Hasło jednorazowe

Hasło jednorazowe (ang. One Time Password, w skrócie: OTP) – jedno z zabezpieczeń stosowanych w systemach bankowości elektronicznej i systemach teleinformatycznych.

Hasła jednorazowe pozwalają ograniczyć związane ze stosowaniem statycznych haseł zagrożenie podsłuchania lub podejrzenia hasła przez osoby niepowołane i posługiwania się nim bez wiedzy właściciela. Hasło jednorazowe, jak sama nazwa wskazuje, jest wykorzystywane tylko raz i traci ważność po wykorzystaniu.

Bankowość elektroniczna [edytuj]

W bankowości elektronicznej hasła jednorazowe służą do autoryzowania operacji o podwyższonym stopniu ryzyka, takich jak przelewy. Hasła są tutaj zwykle dostarczane w postaci wydrukowanej listy, zdrapki (dla kilkudziesięciu transakcji naprzód) lub przesyłane SMSem na określony przez właściciela konta numer telefonu komórkowego (dla każdej transakcji oddzielnie).

Generowanie haseł jednorazowych [edytuj]

Hasła jednorazowe mogą być wartościami losowymi, co wymaga by system przechowywał je po wygenerowaniu i przekazaniu użytkownikowi. Ze względów praktycznych częściej stosuje się hasła generowane i weryfikowane w oparciu o algorytm wykorzystujący kryptograficznej jednokierunkowe funkcje skrótu. Najczęściej spotykane algorytmy generowania haseł jednorazowych to:

Łańcuch skrótów - hasło jednorazowe (OTP - one time password) $OTP_{n}$ jest wyliczane ze wzoru $OTP_{n}=H(OTP_{n-1})$ , gdzie H jest funkcją skrótu. Hasła są generowane począwszy od $OTP_{0}$ , które jest wartością losową. Użytkownik korzysta z nich w odwrotnej kolejności (od $OTP_{n}$ do $OTP_{0}$ ), a dzięki własnościom jednokierunkowej funkcji skrótu znajomość hasła $OTP_{n}$ nie pozwala podsłuchującemu na poznanie następnego w kolejności hasła $OTP_{n-1}$ . Z algorytmu tego, z różnymi modyfikacjami, korzystają systemy haseł jednorazowych S/KEY, OPIE i OTPW^[1].
Synchronizacja czasowa - hasło jednorazowe (TOTP - time-based one time password) $OTP_{t}$ jest wyliczane ze wzoru $OTP_{t}=H(s, t)$ , gdzie s jest wartością losową (seed), stałą dla danego użytkownika, a t aktualnym czasem GMT mierzonym w krokach minutowych. Dzięki synchronizacji czasowej zarówno użytkownik i serwer mogą wyliczać aktualną wartość hasła znając tylko wartość s. Mechanizm ten jest wykorzystywany m.in. tokenach RSA SecurID^[2]^[3].