OTPとは何ですか？

ワンタイムパスワード（OTP）とは、ユーザーが本人確認を行うために送信する、1回限りの認証コードのことです。これは1回のログインまたは取引ごとに生成され、使用後、あるいは短い有効期限が切れると無効になります。Versa では、SASE のクライアント登録およびログインにおける多要素認証の手順としてOTPを採用しています。

主なポイント

• OTPとは、固定のパスワードを補完または置き換える、1回限りのコードのことです。
• 配信方法には、SMS、Eメール、およびアプリで生成される時間限定コードが含まれます。
• TOTPとHOTPは、広く利用されている2つのアルゴリズムに基づくOTP規格です。
• 有効期間が短いことで、フィッシングや認証情報の盗難による被害を最小限に抑えることができます。
• Versa SASE のクライアント認証において、SMS/メールによるOTPおよびTOTPに対応しています。

このページの内容： その重要性 ・ 仕組み ・ 種類 · OTP およびVersa · よくある質問

OTPはなぜ重要なのでしょうか？

静的パスワードは設計上、再利用が可能であり、それこそが危険な点です。セキュリティ侵害やフィッシングページを通じてパスワードが漏洩すると、攻撃者はパスワードが変更されるまでそれを繰り返し使用することができます。一方、OTPはこのパターンを打破します。各コードは1回限りの使用、あるいは短い有効期間しか持たないため、正当なユーザーがコードを使用し終えた直後には、攻撃者がOTPを傍受しても何の価値もなくなります。また、OTPで保護されたログインに対しては、クレデンシャルスタッフィング攻撃は完全に失敗します。

この特性により、OTPは銀行、クラウドサービス、企業のリモートアクセスなど幅広い分野で導入されている多要素認証メカニズムの一つとなっています。導入コストが低く抑えられ（SMS、電子メール、またはアプリを通じて提供される場合、ハードウェアトークンは不要）、アカウント乗っ取りのコストを高めます。デフォルトで信頼するのではなく、すべてのアクセス要求を検証するゼロトラストアーキテクチャにおいて、OTPはパスワードや証明書の上に重ねられる標準的な追加認証要素となっています。

OTPとは何ですか？

OTPシステムには、主に2つの方式があります。「アウト・オブ・バンド方式」では、ログイン時にサーバーがランダムなコードを生成し、SMSや電子メールなどの別の通信経路を通じてユーザーに送信します。ユーザーはそのコードをログインフォームに入力します。「アルゴリズム方式」では、クライアントとサーバーがセットアップ時に確立した秘密鍵を共有し、それぞれがその秘密鍵から同じコードを独立して算出します。ユーザーがコードを入力するまでは、ネットワークを介してコードが送信されることはありません。

どちらのモデルにおいても、サーバーは送信されたコードを期待値と照合して検証し、そのコードを有効期間内に限り、かつ発行対象のアカウントに対してのみ、1回限り受け入れます。その後、そのコードは無効となります。再試行を行うには新たに生成されたコードが必要となるため、OTPで保護されたアカウントに対してはリプレイ攻撃が通用しないのです。

OTPの種類

このアルゴリズムモデルは、2つの業界標準によって定義されています。HOTP（HMACベースのワンタイムパスワード）は、共有秘密鍵とインクリメントされるカウンタから各コードを生成するため、新しいコードが要求された場合にのみコードが変更されます。これは、時計機能を持たないハードウェアトークンに有用です。 一方、TOTP（Time-based One-Time Password）は、共有秘密鍵と現在の時刻から各コードを生成するため、コードは30秒から数分ごとに自動的に更新されます。これは、QRコードを1回スキャンするだけで設定できる、ほとんどの認証アプリが採用しているモデルです。

配信型OTPは、生成アルゴリズムというよりは第3のパターンです。ログイン時にサーバーがコードを生成し、SMSやメールで送信するもので、認証アプリに代わって、有効な電話番号や受信箱への依存を前提としています。アプリのインストールが不要であるため、今でも広く利用されていますが、ローカルで生成されたコードに比べ、SIMスワップやメールボックスの乗っ取り攻撃に対する脆弱性が高くなります。

OTP &Versa

Versa （SASE ）クライアントは、TOTP、x509証明書、LDAP、RADIUS、SAMLに加え、多要素認証の要素の一つとしてOTPをサポートしています。登録およびログインの際、2要素認証を行うユーザーは、メールまたはモバイルメッセージサーバーを通じて配信されたOTPを入力します。検証が完了すると、登録が完了します。 管理者は、セキュアアクセスポータルポリシーで認証プロファイルを構成することで、この機能を有効にします。SMSまたはメールによるOTPを利用するには、プロファイルにSMTP設定が必要です。一方、TOTPを利用するには、時間ベースの認証タイプを設定し、VOSデバイスでNTPを有効にして、サーバーとユーザーのアプリが同期を保つようにする必要があります。

Versa DirectorとConcertoのいずれも、セキュアアクセスポータル向けのOTPおよびTOTPの設定に対応しています。また、別のOTPメカニズムにより、管理者は「Versa 」の改ざん防止生成ツールから短期間有効なコードを生成し、クライアントの改ざん防止機能を無効化する権限を付与することができます。

よくある質問

OTPとTOTPの違いは何ですか？

OTPは一般的な分類であり、生成方法や配信方法にかかわらず、あらゆる使い捨て認証コードを指します。TOTPは、共有秘密鍵と現在の時刻に基づいてコードを生成する特定のOTP規格であり、30秒から数分ごとに自動的に再生成されます。

OTPの有効期間はどれくらいですか？

実装方法によって異なりますが、アルゴリズム方式のOTPは通常、30秒から数分間有効で、その時間が経過すると無効となり、新しいコードが必要になります。SMSやメールで送信される配信型OTPも、多くの場合、同様の短い有効期間となっています。

OTPは二要素認証と同じものですか？

いいえ。二要素認証（2FA）とは、2つの異なる本人確認要素を要求するという、より広義の概念です。2FAのフローでは、通常、静的なパスワードや証明書を第1の要素とし、OTPを第2の要素として組み合わせますが、2FAにはハードウェアキーや生体認証を使用することも可能です。

Versa は、SASE のクライアントユーザーにOTPをどのように配信するのですか？

Versa 標準的な二要素認証では、SMSまたはEメールでOTPを送信するほか、登録時にユーザーがQRコードをスキャンした後、認証アプリによって生成されるTOTPも利用可能です。いずれの方法も、「Versa Director」内の認証プロファイルを通じて設定されます。

OTPを送信する前に有効期限が切れてしまった場合はどうなりますか？

コードが無効となり、ログインまたは登録の試行は失敗します。ユーザーは新しいコードをリクエストするか、生成する必要があります。TOTPの場合は、認証アプリが自動的に次のコードを生成します。SMSやメールによるOTPの場合は、ポータルが新しいコードを再送信します。

OTPに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

OTPについて読んでいるなら、次はこれらもチェックしてみる価値があります。