Средства генерации одноразовых паролей (OTP)

Cистемы One-time password (OTP), или одноразовые пароли — это способ аутентификации, при котором пользователю предоставляется пароль, активный только для одного сеанса входа или транзакции в информационной системе.

Технология OTP имеет ряд преимуществ, таких как:

• Защищенность от повторных атак. Другими словами, если одноразовый пароль был скомпрометирован и злоумышленник получил вход в систему однажды, после того как его сеанс работы завершится, он не сможет получить доступ к системе по скомпрометированному паролю, так как последний уже утратит срок действия.
• Защита от несанкционированного доступа к ряду систем, в которые есть доступ у пользователя. В отличие от систем, построенных на технологии единого входа (SSO), компрометация одноразового пароля от одной системы не приведет к получению злоумышленником доступа в другие информационные системы.
• Сложные технологии генерации одноразовых паролей. Многие OTP-системы обеспечивают защищенность передаваемых данных для исключения возможности перехвата. Одним из способов защиты является несвязность или непредсказуемость данных, созданных во время предыдущей сессии доступа.

Существуют два основных метода генерации одноразовых паролей:

• Математические алгоритмы. Суть этого метода заключается в том, что каждый новый пароль может быть сгенерирован на основе нескольких паролей, сформированных ранее.
• Синхронизация времени. Заключается в применении персонального токена безопасности, который генерирует постоянно одноразовые пароли. В токене имеются часы, которые синхронизированы со временем на сервере аутентификации. Время в таких OTC-устройствах является частью алгоритма, на основе которого генерируется пароль.

При этом токенами безопасности также могут быть:

• Текстовые сообщения, передаваемые на смартфоны. Однако в этом случае есть высокая вероятность того, что злоумышленники смогут расшифровать передаваемое сообщение. В связи с этим данный способ не рекомендуется для реализации двухфакторной аутентификации из-за возможности перехвата SMS-сообщений.
• Приложения на мобильных устройствах. На смартфонах одноразовые пароли также можно доставлять непосредственно через мобильные приложения, включая специальные приложения для аутентификации, такие как Authy, Duo и Google Authenticator, или в существующем приложении службы, например, в случае Steam. Эти системы не имеют одинаковых уязвимостей безопасности, таких как SMS, и не обязательно требуют подключения к используемой мобильной сети, поскольку они работают при подключении к интернету.
• Веб-метод, позволяющий не использовать токены. Он зависит от способности пользователя распознавать предварительно выбранные категории из случайно созданной сетки изображений. При первой регистрации на веб-сайте пользователь выбирает несколько секретных категорий вещей. Каждый раз, когда пользователь заходит на веб-сайт, ему предоставляется произвольно созданная сетка с изображениями. Пользователь ищет изображения, соответствующие предварительно выбранным категориям, и вводит соответствующие буквенно-цифровые символы для формирования одноразового кода доступа.