ワンタイムパスワード認証とは

一度しか使えない「使い捨てパスワード」を使って行う認証のこと。一度使ったら二度と同じパスワードを使うことができないため、安全性が高い。外部から社内のネットワークにアクセスする場合などに利用されている。

ユーザ名と対応するパスワードによる通常の認証方式では、端末からサーバーまでの通信経路上でパスワードが「盗み聞き」される可能性があるという弱点がある。ワンタイムパスワードでは、まずトークンと呼ばれる(キーホルダー型やカード型の)パスワード生成端末がランダムな文字列(「チャレンジ」と呼ばれる)を表示させる。

ユーザーは、自分だけが知る固定の文字列を端末側に入力する。端末でチャレンジ文字列とユーザーが入力した文字列を一定の手順に従って演算し、生成された結果(「レスポンス」と呼ばれる)をサーバー側に送信する。

このように、ログインごとにトークンとサーバーを同期させることで、毎回入力するパスワードが異なっても正しく認証ができる仕組みだ(こうした認証方式を「チャレンジ&レスポンス方式」という)。

毎回変わるチャレンジに応じてレスポンスも変わるので、万が一、通信経路上でサーバーと端末のやり取りを盗み聞きされても、同じパスワードは二度と使えないため、他人が本人に「なりすます」ことができない。

チエ:パスワードという文字列だけの認証と異なり、「トークン」+「文字列」という二つの要素で認証を行うから、従来よりもセキュリティが高いのね。
マサヤ:サーバー側との同期の方式には、時間同期方式とカウンター同期方式などがあり、代表的なソフトウエアには「SecurID」などがありますね。

詳細はこちら↓
・使い捨てパスワードとは(IT用語辞典)

セキュリティ用語辞典一覧ページへ

関連キーワード:

チャレンジ

トークン

ワンタイムパスワード

  • 「全て同じ」が優勢!?−「パスワード」についての投票企画−
  • カテゴリートップへ
  • 年末年始に増加するウイルスに注意