ワンタイムパスワード

1. 定義

ワンタイムパスワードとは、一度しか使用できない使い捨てのパスワードのことです。固定されたパスワードとは異なり、一定時間または一度の利用で無効になるため、万が一パスワードが盗聴や漏洩されても、次回以降は使用できないため安全性が非常に高い認証方式です。

2. 仕組みと種類

ワンタイムパスワードには、主に時刻同期方式とイベント同期方式があります。時刻同期方式は、認証サーバーとユーザーのトークンやアプリが持っている時刻をキーに、一定時間ごとに異なるパスワードを生成します。イベント同期方式は、ユーザーがボタンを押すたびに、回数をキーとして新しいパスワードを生成します。

認証の手順としては、ユーザーがIDと固定パスワードを入力した後、続けてワンタイムパスワードを入力します。これにより、IDと固定パスワードだけでは不正ログインできない多要素認証を実現します。最近では、専用ハードウェアの代わりに、スマートフォンアプリやメール、SMSで通知されるものが主流です。

3. 試験ごとの視点

ITパスポート試験および基本情報技術者試験では、セキュリティ管理や認証技術として頻出です。パスワードの盗聴やリプレイ攻撃（一度使ったパスワードを再利用する攻撃）に対する有効な対策として位置づけられます。多要素認証（MFA）の構成要素として、知識認証に加えて所持認証として扱われることが多いです。

試験では、ワンタイムパスワードが有効な場面や、固定パスワードとの併用によるセキュリティ強化の仕組みが問われます。また、OTPトークンが物理的に紛失した場合のリスクや、スマートフォンの紛失時対応なども関連知識として問われることがあります。

4. 紛らわしい語との違い

固定パスワードは、一度設定すると変更するまで同じものが使われるため、漏洩すると継続的なリスクとなります。ワンタイムパスワードは使い捨てなので、漏洩の影響を最小限に抑えられます。二要素認証は、知識・所持・生体などの異なる要素を組み合わせる認証方式であり、ワンタイムパスワードは、この二要素認証を実現するためのツールや手段の一つです。

5. 身近な例

銀行のインターネットバンキングの振込認証、ログイン時の二段階認証のSMSコード、クレジットカード決済時の本人確認などで幅広く活用されています。利用者の利便性を保ちつつ、高いセキュリティを確保するために必須の技術です。