OTP به چه معناست ؟

سیستم های رمز عبور یکبار مصرف (OTP) مکانیزمی را برای ورود به شبکه یا سرویس با استفاده از رمز عبور منحصر به فرد فراهم می کند که همانطور که از نامش پیداست فقط یکبار قابل استفاده است.

چرا رمز یکبار مصرف امن است؟

ویژگی OTP با اطمینان از عدم امکان استفاده از جفت نام کاربری/رمز عبور برای بار دوم ، از برخی اشکال سرقت هویت جلوگیری می کند. به طور معمول نام ورود کاربر ثابت می ماند و رمز عبور یکبار مصرف با هر ورود به سیستم تغییر می کند. گذرواژه های یکبار مصرف (رمز عبور یکبار مصرف) نوعی احراز هویت قوی هستند که حفاظت بسیار بهتری از بانکداری الکترونیکی ، شبکه های شرکتی و سایر سیستم های حاوی داده های حساس را ارائه می دهند. احراز هویت به این سوال پاسخ می دهد: "آیا شما واقعاً آقای یا خانم X هستید؟" امروزه اکثر شبکه های سازمانی ، سایت های تجارت الکترونیک و جوامع آنلاین برای ورود و دسترسی به داده های شخصی و حساس تنها به نام کاربری و رمز عبور ثابت نیاز دارند.

رمز عبور OTP و TOTP در مقابل استاتیک

اگرچه این روش احراز هویت راحت است ، اما ایمن نیست زیرا سرقت هویت آنلاین-با استفاده از فیشینگ ، ورود به صفحه کلید ، حملات انسان به سیستم ها و سایر شیوه ها-در سراسر جهان در حال افزایش است. سیستم های احراز هویت قوی محدودیت های گذرواژه های ایستا را با استفاده از اعتبار امنیتی اضافی مانند رمز موقت یکبار مصرف (OTP) برای محافظت از دسترسی به شبکه و هویت های دیجیتالی کاربران نهایی برطرف می کند. این یک سطح اضافی از حفاظت را اضافه می کند و دسترسی به اطلاعات غیر مجاز ، شبکه ها یا حساب های آنلاین را دشوارتر می کند. گذرواژه یکبار مصر مبتنی بر زمان (TOTP) پس از یک دوره تعیین شده ، برای مثال 60 ثانیه تغییر می کند. در هند ، برنامه mAadhaar در تلفن همراه شما به شما امکان می دهد به جای منتظر رسیدن گذرواژه یکبار مصرف ، یک OTP پویا ایجاد کنید. الگوریتم برنامه یک OTP یا TOTP پویا تولید می کند. اعتبار کد 8 رقمی 30 ثانیه است.به نظر می رسه ساده است ، و همینطور است امنیت یک لایه افزایش یافته است .

رمزهای یکبار مصرف چگونه ایجاد می شوند؟

گذرواژه های یکبار مصرف را می توان به روش های مختلفی ایجاد کرد و هرکدام از نظر امنیت ، راحتی ، هزینه و صحت با یکدیگر موافقت دارند. کارت های شبکه روشهای ساده مانند لیست شماره معاملات و کارتهای شبکه می توانند مجموعه ای از گذرواژه های یکبار مصرف را ارائه دهند. این روش ها هزینه های سرمایه گذاری پایینی را ارائه می دهند اما کند ، سخت در نگهداری ، تکرار و به اشتراک گذاری آسان است و از کاربران می خواهد که در لیست گذرواژه ها مکان خود را پیگیری کنند.

نشانه های امنیتی

یک راه راحت تر برای کاربران استفاده از توکن OTP است ، یک دستگاه سخت افزاری که قادر به ایجاد گذرواژه های یکبار مصرف است.در بیشتر مواق  برخی از این دستگاه ها از PIN محافظت می کنند و سطح امنیتی بیشتری را ارائه می دهند. کاربر گذرواژه یکبار مصرف را با سایر اطلاعات هویتی (معمولاً نام کاربری و رمز عبور) وارد می کند و یک سرور احراز هویت درخواست ورود به سیستم را تأیید می کند. اگرچه این یک راه حل اثبات شده برای برنامه های سازمانی است ، هزینه استقرار می تواند این راه حل را برای برنامه های کاربردی مصرف کننده گران کند. از آنجا که توکن باید از روش مشابه سرور استفاده کند ، برای هر ورود به سرور یک نشانه جداگانه مورد نیاز است ، بنابراین کاربران برای هر وب سایت یا شبکه ای که استفاده می کنند به یک نشانه متفاوت نیاز دارند.

کارت های هوشمند و OTP

توکن های سخت افزاری پیشرفته از کارت های هوشمند مبتنی بر ریزپردازنده برای محاسبه گذرواژه های یکبار استفاده می کنند. کارت های هوشمند چندین مزیت برای احراز هویت قوی دارند ، از جمله ظرفیت ذخیره سازی داده ها ، قدرت پردازش ، قابلیت حمل و سهولت استفاده. آنها ذاتاً از سایر توکن های OTP امن تر هستند زیرا برای هر رویداد احراز هویت یک رمز عبور غیرقابل استفاده مجدد ایجاد می کنند ، داده های شخصی را ذخیره می کنند و داده های محرمانه یا خصوصی را بر روی شبکه منتقل نمی کنند. کارتهای پرداخت نمایشگر حتی می توانند یک ژنراتور OTP را برای احراز هویت 2 عاملی ادغام کنند.

زیرساخت کلید عمومی برای احراز هویت قوی OTP

کارت های هوشمند همچنین می توانند شامل قابلیت های احراز هویت قوی دیگر مانند گواهی نامه PKI یا Public Key Infrastructure باشند. هنگامی که برای برنامه های PKI استفاده می شود ، دستگاه کارت هوشمند می تواند خدمات اصلی PKI ، از جمله رمزگذاری ، امضای دیجیتال و تولید و ذخیره کلید خصوصی را ارائه دهد. کارت های هوشمند Thales از احراز هویت قوی OTP در هر دو محیط Java Java و Microsoft .NET پشتیبانی می کنند. عوامل متعدد و گزینه های اتصال در دسترس هستند تا کاربران نهایی مناسب ترین دستگاه را برای نیازهای دسترسی به شبکه خود داشته باشند. همه دستگاه های Thales OTP با همان سرور احراز هویت قوی کار می کنند و با مجموعه استاندارد ابزارهای مدیریتی پشتیبانی می شوند.

احراز هویت تک عاملی (SFA)

احراز هویت تک عاملی یک فرایند امنیتی سنتی است که قبل از دسترسی به کاربر نیاز به نام کاربری و رمز عبور دارد. تنها یک رمز عبور خطرناک برای از بین بردن بزرگترین خط لوله سوخت آمریکا کافی بود.در ماه مه سال 2021 ، حمله گروه باج افزار Darkside باعث تعطیلی شبکه Colonial Pipeline شد. این حمله ، که باعث کمبودگاز شد ، قیمت گاز را بالا برد و منجر به موجی از خرید وحشت شد ، محافظت از رمز عبور ضعیف و پتانسیل باج افزارها برای غیرفعال کردن زیرساخت های مهم را مورد توجه قرار داد.بلومبرگ (4 ژوئن 2021) گزارش داد که سیستم شرکت از طریق یک رمز عبور لو رفته به یک حساب VPN قدیمی که برای دسترسی از راه دور به سرورهای شرکت استفاده می شود ، منقضی شده است. حساب از احراز هویت چند عاملی استفاده نکرده است. هکرها تنها با استفاده از یک نام کاربری و رمز عبور خطرناک ، شبکه Colonial را نقض کردند. به گفته بلومبرگ ، ممکن است کاربر از رمزعبور یکسانی برای حساب های مختلف استفاده کرده باشد ، اما برای افراد خبره در این زمینه دشوار است که بفهمند چگونه به دست آمده است.

احراز هویت دو مرحله ای (2FA)

احراز هویت قوی تر را می توان با احراز هویت دو عاملی (2FA) یا احراز هویت چند عاملی نیز پیاده سازی کرد. در این موارد ، کاربر دو (یا بیشتر) فاکتور احراز هویت متفاوت ارائه می دهد. OTP SMS یک روش رایج احراز هویت عامل دوم برای بانک ها است. در دستگاه خودپرداز ، به کارت خود (چیزی که دارید) و یک کد پین (چیزی که می دانید) نیاز دارید. در سنگاپور ، Singpass از احراز هویت دو عاملی (2FA) و رمزگذاری کل به رمز عبور برای دسترسی ایمن به خدمات دولت الکترونیک کشور استفاده می کند.توجه داشته باشید که مقررات اروپایی PSD2 از احراز هویت بیشتر مشتریان به بانک ها و موسسات مالی درخواست می کند. در نتیجه ، OTP SMS دیگر یک روش سازگار با PSD2 نیست.

بازارهای OTP و بازیگران اصلی صنعت

بخش OTP بخشی از بازار جهانی احراز هویت دو عاملی است که در سال 2018 با 3،5 میلیارد دلار ارزیابی شده است. این امر تا سال 2024 به 8،9 میلیارد دلار خواهد رسید ، همانطور که توسط یک مطالعه آینده در تحقیقات بازار نشان داده شده است. بازار OTP در سال 2018 1.5 میلیارد دلار تخمین زده می شود و تا سال 2024 به 3.2 میلیارد دلار می رسد. بازیگران اصلی بازار احراز هویت دو عاملی عبارتند از Thales ، Fujitsu ، Suprema ، OneSpan ، NEC ، Symantec ، RSA ، IDEMIA ، HID ، Entrust و Google. تجارت احراز هویت توکن سخت افزاری بخش کوچکی از بازار OTP است. با این حال ، طبق تحقیقات و بازارها ، اندازه جهانی آن برای سال 2019 261 میلیون دلار تخمین زده می شود و انتظار می رود که تا سال 2025 به 403 میلیون دلار برسد. مشتریان اصلی عبارتند از شرکت ها ، بانک ، امور مالی ، بیمه و اوراق بهادار ، دولت ، مراقبت های بهداشتی و بازی.