hasło jednorazowe (OTP)

Hasło jednorazowe (OTP) to tymczasowy kod uwierzytelniający ważny wyłącznie przez krótki czas lub do jednorazowego użycia.

Jak działa hasło jednorazowe OTP

Hasło jednorazowe, określane skrótem OTP od angielskiego one-time password, jest kodem uwierzytelniającym przeznaczonym do pojedynczego użycia albo ważnym tylko w określonym przedziale czasu. Po wykorzystaniu kod przestaje być akceptowany, a w przypadku kodu czasowego jego ważność kończy się po upływie zdefiniowanego okresu. OTP służy do potwierdzenia, że osoba logująca się do konta ma dostęp do dodatkowego składnika uwierzytelniania, na przykład aplikacji generującej kody, tokena sprzętowego albo zarejestrowanego numeru telefonu.

Mechanizm OTP różni się od zwykłego hasła tym, że nie powinien pozostawać stałym sekretem używanym przy każdym logowaniu. System przechowuje lub wylicza wartości potrzebne do sprawdzenia kodu, natomiast urządzenie użytkownika generuje kod zgodnie z określonym algorytmem i sekretem współdzielonym z usługą. Sam kod może mieć postać cyfr albo znaków alfanumerycznych. Liczba znaków, sposób generowania oraz czas ważności zależą od konkretnego rozwiązania, dlatego określenie OTP nie oznacza jednego, identycznego standardu.

HOTP, TOTP i źródło poprawności kodu

Jednym z opisanych standardowo mechanizmów jest HOTP, czyli HMAC-based One-Time Password, zdefiniowany w RFC 4226. W tym wariancie kod zależy od tajnego klucza oraz licznika użyć. Po stronie serwera i urządzenia musi być zachowana zgodność wartości licznika albo system musi obsługiwać ograniczone okno synchronizacji. Jeżeli kod zostanie wygenerowany, lecz nie zostanie zaakceptowany, licznik urządzenia i serwera mogą się rozminąć, zależnie od sposobu implementacji konkretnego tokena.

TOTP, czyli Time-based One-Time Password, opisany w RFC 6238, wykorzystuje czas zamiast samego licznika. Urządzenie i serwer obliczają kod na podstawie wspólnego sekretu oraz bieżącego czasu podzielonego na kolejne przedziały. Z tego powodu nieprawidłowa data, godzina lub strefa czasowa w komputerze albo telefonie może powodować odrzucanie prawidłowo wyglądających kodów. W praktyce serwer może dopuszczać niewielką tolerancję różnicy czasu, ale jej zakres jest elementem konfiguracji usługi, a nie uniwersalną cechą każdego OTP.

Bezpieczeństwo i typowe przyczyny odrzucenia OTP

OTP ogranicza ryzyko związane z ponownym wykorzystaniem przechwyconego kodu, ale nie zastępuje wszystkich innych zabezpieczeń. Kod może zostać wyłudzony podczas logowania na fałszywej stronie, odczytany przez osobę mającą dostęp do odblokowanego urządzenia albo ujawniony podczas rozmowy telefonicznej. Wysyłanie kodu wiadomością SMS zależy dodatkowo od działania operatora i bezpieczeństwa numeru telefonu. Aplikacja generująca TOTP nie potrzebuje połączenia z siecią w chwili tworzenia kodu, lecz musi wcześniej otrzymać właściwy sekret konfiguracyjny.

Odrzucenie kodu OTP może wynikać z kilku różnych przyczyn: wpisania kodu po zakończeniu jego ważności, ponownego użycia już zaakceptowanej wartości, błędnego odczytania cyfry, rozbieżności zegara, wybrania niewłaściwego konta w aplikacji uwierzytelniającej albo utraty synchronizacji licznika w rozwiązaniu HOTP. Wielokrotne próby wpisywania przypadkowych kodów mogą uruchomić blokadę konta lub dodatkowe opóźnienie. Przy diagnozowaniu problemu należy sprawdzić godzinę systemową, metodę generowania kodu, komunikat usługi oraz to, czy kod jest wpisywany do właściwego formularza logowania.

OTP w praktyce serwisowej laptopa i komputera PC

Na laptopie lub komputerze stacjonarnym OTP może występować podczas logowania do poczty, bankowości, panelu usług internetowych, komunikatora albo aplikacji biznesowej. Sam komputer zwykle nie „naprawia” kodu OTP, ponieważ poprawność kodu jest sprawdzana przez konkretną usługę uwierzytelniającą. Diagnostyka może natomiast objąć ustawienia daty i czasu, działanie przeglądarki, rozszerzenia blokujące skrypty, problemy z połączeniem, błędny zapis sekretu w aplikacji oraz komunikaty systemowe wskazujące na problemy z urządzeniem lub oprogramowaniem.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego w przypadku problemu z obsługą OTP można oddzielić usterkę sprzętową od błędu konfiguracji konta lub usługi. Jeżeli komputer nie uruchamia aplikacji uwierzytelniającej, nieprawidłowo synchronizuje czas, zawiesza przeglądarkę albo ma objawy infekcji wpływającej na proces logowania, potrzebne jest sprawdzenie odpowiedniego środowiska. Nie należy przekazywać osobom postronnym aktualnego kodu OTP, kodów odzyskiwania ani sekretu używanego do generowania kolejnych wartości.