости. Основанные на запросе одноразовые пароли тоже являются уязвимыми, хотя успешная атака требует от злоумышленника чуть более активных действий, чем для других типов OTP.
Стандартизация
Запатентовано множество технологий OTP. Это делает стандартизацию в этой области ещё более трудной, так как каждая компания пытается протолкнуть свою собственную технологию. Стандарты, тем не менее, существуют, например, RFC 2289 [3] и RFC 4226 (HOTP).
OTP в рамках банковского дела
В некоторых странах одноразовые пароли используются для удалённого использования банков. В некоторых из этих систем банк посылает пользователю пронумерованный список одноразовых паролей, напечатанный на бумаге. Для каждой удалённой транзакции, пользователь должен ввести соответствующий одноразовый пароль из этого списка. В Германии эти пароли обычно называют TAN кодом (от «transaction authentication numbers»). Некоторые банки отправляют TAN-коды пользователю с помощью SMS, и в этом случае они называются mTAN-коды (от «mobile TANs»).
Связанные технологии
Чаще всего, одноразовые пароли являются олицетворением двухфакторной аутентификации. Некоторые Технологии единого входа [4] системы используют одноразовые пароли. OTP технология так же используется в токенах безопасности.
OTP — Авторизация при помощи одноразовых паролей
Использование OTP (One Time Password, одноразовый пароль) — это дополнительный уровень безопасности при работе с торговыми счетами. При каждом подключении к счету пользователю требуется ввести уникальный одноразовый пароль.
Чтобы начать использовать одноразовые пароли, необходимо связать свой торговый счет с генератором паролей, в качестве которого выступает мобильная платформа для iPhone или Android.
Включение OTP на iPhone
Зайдите в раздел «Настройки» мобильной платформы и выберите пункт OTP. При первом открытии данного раздела для дополнительной безопасности требуется установить пароль из четырех цифр. Пароль потребуется вводить каждый раз для доступа к генератору паролей.
Если вы забыли пароль доступа к генератору паролей, но используете то же мобильное устройство, переустановите мобильную платформу и привяжите счет к генератору заново. Если вы более не имеете доступа к мобильному устройству, обратитесь к брокеру для сброса привязки к генератору паролей.
В открывшемся окне выберите пункт «Привязать к счету».
Далее укажите имя сервера, на котором открыт торговый счет, номер счета и главный пароль к нему. Опцию «Привязать» следует оставить включенной. Ее необходимо выключать, если вы собираетесь отвязать указанный счет от генератора и больше не использовать одноразовые пароли.
Если вы выполняете перепривязку счета к другому генератору паролей, потребуется дополнительно ввести одноразовый пароль из ранее используемого генератора. Если вы не имеете к нему доступа (например, утеряно мобильное устройство), обратитесь к брокеру для сброса привязки.
После нажатия кнопки «Привязать», расположенной в верхней части окна, торговый счет будет связан с генератором, появится соответствующее сообщение.
Аналогичным образом вы можете привязать неограниченное количество торговых счетов к генератору.
Одноразовый пароль показывается в верхней части раздела OTP. Под ним в виде синей полоски отображается индикатор времени действия данного пароля. Как только время действия истечет, пароль станет недействительным и будет сгенерирован новый.
Включение OTP на устройстве с Android
Если вы забыли пароль доступа к генератору паролей, но используете то же мобильное устройство, переустановите мобильную платформу и привяжите счет к генератору заново. Если вы более не имеете доступа к мобильному устройству, обратитесь к брокеру для сброса привязки к генератору паролей.
В открывшемся окне выберите пункт «Привязать к счету».
Далее укажите имя сервера, на котором открыт торговый счет, номер счета и главный пароль к нему. Опцию «Привязать» следует оставить включенной. Ее необходимо выключать, если вы собираетесь отвязать указанный счет от генератора и больше не использовать одноразовые пароли.
Если вы выполняете перепривязку счета к другому генератору паролей, потребуется дополнительно ввести одноразовый пароль из ранее используемого генератора. Если вы не имеете к нему доступа (например, утеряно мобильное устройство), обратитесь к брокеру для сброса привязки.
После нажатия кнопки «Привязать», расположенной в верхней части окна, торговый счет будет связан с генератором, появится соответствующее сообщение.
Аналогичным образом вы можете привязать неограниченное количество торговых счетов к генератору.
Одноразовый пароль показывается в верхней части раздела OTP. Под ним в виде синей полоски отображается индикатор времени действия данного пароля. Как только время действия истечет, пароль станет недействительным и будет сгенерирован новый.
Использование OTP в платформе
После привязки к генератору при попытке подключения через торговую платформу при помощи торгового счета будет дополнительно запрашиваться одноразовый пароль:
Часто задаваемые вопросы
OTP – это сокращение от One Time Password (одноразовый пароль) и представляет собой временный защищенный PIN-код, который отправляется вам посредством SMS-сообщения или электронной почты и действует только один сеанс. Smart-ID использует одноразовые пароли для подтверждения вашей контактной информации в процессе регистрации и обновления учетной записи.
Если вам не удается получить и подтвердить OTP-код, вы не сможете продолжить регистрацию учетной записи. Поэтому обязательно перепроверьте указываемую контактную информацию!
Какая контактная информация будет использоваться для отправки OTP-кодов?
Это зависит от выбранного способа регистрации; просто следуйте указаниям на экране.
Возьмем для примера способ биометрической регистрации. Как вам уже может быть известно, биометрическая регистрация доступна только пользователям, у которых уже была активная учетная запись Smart-ID.
Если вы регистрируете новую учетную запись и выбираете биометрическую идентификацию, одноразовый пароль будет отправлен на контактные данные, которые уже занесены в нашу базу данных (при регистрации предыдущей учетной записи). Таким образом, вам потребуется доступ либо к электронному адресу, либо к номеру телефона, указанному при создании предыдущей активной учетной записи.
Приложение Smart-ID сообщит вам, когда мы отправим одноразовый пароль, а также предложит вам выбрать предпочтительный способ отправки. Если у вас больше нет доступа к какой-либо предшествующей контактной информации, вам следует использовать другой способ регистрации. Биометрическая регистрация не позволяет менять вашу контактную информацию, которая у нас уже есть!
В случае утечки или взлома Вашей личной информации (электронного адреса, паролей, национальных персональных кодов или других данных) просим немедленно сменить пароль от электронной почты и активировать функцию двухэтапной проверки почтового ящика.
Как скоро я получу OTP-код?
OTP-код отправляется практически сразу. Если прошло больше 2 минут, повторите попытку: возможно, причина во временных проблемах в сети или задержке в работе поставщика услуги.
Обратите внимание! Возникли проблемы с получением OTP-кода при нахождении за границей?
Попробуйте вручную выбрать другую мобильную сеть и повторите попытку регистрации. Если это не решает проблему, воспользуйтесь своим электронным адресом.
Если же получить OTP-код все еще не удается, обратитесь за помощью в нашу клиентскую службу.
Если вы находитесь в США, Канаде или Бельгии, вместо SMS-сообщения обязательно выберите подтверждение по электронной почте. В этих странах Вы не сможете получить OTP-коды (одноразовые пароли) в виде текстовых сообщений!
Национальная библиотека им. Н. Э. Баумана
Bauman National Library
Персональные инструменты
OTP (One Time Password)
Содержание
Генерация и распространение OTP
Алгоритмы создания OTP используют псевдослучайные или случайные наборы чисел, а также хэш-функции, которые можно использовать для повторного получения значения, однако очень сложно получить данные хэша для их повторного использования. Такие механизмы необходимы, поскольку в ином случае, было бы легко предсказать по какому принципу генерируются OTP, наблюдая его предыдущие вариации. Конкретные алгоритмы OTP сильно различаются в деталях. Выделяют следующие механизмы реализации одноразовых паролей [Источник 2] :
Кроме того, существуют различные способы информирования пользователя о следующем используемом OTP. Многие системы используют специальные электронные токены, которые пользователь носит с собой. Данные токены создают пароль и выводят его на маленький экран. Прочие системы состоят из программ, которые пользователь может самостоятельно запустить на мобильном телефоне. Все остальные системы генерируют пароль на стороне сервера и отправляют его пользователю по внеполосному каналу, например, при помощи SMS. В некоторых системах OTP печатается на бумаге, либо скетч-карте, которую пользователю необходимо иметь при себе.
Методы генерации OTP
Синхронизированные по времени
Синхронизированные по времени OTP обычно привязаны с так называемыми токенами безопасности (например, каждому пользователю предоставляется токен, который генерирует одноразовый пароль). Обычно такие токены (см. рис. 2) выглядят как маленькие калькуляторы или брелок с ЖК-дисплеем, который показывает число, которое время от времени изменяется. Внутри такого токена находятся встроенные часы, которые синхронизированы с часами на проприетарном сервере аутентификации. В подобных системах OTP, время является ключевой частью алгоритма паролей, так как генерация новых паролей основана на текущем времени, а не на предыдущем пароле или секретном ключе, или в дополнение к нему.
В настоящее время появилась возможность встраивать электронные компоненты, связанные с постоянными токен-часами, такие, как от ActivIdentity, InCard, RSA, SafeNet, Vasco, VeriSign и Protectimus, в форм-фактор кредитной карты. Однако, учитывая то, что толщина пластиковых карт не расчитана на вживление традиционных элементов батареек, необходимо использование специальных батареек, основанных на использовании полимеров, время жизни которых значительно превосходит время жизни мини-батареек. Кроме этого, для стабильной работы такого устройства, в нем должны быть использованы маломощные полупроводниковые компоненты для экономии питания во время ожидания или использования. Производством подобных тонких устройств занимаются компании Identita и NagraID.
Математический алгоритм
Каждый новый OTP создается на основе всех предыдущих. Данный подход разработан Лесли Лэмпортом и использует одностороннюю функцию, условно, назовем ее f. Данная система паролей работает следующим образом:
Информирование пользователя об OTP
Телефоны
Распространенной технологией, используемой для информирования пользователя об OTP, является обмен текстовыми сообщениями. Поскольку обмен текстовыми сообщениями является повсеместным каналом связи, он доступен напрямую практически на всех мобильных телефонах и, благодаря преобразованию текста в речь, на любой мобильный или стационарный телефон, обмен текстовыми сообщениями имеет большой потенциал для охвата всех потребителей с низкой общей стоимостью реализации решения. Однако, стоимость обмена текстовыми сообщениями для каждого отдельно взятого OTP может быть неприемлема для конечного пользователя. Сообщение, содержащее OTP обычно шифруется с использованием стандарта A5/x, однако, злоумышленники уже умеют легко расшифровывать подобные сообщения.
Кроме того, из за недостатков в безопасности протокола маршрутизации SS7, сообщения могут быть перенаправлены и попасть в руки злоумышленников. Так, в 2017 году, в Германии, злоумышленники смогли получить доступ к банковским счетам нескольких клиентов компании O2. Компания NIST не рекомендует использовать данный метод для реализации двухфакторной аутентификации, так как вполне реальна угроза перехвата SMS сообщений и получения несанкционированного доступа к личной информации.
На смартфонах, зачастую, одноразовые пароли доставляются напрямую через мобильные приложения. В том числе, через специальные приложения для аутентификации, такие как Authy, Duo и Google Authenticator, или в рамках существующего приложения службы, например, Steam (см. рис. 3). Эти системы не подвержены уязвимостям SMS, а также не всегда требуют подключения к сети интернет.
Веб-методы
Поставщики услуг проверки подлинности предлагают различные веб-методы доставки одноразовых паролей, без использования токенов. Один из таких методов основан на способности пользователя распознавать предварительно выбранные категории из случайно сгенерированной сетки изображений. При первой регистрации на сайте пользователь выбирает несколько секретных категорий вещей; такие как собаки, автомобили, лодки и цветы. Каждый раз, когда пользователь заходит на веб-сайт, ему выдают случайно сгенерированную сетку из буквенно-цифровых символов, наложенных на него. Пользователь ищет изображения, которые соответствуют их предварительно выбранным категориям, и вводит соответствующие буквенно-цифровые символы, чтобы сформировать одноразовый код доступа.
Распечатка
В некоторых странах в режиме онлайн-банкинга банк отправляет пользователю нумерованный список OTP, которые напечатаны на бумаге. Другие банки отправляют пластиковые карты с фактическими OTP, скрытыми слоем, который пользователь должен стереть, чтобы выявить пронумерованный OTP (скретч-карты (см. рис. 1)). Для каждой онлайн-транзакции пользователь должен ввести определенный OTP из этого списка. Некоторые системы запрашивают пронумерованные OTP последовательно, другие псевдослучайно выбирают OTP для ввода. В Германии и многих других странах, таких как Австрия и Бразилия, эти OTP обычно называются TAN («номера аутентификации транзакций»). Некоторые банки даже отправляют такие TAN на мобильный телефон пользователя посредством SMS, и в этом случае они называются mTAN («мобильные TAN»).
Сравнение технологий
С точки зрения затрат на производство, самым дешевым методом реализации OTP является распечатка их на бумаге, либо специальных скретч-картах. Приближена по стоимости генерация одноразовых паролей на мобильном устройстве. Это связано с тем, что приведенные методы исключают траты на производство специальных токенов безопасности, или с тратами на мобильное SMS информирование.
Системы же, которые основаны на синхронизации часов на токенах и сервере, должны решить проблему с рассинхроном, что влечет за собой дополнительные затраты на разработку. Однако, они позволяют избегать расходов на установку электронных часов в эти токены, а также их коррекцию с учетом временного дрейфа.
OTP уязвимы для фишинга. В конце 2005 года у пользователей Банка Швеции обманом выманили их одноразовые пароли. Даже синхронизированные по времени пароли уязвимы для фишинга, в случаях, когда взломщик успевает быстро воспользоваться паролем. Это было замечено в 2006 году по атаке на пользователей Citibank в США. [1]
Несмотря на то, что одноразовые пароли являются одними из наиболее безопасных, они все еще являются уязвимыми, например, для атак типа «человек посередине». В связи с этим одноразовые пароли ни в коем случае не должны передаваться третьей стороне. Синхронизация OTP по времени, в основном, никак не влияет на степень его уязвимости. Основанные на запросе одноразовые пароли тоже являются уязвимыми, хотя успешная атака требует от злоумышленника чуть более активных действий, чем для других типов OTP. [2]
Стандартизация
Связанные технологии
Некоторые решения единой регистрации используют одноразовые пароли.