Enter otp что это значит
Одноразовый пароль
Одноразовый пароль (англ. one time password, OTP ) — это пароль, действительный только для одного сеанса аутентификации. Действие одноразового пароля также может быть ограничено определённым промежутком времени. Преимущество одноразового пароля по сравнению со статическим состоит в том, что пароль невозможно использовать повторно. Таким образом, злоумышленник, перехвативший данные из успешной сессии аутентификации, не может использовать скопированный пароль для получения доступа к защищаемой информационной системе. Использование одноразовых паролей само по себе не защищает от атак, основанных на активном вмешательстве в канал связи, используемый для аутентификации (например, от атак типа «человек посередине»).
Человек не в состоянии запомнить одноразовые пароли. Поэтому требуются дополнительные технологии для их корректной работы.
Содержание
Способы создания и распространения OTP
Алгоритмы создания OTP обычно используют случайные числа. Это необходимо, потому что иначе было бы легко предсказать последующие пароли на основе знания предыдущих. Конкретные алгоритмы OTP сильно различаются в деталях. Различные подходы к созданию одноразовых паролей перечислены ниже.
Также существуют различные способы, чтобы сообщить пользователю следующий пароль. Некоторые системы используют специальные электронные токены, которые пользователь носит с собой, создающие одноразовые пароли и выводящие затем их на маленьком экране. Другие системы состоят из программ, которые пользователь запускает с мобильного телефона. Ещё другие системы генерируют одноразовые пароли на сервере и затем отправляют их пользователю используя посторонние каналы, такие как SMS сообщения. Наконец, в некоторых системах одноразовые пароли напечатаны на листе бумаги или на скретч-карте, которые пользователю необходимо иметь с собой.
Реализация
Математические алгоритмы
Один подход, разработанный Лесли Лэмпортом, использует одностороннюю функцию (назовём её f). Система одноразовых паролей начинает работать от начального числа s, затем генерирует пароли
столько раз, сколько необходимо. Если ищется бесконечная серия паролей, новое начальное число может быть выбрано после того, как ряд для s оказывается исчерпанным. Каждый пароль распределяется в обратном порядке, начиная с f(f(…f(s))…), заканчивая f(s).
Синхронизированные по времени
Синхронизированные по времени одноразовые пароли обычно связаны с физическими аппаратными токенами (например, каждому пользователю выдаётся персональный токен, который генерирует одноразовый пароль). Внутри токена вcтроены точные часы, которые синхронизированы с часами на сервере. В этих OTP системах, время является важной частью алгоритма создания пароля так как генерация нового пароля основывается на текущем времени, а не на предыдущем пароле или секретном ключе.
В последнее время, стало возможным брать электронные компоненты, связанные с постоянными токенами-часами, такие как от ActivIdentity, InCard, RSA, SafeNet, Vasco, и VeriSign и встраивать их в форм-фактор кредитной карты. Однако, так как толщина карты (от 0.79 мм до 0.84мм) не позволяет использовать традиционные элементов батареек, необходимо использовать специальные батарейки, основанные на полимерах, время жизни которых гораздо больше, чем у обычных мини-батареек. Кроме того, должны использоваться крайне маломощные полупроводниковые компоненты для экономии энергии во время режима ожидания и/или использования продукта. В производстве тонких устройств OTP лидируют две компании: Identita и NagraID.
Мобильные телефоны и КПК также могут быть использованы для генерации синхронизированных по времени одноразовых паролей. Этот подход может быть более экономной альтернативой, так как большинство пользователей Интернета уже имеет мобильные телефоны. Кроме того, это может быть более удобно, потому что у пользователя не будет необходимости носить с собой отдельный токен, для каждого безопасного соединения, когда он или она нуждается в доступе.
Запрос
Использование одноразовых паролей с запросом требует от пользователя обеспечивать синхронизированные по времени запросы, чтобы была выполнена проверка подлинности. Это может быть сделано путём ввода значения в сам токен. Чтобы избежать появления дубликатов, обычно включается дополнительный счётчик, так что если случится получение двух одинаковых запросов, то это всё равно приведёт к появлению разных одноразовых паролей. Однако, вычисления обычно не включают предыдущий одноразовый пароль, так как это приведёт к синхронизации задач. EMV начинают использовать такие системы (т. н. «Chip Authentication Program») для кредитных карт в Европе.
Одноразовый пароль через SMS
Распространённая технология, используемая для доставки одноразовых паролей — это SMS. Так как SMS — это повсеместный канал связи, которая имеется во всех телефонах и используется большим количеством клиентов, SMS сообщения имеют наибольший потенциал для всех потребителей, обладающие низкой себестоимостью. Токены, смарт-карты и другие традиционные методы аутентификации гораздо более дороги для реализации и для использования и часто встречают сопротивление со стороны потребителей. Они также гораздо более уязвимы для атак типа «человек посередине», в которых фишеры крадут одноразовые пароли обманом или даже потому что одноразовые пароли отображаются на экране токена. Также токены могут быть потеряны и интеграция одноразовых паролей в мобильные телефоны может быть более безопасным и простым, потому что пользователям не придётся носить с собой дополнительные портативные устройства. В то же время, одноразовые пароли через SMS могут быть менее безопасны, так как сотовые операторы становятся частью цепи доверия. В случае роуминга, надо доверять более чем одному мобильному оператору.
Одноразовый пароль на мобильном телефоне
По сравнению с аппаратной реализацией токена, которая требует, чтобы пользователь имел с собой устройство-токен, токен на мобильном телефоне существенно снижает затраты и предлагает беспрецедентный уровень удобства. Это решение так же уменьшает материально-технические требования, так как нет необходимости выдавать отдельное устройство каждому пользователю. Мобильные токены, такие как FiveBarGate или FireID дополнительно поддерживают некоторое число токенов в течение одной установки приложения, позволяя пользователю аутентифицироваться на нескольких ресурсах с одного устройства. Этот вариант также предусматривает специфические приложения для разных моделей телефонов пользователя. Токены в мобильных телефонах также существенно более безопасны, чем OTP по SMS, так как SMS отправляются по сети GSM в текстовом формате с возможностью перехвата.
Сравнение технологий
С точки зрения затрат, самыми дешёвыми решениями являются распространение одноразовых паролей на бумаге, скретч-карте или генератор одноразовых паролей на мобильном телефоне. Это так, потому что эти системы исключают затраты, связанные с (пере-)выдачей электронных токенов и стоимостью SMS сообщений.
Для систем, которые опираются на электронные токены, не синхронизованные по времени системы должны решить проблему, когда сервер и токен сбиваются с синхронизации. Это приводит к дополнительным затратам на разработку. С другой стороны, они позволяют избегать расходов на часы в электронных токенах (и коррекцию их значений с учётом временного дрейфа).
Хотя одноразовые пароли являются более безопасными, чем обычные пароли, использование систем OTP всё ещё уязвимо для атак типа «человек посередине». Поэтому одноразовые пароли не должны передаваться третьей стороне. Синхронизирован ли одноразовый пароль по времени, в основном никак не влияет на степень уязвимости. Основанные на запросе одноразовые пароли тоже являются уязвимыми, хотя успешная атака требует от злоумышленника чуть более активных действий, чем для других типов OTP.
Стандартизация
Запатентовано множество технологий OTP. Это делает стандартизацию в этой области ещё более трудной, так как каждая компания пытается протолкнуть свою собственную технологию. Стандарты, тем не менее, существуют, например, RFC 2289 [3] и RFC 4226 (HOTP).
OTP в рамках банковского дела
В некоторых странах одноразовые пароли используются для удалённого использования банков. В некоторых из этих систем банк посылает пользователю пронумерованный список одноразовых паролей, напечатанный на бумаге. Для каждой удалённой транзакции, пользователь должен ввести соответствующий одноразовый пароль из этого списка. В Германии эти пароли обычно называют TAN кодом (от «transaction authentication numbers»). Некоторые банки отправляют TAN-коды пользователю с помощью SMS, и в этом случае они называются mTAN-коды (от «mobile TANs»).
Связанные технологии
Чаще всего, одноразовые пароли являются олицетворением двухфакторной аутентификации. Некоторые Технологии единого входа [4] системы используют одноразовые пароли. OTP технология так же используется в токенах безопасности.
Что такое «OTP»?(на английском)
OTP — аббревиатура. Может означать:
Open Telecom Platform — программный каркас (фреймворк), содержащий набор библиотек и шаблонов проектирования для построения масштабируемых распределённых приложений на языке программирования Erlang.
Computing » Networking
Rate it:
OTP
Internet
Rate it:
OTP
Internet » Chat
Rate it:
OTP
Internet » Chat
Rate it:
OTP
One Time Programmable
Computing » Software
Rate it:
OTP
Computing » Security
Rate it:
OTP
Miscellaneous » Unclassified
Rate it:
OTP
Computing » Texting
Rate it:
OTP
Governmental » Military
Rate it:
OTP
Miscellaneous » Clothes
Rate it:
OTP
Academic & Science » Mathematics
Rate it:
OTP
Opposite Track Path
Governmental » Military
Rate it:
OTP
One Time Programming
Computing » Software
Rate it:
OTP
Optional Term Policy
Business » Insurance
Rate it:
OTP
Business » Accounting
Rate it:
OTP
Option To Purchase
Community » Housing
Rate it:
OTP
Community » Educational
Rate it:
OTP
Internet » Chat
Rate it:
OTP
Governmental » Police
Rate it:
OTP
Community » Sports
Rate it:
OTP
Operational Test Plan
Governmental » Military
Rate it:
OTP
Community » Sports
Rate it:
OTP
Regional » Airport Codes
Rate it:
OTP
Open Telecommunications Platform
Computing » Telecom
Rate it:
OTP
Что означает «ОТП» и что это значит
Видите аббревиатуру «OTP», появляющуюся в определенных местах онлайн? Вероятно, Tumblr? Вот пояснение к этой причудливой онлайн-аббревиатуре.
Одно настоящее соединение
Этот термин часто используется в Tumblr пользователями, которые хотят описать двух людей, особенно в фэндоме или художественном произведении, которые, по их мнению, могут стать отличной парой. Или, другими словами, « одна верная пара ».
Пример: «Эдвард Каллен и Гермиона Грейнджер — мой ОТП!»
Как обычно используется OTP
По какой-то причине фанаты любят это делать. Они часто объединяют двух персонажей из совершенно разных телешоу, фильмов, комиксов, книг или чего-то еще. Если они думают, что их стиль и личность совпадают, они объединяют их в пары и иногда используют их в качестве вдохновения для написания фанфиков о них.
OTP определенно является одной из менее важных онлайн-аббревиатур, о которых стоит знать. Если вы не опытный пользователь Tumblr, у которого есть все намерения погрузиться в один или несколько фандомов на платформе, это не должно быть аббревиатурой, которую вам действительно нужно добавить в свой ментальный онлайн-словарь жаргонных слов. Но так как вы здесь, вы можете продолжать читать о связанном термине Tumblr, который часто идет рука об руку с OTP.
Что такое одноразовый пароль?
Одноразовый пароль (англ. one time password, OTP) это пароль, действительный только для одного сеанса аутентификации.
Преимущество одноразового пароля по сравнению со статическим состоит в том, что пароль невозможно использовать повторно. Таким образом, злоумышленник, перехвативший данные из успешной сессии аутентификации, не может использовать скопированный пароль для получения доступа к защищаемой информационной системе.
Какие алгоритмы мы используем?
Мы используем стандартные алгоритмы, которые хорошо себя зарекомендовали в индустрии обеспечения многофакторной аутентификации (HOTP, TOTP, OCRA), широко распространены и имеют надежную защиту – Initiative for Open Authentication (OATH). Их открытость и многолетнее использование на практике доказали, что применение технологии ОТР, на сегодняшний день один из наиболее эффективных методов обеспечения безопасности при аутентификации.
Как подключить это к моему ресурсу?
Предварительные действия:
Процесс аутентификации:
Сегодня, когда интернет-пользователи ищут новые способы обеспечить безопасность своим данным и предотвратить хакерские атаки на конфиденциальную информацию, аутентификация на основе одноразовых паролей – первое средство защиты, которое приходит на ум. Но что же такое OTP пароль? Аббревиатура «OTP» расшифровывается как «one time password» и переводится, как «одноразовый пароль». Этот инструмент используется для внедрения более сильных алгоритмов аутентификации. Двухфакторная аутентификация от Protectimus со специально разработанными токенами значительно усилит защиту ваших данных.
При регистрации на любом сайте, где храниться информация о пользователе, его просят создать пароль аутентификации. Многие полагают, что уникальный пароль надежно защищает информацию. Но уникальность пользовательских паролей слишком переоценена. При создании большинства из них мы используем логику: паролями становятся даты, телефонные номера, фамилии. Такой код аутентификации легко подсмотреть, украсть или вычислить. Но существует и альтернативная система защиты данных – одноразовые пароли, с ними информация будет под надежной защитой, ведь временный пароль действителен только один раз.
Наконец вы решили обеспечить максимальную безопасность своему проекту, внедрив аутентификацию на основе одноразовых паролей. Естественно возникает вопрос – как получить одноразовый код? Для этого понадобится специально разработанный генератор одноразовых паролей «токен». В качестве токена может выступать, как специально спроектированный аппарат, так и гаджет, которым вы постоянно пользуетесь. Итак, чтобы начать использовать OTP пароли, нужно: зарегистрироваться на сайте Protectimus, выбрать подходящий токен, и получать одноразовые пароли при каждой аутентификации.
Токен или генератор одноразовых паролей — это устройство или приложение, которое использует определенный алгоритм генерации OTP для создания одноразового пароля при поступлении запроса от пользователя. Токены – это очень удобное решение для генерации одноразовых паролей, так как приставляют собой автономные устройства, работающие без доступа к сети. Аппаратные токены для аутентификации на основе одноразовых паролей могут использовать разные алгоритмы, например, основанный на времени алгоритм аутентификации TOTP, и т.д.
Получить одноразовый пароль для прохождения аутентификации можно разными способами. Но задача, для осуществления которой они были изобретены, одна — защита данных пользователя. Инструменты, с помощью которых можно получить одноразовый код, могут кардинально отличаться друг от друга: они бывают аппаратными и программными, для простых или сложных задач, требуют подключения к интернету, или работают офлайн. Как правило, если у вас есть токен, то доступ к сети не нужен. Все аппаратные и программные токены Protectimus, а именно ONE, SLIM, ULTRA и SMART, можно использовать офлайн.
Национальная библиотека им. Н. Э. Баумана
Bauman National Library
Персональные инструменты
OTP (One Time Password)
Содержание
Генерация и распространение OTP
Алгоритмы создания OTP используют псевдослучайные или случайные наборы чисел, а также хэш-функции, которые можно использовать для повторного получения значения, однако очень сложно получить данные хэша для их повторного использования. Такие механизмы необходимы, поскольку в ином случае, было бы легко предсказать по какому принципу генерируются OTP, наблюдая его предыдущие вариации. Конкретные алгоритмы OTP сильно различаются в деталях. Выделяют следующие механизмы реализации одноразовых паролей [Источник 2] :
Кроме того, существуют различные способы информирования пользователя о следующем используемом OTP. Многие системы используют специальные электронные токены, которые пользователь носит с собой. Данные токены создают пароль и выводят его на маленький экран. Прочие системы состоят из программ, которые пользователь может самостоятельно запустить на мобильном телефоне. Все остальные системы генерируют пароль на стороне сервера и отправляют его пользователю по внеполосному каналу, например, при помощи SMS. В некоторых системах OTP печатается на бумаге, либо скетч-карте, которую пользователю необходимо иметь при себе.
Методы генерации OTP
Синхронизированные по времени
Синхронизированные по времени OTP обычно привязаны с так называемыми токенами безопасности (например, каждому пользователю предоставляется токен, который генерирует одноразовый пароль). Обычно такие токены (см. рис. 2) выглядят как маленькие калькуляторы или брелок с ЖК-дисплеем, который показывает число, которое время от времени изменяется. Внутри такого токена находятся встроенные часы, которые синхронизированы с часами на проприетарном сервере аутентификации. В подобных системах OTP, время является ключевой частью алгоритма паролей, так как генерация новых паролей основана на текущем времени, а не на предыдущем пароле или секретном ключе, или в дополнение к нему.
В настоящее время появилась возможность встраивать электронные компоненты, связанные с постоянными токен-часами, такие, как от ActivIdentity, InCard, RSA, SafeNet, Vasco, VeriSign и Protectimus, в форм-фактор кредитной карты. Однако, учитывая то, что толщина пластиковых карт не расчитана на вживление традиционных элементов батареек, необходимо использование специальных батареек, основанных на использовании полимеров, время жизни которых значительно превосходит время жизни мини-батареек. Кроме этого, для стабильной работы такого устройства, в нем должны быть использованы маломощные полупроводниковые компоненты для экономии питания во время ожидания или использования. Производством подобных тонких устройств занимаются компании Identita и NagraID.
Математический алгоритм
Каждый новый OTP создается на основе всех предыдущих. Данный подход разработан Лесли Лэмпортом и использует одностороннюю функцию, условно, назовем ее f. Данная система паролей работает следующим образом:
Информирование пользователя об OTP
Телефоны
Распространенной технологией, используемой для информирования пользователя об OTP, является обмен текстовыми сообщениями. Поскольку обмен текстовыми сообщениями является повсеместным каналом связи, он доступен напрямую практически на всех мобильных телефонах и, благодаря преобразованию текста в речь, на любой мобильный или стационарный телефон, обмен текстовыми сообщениями имеет большой потенциал для охвата всех потребителей с низкой общей стоимостью реализации решения. Однако, стоимость обмена текстовыми сообщениями для каждого отдельно взятого OTP может быть неприемлема для конечного пользователя. Сообщение, содержащее OTP обычно шифруется с использованием стандарта A5/x, однако, злоумышленники уже умеют легко расшифровывать подобные сообщения.
Кроме того, из за недостатков в безопасности протокола маршрутизации SS7, сообщения могут быть перенаправлены и попасть в руки злоумышленников. Так, в 2017 году, в Германии, злоумышленники смогли получить доступ к банковским счетам нескольких клиентов компании O2. Компания NIST не рекомендует использовать данный метод для реализации двухфакторной аутентификации, так как вполне реальна угроза перехвата SMS сообщений и получения несанкционированного доступа к личной информации.
На смартфонах, зачастую, одноразовые пароли доставляются напрямую через мобильные приложения. В том числе, через специальные приложения для аутентификации, такие как Authy, Duo и Google Authenticator, или в рамках существующего приложения службы, например, Steam (см. рис. 3). Эти системы не подвержены уязвимостям SMS, а также не всегда требуют подключения к сети интернет.
Веб-методы
Поставщики услуг проверки подлинности предлагают различные веб-методы доставки одноразовых паролей, без использования токенов. Один из таких методов основан на способности пользователя распознавать предварительно выбранные категории из случайно сгенерированной сетки изображений. При первой регистрации на сайте пользователь выбирает несколько секретных категорий вещей; такие как собаки, автомобили, лодки и цветы. Каждый раз, когда пользователь заходит на веб-сайт, ему выдают случайно сгенерированную сетку из буквенно-цифровых символов, наложенных на него. Пользователь ищет изображения, которые соответствуют их предварительно выбранным категориям, и вводит соответствующие буквенно-цифровые символы, чтобы сформировать одноразовый код доступа.
Распечатка
В некоторых странах в режиме онлайн-банкинга банк отправляет пользователю нумерованный список OTP, которые напечатаны на бумаге. Другие банки отправляют пластиковые карты с фактическими OTP, скрытыми слоем, который пользователь должен стереть, чтобы выявить пронумерованный OTP (скретч-карты (см. рис. 1)). Для каждой онлайн-транзакции пользователь должен ввести определенный OTP из этого списка. Некоторые системы запрашивают пронумерованные OTP последовательно, другие псевдослучайно выбирают OTP для ввода. В Германии и многих других странах, таких как Австрия и Бразилия, эти OTP обычно называются TAN («номера аутентификации транзакций»). Некоторые банки даже отправляют такие TAN на мобильный телефон пользователя посредством SMS, и в этом случае они называются mTAN («мобильные TAN»).
Сравнение технологий
С точки зрения затрат на производство, самым дешевым методом реализации OTP является распечатка их на бумаге, либо специальных скретч-картах. Приближена по стоимости генерация одноразовых паролей на мобильном устройстве. Это связано с тем, что приведенные методы исключают траты на производство специальных токенов безопасности, или с тратами на мобильное SMS информирование.
Системы же, которые основаны на синхронизации часов на токенах и сервере, должны решить проблему с рассинхроном, что влечет за собой дополнительные затраты на разработку. Однако, они позволяют избегать расходов на установку электронных часов в эти токены, а также их коррекцию с учетом временного дрейфа.
OTP уязвимы для фишинга. В конце 2005 года у пользователей Банка Швеции обманом выманили их одноразовые пароли. Даже синхронизированные по времени пароли уязвимы для фишинга, в случаях, когда взломщик успевает быстро воспользоваться паролем. Это было замечено в 2006 году по атаке на пользователей Citibank в США. [1]
Несмотря на то, что одноразовые пароли являются одними из наиболее безопасных, они все еще являются уязвимыми, например, для атак типа «человек посередине». В связи с этим одноразовые пароли ни в коем случае не должны передаваться третьей стороне. Синхронизация OTP по времени, в основном, никак не влияет на степень его уязвимости. Основанные на запросе одноразовые пароли тоже являются уязвимыми, хотя успешная атака требует от злоумышленника чуть более активных действий, чем для других типов OTP. [2]
Стандартизация
Связанные технологии
Некоторые решения единой регистрации используют одноразовые пароли.