Top/ワンタイムパスワード認証

ワンタイムパスワード認証 の変更点

#author("2022-07-16T07:22:07+09:00","default:k1rou","k1rou")
#author("2022-12-06T09:08:15+09:00","default:k1rou","k1rou")
*ワンタイムパスワード認証 とは [#y365181c]
**名称 [#e1572600]
-OTP（One Time Password）

**概要 [#q1f9951d]
-使い捨てパスワード方式
-ワンタイム（毎回異なる）のパスワードを使った認証。
-盗聴などによりパスワードが漏洩しても、不正アクセスを防ぐ可能性が高い
-生成するパスワードが推測されないようにする必要がある
--パスワードは疑似乱数文字列を使う。
-認証する度にパスワードが発行されるので、ユーザーがパスワードを記憶する必要がない
--仕組み上、ユーザーが記憶・記録することに意味がない仕組みにする必要がある
--パスワードを発行してから一定期間経つと使うことができなくなるなど

-[[パスワード認証]]などとの併用が望ましい。（[[多要素認証]]）

-生成
--ハードウェア、ソフトウェア
--ハードウェア（[[セキュリティキー]]）
--ソフトウェア（[[認証アプリ]]）
-送信
--電子メール、SMS
--[[電子メール]]
--[[SMS]]
-バックアップコード

*ワンタイムパスワード生成の仕組み [#lac1d97a]
-事前にパスワードリストをシステムとユーザとが共有して順番に使う。
-パスワード発生器（トークン）をユーザが保持して、認証の都度パスワードを生成する。
-パスワード生成は、時刻情報や利用者固有の鍵を元に行う。
-パスワード生成は、共通の鍵を元に行う。
-スマートフォンのソフトウェアでハスワード発生器の機能を実装する。
-サーバ側で生成したパスワードを、あらかじめ登録しておいた信頼できる電話番号への[[メール]]や[[SMS]]、音声メッセージでユーザに通知する。

*ワンタイムパスワードの種類 [#vb349d61]
**TOTP [#j3d24278]
-Time-based One Time Password
-RFC6238
-「[[TOTP]]」参照

**HOTP [#r0b1a999]
-[[HMAC]]-based One Time Password
-RFC4226
-「[[HOTP]]」参照

*ワンタイムパスワードの実現方式 [#mbb91242]
**チャレンジレスポンス方式 [#f975c9b7]
-「[[チャレンジ・レスポンス認証]]」参照

**S/Key方式 [#eefb2b13]
-「[[チャレンジ・レスポンス認証]]」参照

**トークン(携帯認証装置) [#cb4c585b]
-専用のパスワード生成システム(トークン)を使って行う方式
-時刻同期式
--タイムシンクロナス方式
--サーバとクライアントで時間の同期をとり、日時と[[PIN]](ユーザの個人識別番号)を使ってワンタイムパスワードを生成する。

*トークンデバイス [#d1953a1b]
-Gemaltoトークン

*関連サイト [#v74a5ef7]
-ワンタイム・パスワード - WikiPedia~
https://ja.wikipedia.org/wiki/%E3%83%AF%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%83%91%E3%82%B9%E3%83%AF%E3%83%BC%E3%83%89

-SMS認証の仕組みと危険性、「TOTP」とは？　「所有物認証」のハナシ (2019/4/8) - ITmedia~
https://www.itmedia.co.jp/news/articles/1904/08/news026.html

-ワンタイムパスワードジェネレータを作った (2015/5/6) - ぶていのログでぶログ~
https://tech.buty4649.net/entry/2015/05/06/%E3%83%AF%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%83%91%E3%82%B9%E3%83%AF%E3%83%BC%E3%83%89%E3%82%B8%E3%82%A7%E3%83%8D%E3%83%AC%E3%83%BC%E3%82%BF%E3%82%92%E4%BD%9C%E3%81%A3%E3%81%9F

-第508回　Ubuntuでコマンドラインからワンタイムパスワードを扱う - Gihyo.jp~
https://gihyo.jp/admin/serial/01/ubuntu-recipe/0508

*関連用語 [#ua9a9a07]
-[[フィッシング]]
-[[セキュリティ]]
-[[認証]]
-[[パスワード]]
-[[パスワード認証]]
-[[認証アプリ]]
-[[S/Key]]
-[[OATH]] (initiative for Open AuTHentication)