Hasło jednorazowe
Hasło jednorazowe (ang. One Time Password, w skrócie: OTP) – jedno z zabezpieczeń stosowanych w systemach bankowości elektronicznej i systemach teleinformatycznych.
Hasła jednorazowe pozwalają ograniczyć związane ze stosowaniem statycznych haseł zagrożenie podsłuchania lub podejrzenia hasła przez osoby niepowołane i posługiwania się nim bez wiedzy właściciela. Hasło jednorazowe, jak sama nazwa wskazuje, jest wykorzystywane tylko raz i traci ważność po wykorzystaniu.
Spis treści |
[edytuj] Bankowość elektroniczna
W bankowości elektronicznej hasła jednorazowe służą do autoryzowania operacji o podwyższonym stopniu ryzyka, takich jak przelewy. Hasła są tutaj zwykle dostarczane w postaci wydrukowanej listy, zdrapki (dla kilkudziesięciu transakcji naprzód) lub przesyłane SMSem na określony przez właściciela konta numer telefonu komórkowego (dla każdej transakcji oddzielnie).
[edytuj] Generowanie haseł jednorazowych
Hasła jednorazowe mogą być wartościami losowymi, co wymaga by system przechowywał je po wygenerowaniu i przekazaniu użytkownikowi. Ze względów praktycznych częściej stosuje się hasła generowane i weryfikowane w oparciu o algorytm wykorzystujący kryptograficznej jednokierunkowe funkcje skrótu. Najczęściej spotykane algorytmy generowania haseł jednorazowych to:
- Łańcuch skrótów - hasło jednorazowe (OTP - one time password) OTPn jest wyliczane ze wzoru OTPn = H(OTPn − 1), gdzie H jest funkcją skrótu. Hasła są generowane począwszy od OTP0, które jest wartością losową. Użytkownik korzysta z nich w odwrotnej kolejności (od OTPn do OTP0), a dzięki własnościom jednokierunkowej funkcji skrótu znajomość hasła OTPn nie pozwala podsłuchującemu na poznanie następnego w kolejności hasła OTPn − 1. Z algorytmu tego, z różnymi modyfikacjami, korzystają systemy haseł jednorazowych S/KEY, OPIE i OTPW[1].
- Synchronizacja czasowa - hasło jednorazowe (TOTP - time-based one time password) OTPt jest wyliczane ze wzoru OTPt = H(s,t), gdzie s jest wartością losową (seed), stałą dla danego użytkownika, a t aktualnym czasem GMT mierzonym w krokach minutowych. Dzięki synchronizacji czasowej zarówno użytkownik i serwer mogą wyliczać aktualną wartość hasła znając tylko wartość s. Mechanizm ten jest wykorzystywany m.in. tokenach RSA SecurID[2][3].
Przypisy
- ↑ Paweł Wilk: Ale to już było i nie wróci więcej. Heise, 30 maja 2007.
- ↑ RSA SecurID Hardware Authenticators. EMC.
- ↑ TOTP: Time-based One-time Password Algorithm. Verisign, 2008.
