Was ist OTP?

Ein Einmalpasswort (OTP) ist ein einmalig verwendbarer Authentifizierungscode, den ein Benutzer zum Nachweis seiner Identität eingibt. Er wird für eine einzelne Anmeldung oder Transaktion generiert und ist nach der Verwendung oder nach Ablauf einer kurzen Gültigkeitsdauer ungültig. Versa nutzt OTP als Schritt der Multi-Faktor-Authentifizierung für die Kundenregistrierung und -anmeldung unter SASE .

Die wichtigsten Erkenntnisse

• OTP ist ein Einmalcode, der ein statisches Passwort ergänzt oder ersetzt.
• Zu den Zustellmethoden gehören SMS, E-Mail und von der App generierte zeitabhängige Codes.
• TOTP und HOTP sind die beiden algorithmischen OTP-Standards, die weit verbreitet sind.
• Kurze Gültigkeitszeiträume begrenzen den Schaden durch Phishing oder den Diebstahl von Zugangsdaten.
• Versa Unterstützt SMS-/E-Mail-OTP und TOTP für die Client-Authentifizierung bei „ SASE “.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · OTP & Versa · Häufig gestellte Fragen

Warum ist OTP wichtig?

Statische Passwörter sind von Natur aus wiederverwendbar, und genau das macht sie so gefährlich: Sobald ein Passwort durch eine Sicherheitslücke oder eine Phishing-Seite in die falschen Hände gerät, kann ein Angreifer es so lange wiederverwenden, bis es geändert wird. OTP durchbricht dieses Muster. Da jeder Code nur für eine einmalige Verwendung oder ein kurzes Zeitfenster gültig ist, ist ein abgefangenes OTP für einen Angreifer bereits wenige Augenblicke, nachdem der rechtmäßige Benutzer es verwendet hat, wertlos, und Credential-Stuffing-Angriffe scheitern bei einer durch OTP geschützten Anmeldung auf Anhieb.

Diese Eigenschaft macht OTP zu einem der am weitesten verbreiteten Mechanismen zur Multi-Faktor-Authentifizierung, der in den Bereichen Bankwesen, Cloud-Dienste und Fernzugriff in Unternehmen zum Einsatz kommt. Die Implementierung ist kostengünstig – bei Bereitstellung per SMS, E-Mail oder App ist kein Hardware-Token erforderlich – und sie erhöht die Kosten für eine Kontoübernahme. In Zero-Trust-Architekturen, in denen jede Zugriffsanfrage überprüft und nicht standardmäßig als vertrauenswürdig eingestuft wird, ist OTP ein standardmäßiger zusätzlicher Sicherheitsfaktor, der auf ein Passwort oder ein Zertifikat aufgesetzt wird.

Was ist OTP?

Ein OTP-System funktioniert auf eine von zwei Arten. Beim „Out-of-Band“-Modell generiert ein Server bei der Anmeldung einen Zufallscode und übermittelt diesen über einen separaten Kanal – in der Regel per SMS oder E-Mail –, den der Benutzer dann in das Anmeldeformular eingibt. Beim algorithmischen Modell teilen sich Client und Server ein bei der Einrichtung festgelegtes Geheimnis, und beide berechnen unabhängig voneinander denselben Code aus diesem Geheimnis, wobei kein Code über das Netzwerk übertragen wird, bis der Benutzer ihn eingibt.

Bei beiden Modellen vergleicht der Server den eingegebenen Code mit dem erwarteten Wert und akzeptiert ihn nur einmal, nur innerhalb seines Gültigkeitszeitraums und nur für das Konto, für das er ausgestellt wurde. Danach wird der Code verworfen – für einen neuen Versuch ist ein neu generierter Code erforderlich, wodurch Replay-Angriffe gegen OTP-geschützte Konten wirkungslos werden.

Arten von OTP

Zwei Industriestandards definieren das algorithmische Modell. HOTP (HMAC-basiertes Einmalpasswort) leitet jeden Code aus einem gemeinsamen Geheimschlüssel und einem inkrementierenden Zähler ab, sodass sich der Code nur ändert, wenn ein neuer angefordert wird – nützlich für Hardware-Token ohne Uhr. TOTP (Time-based One-Time Password) leitet jeden Code stattdessen aus dem gemeinsamen Geheimschlüssel und der aktuellen Uhrzeit ab, sodass die Codes automatisch alle 30 Sekunden bis zu einigen Minuten wechseln; dies ist das Modell, auf dem die meisten Authentifizierungs-Apps basieren, die durch einmaliges Scannen eines QR-Codes eingerichtet werden.

Das zustellungsbasierte OTP ist eher ein drittes Muster als ein Generierungsalgorithmus: Der Server erstellt den Code und übermittelt ihn bei der Anmeldung per SMS oder E-Mail, wobei die Authentifizierungs-App durch die Abhängigkeit von einer funktionierenden Telefonnummer oder einem funktionierenden E-Mail-Postfach ersetzt wird. Dieses Verfahren ist nach wie vor weit verbreitet, da es keine App-Installation erfordert, ist jedoch anfälliger für SIM-Swap- und E-Mail-Postfach-Angriffe als ein lokal generierter Code.

OTP & Versa

Der „Versa “-ClientSASE unterstützt OTP als einen seiner Faktoren für die Multi-Faktor-Authentifizierung, neben TOTP, x509-Zertifikaten, LDAP, RADIUS und SAML. Bei der Registrierung und Anmeldung gibt ein Benutzer, der die Zwei-Faktor-Authentifizierung durchführt, das OTP ein, das ihm per E-Mail oder über einen SMS-Server zugestellt wurde; nach der Validierung ist die Registrierung abgeschlossen. Administratoren aktivieren diese Funktion, indem sie ein Authentifizierungsprofil in der Richtlinie des Secure Access Portals konfigurieren – für OTP per SMS oder E-Mail sind SMTP-Einstellungen im Profil erforderlich, während für TOTP ein zeitbasierter Authentifizierungstyp und ein auf dem VOS-Gerät aktiviertes NTP erforderlich sind, damit der Server und die App des Benutzers synchron bleiben.

Sowohl „Versa Director“ als auch „Concerto“ unterstützen die Konfiguration von OTP und TOTP für sichere Zugangsportale, und ein separater OTP-Mechanismus ermöglicht es Administratoren, über das Tool „ Versa Tamper Protection Generation“ einen kurzlebigen Code zu generieren, um die Deaktivierung des Manipulationsschutzes auf Client-Seite zu autorisieren.

Häufig gestellte Fragen

Was ist der Unterschied zwischen OTP und TOTP?

OTP ist die allgemeine Kategorie: jeder Einmal-Authentifizierungscode, unabhängig davon, wie er generiert oder übermittelt wird. TOTP ist ein spezifischer OTP-Standard, bei dem der Code aus einem gemeinsamen Geheimnis und der aktuellen Uhrzeit abgeleitet wird, sodass er sich automatisch alle 30 Sekunden bis zu einigen Minuten neu generiert.

Wie lange ist ein OTP gültig?

Das hängt von der jeweiligen Umsetzung ab, aber algorithmisch generierte Einmalpasswörter sind in der Regel 30 Sekunden bis zu einigen Minuten gültig, bevor sie ablaufen und ein neuer Code erforderlich wird. Einmalpasswörter, die per SMS oder E-Mail versendet werden, haben oft ein ähnlich kurzes Gültigkeitsfenster.

Ist OTP dasselbe wie die Zwei-Faktor-Authentifizierung?

Nein. Die Zwei-Faktor-Authentifizierung (2FA) ist ein weiter gefasster Begriff, der die Verwendung von zwei verschiedenen Identitätsnachweisfaktoren vorsieht. OTP wird häufig als zweiter Faktor in einem 2FA-Prozess verwendet, in Kombination mit einem statischen Passwort oder einem Zertifikat als erstem Faktor, wobei bei der 2FA auch ein Hardware-Schlüssel oder biometrische Daten zum Einsatz kommen können.

Wie übermittelt „ Versa “ Einmalpasswörter an die Benutzer des „ SASE “-Clients?

Versa Stellt OTPs per SMS oder E-Mail für die standardmäßige Zwei-Faktor-Authentifizierung bereit oder als TOTP, das von einer Authentifikator-App generiert wird, nachdem der Benutzer bei der Registrierung einen QR-Code gescannt hat. Beide Methoden werden über ein Authentifikator-Profil in „ Versa Director“ konfiguriert.

Was passiert, wenn ein OTP abläuft, bevor ich es übermittle?

Der Code wird ungültig, und der Anmelde- oder Registrierungsversuch schlägt fehl. Der Benutzer muss einen neuen Code anfordern oder generieren – bei TOTP erzeugt die Authentifizierungs-App den nächsten Code automatisch; bei OTP per SMS oder E-Mail sendet das Portal einen neuen Code zu.

Mehr zu OTP

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über OTP informieren, sollten Sie sich als Nächstes diese Artikel ansehen.