CarderPlanet
Professional
Что означает одноразовый пароль?
Одноразовый пароль (OTP) системы обеспечивают механизм для входа в сеть или услуги , используя уникальный пароль, который может быть использован только ОНКОМ е, как следует из названия.
Статический пароль - наиболее распространенный и наименее безопасный метод аутентификации. Если «qwerty» всегда является вашим паролем, пришло время его изменить.
Почему одноразовый пароль безопасен?
Функция OTP предотвращает некоторые формы кражи личных данных, гарантируя, что захваченная пара имени пользователя и пароля не может быть использована во второй раз.Обычно имя пользователя для входа остается неизменным, а одноразовый пароль меняется при каждом входе в систему.
Одноразовые пароли (также называемые одноразовыми паролями) - это форма строгой аутентификации, обеспечивающая гораздо лучшую защиту электронного банкинга, корпоративных сетей и других систем, содержащих конфиденциальные данные.
Аутентификация отвечает на вопрос: «Вы действительно мистер или миссис X?»
Сегодня большинству корпоративных сетей, сайтов электронной коммерции и онлайн-сообществ требуется только имя пользователя и статический пароль для входа в систему и доступа к личным и конфиденциальным данным.
OTP и TOTP против статического пароля
Хотя этот метод аутентификации удобен, он небезопасен, поскольку кража идентификационных данных в Интернете - с использованием фишинга, регистрации с клавиатуры, атак типа «злоумышленник в середине» и других методов - растет во всем мире.Системы строгой аутентификации устраняют ограничения статических паролей за счет включения дополнительных учетных данных безопасности, таких как временный одноразовый пароль (OTP), для защиты доступа к сети и цифровой идентификации конечных пользователей.
Это добавляет дополнительный уровень защиты и затрудняет доступ к неавторизованной информации, сетям или онлайн-аккаунтам.
Одноразовый пароль на основе времени (TOTP) изменяется по истечении заданного периода, например 60 секунд.
В Индии приложение mAadhaar на вашем мобильном телефоне позволяет генерировать динамический одноразовый пароль вместо того, чтобы ждать получения одноразового пароля. Алгоритм приложения генерирует динамический OTP или TOTP. 8-значный код действителен в течение 30 секунд.
Звучит просто, и это так.
Вот пример OTP при онлайн-оплате.
Как создаются одноразовые пароли?
Одноразовые пароли можно сгенерировать несколькими способами, и каждый из них требует компромиссов с точки зрения безопасности, удобства, стоимости и точности.Сеточные карты
Простые методы, такие как списки номеров транзакций и сеточные карты, могут предоставить набор одноразовых паролей.Эти методы предлагают низкие инвестиционные затраты, но являются медленными, сложными в обслуживании, легкими в воспроизведении и совместном использовании, и от пользователей требуется отслеживать свое место в списке паролей.
Жетоны безопасности
Более удобный способ для пользователей - использовать OTP-токен, аппаратное устройство, способное генерировать одноразовые пароли.Есть больше.
Некоторые из этих устройств защищены PIN-кодом, что обеспечивает дополнительный уровень безопасности.
Пользователь вводит одноразовый пароль с другими учетными данными (обычно имя пользователя и пароль), и сервер аутентификации проверяет запрос на вход в систему.
Хотя это проверенное решение для корпоративных приложений, стоимость развертывания может сделать решение дорогим для потребительских приложений.
Поскольку маркер должен использовать тот же метод, что и сервер, отдельный маркер требуется для каждого входа на сервер, поэтому пользователям нужен другой маркер для каждого веб-сайта или сети, которые они используют.
Смарт-карты и OTP
Более продвинутые аппаратные токены используют микропроцессорные смарт-карты для расчета одноразовых паролей.Смарт-карты имеют несколько преимуществ для строгой аутентификации, в том числе емкость хранилища данных, вычислительную мощность, портативность и простоту использования.
Они по своей сути более безопасны, чем другие токены OTP, поскольку генерируют уникальный, не подлежащий повторному использованию пароль для каждого события аутентификации, хранят личные данные и не передают конфиденциальные или личные данные по сети.
Платежные карты Display могут даже интегрировать генератор одноразовых паролей для двухфакторной аутентификации.
Инфраструктура открытого ключа для строгой аутентификации OTP
Смарт-карты могут также включать дополнительные возможности строгой аутентификации, такие как сертификаты PKI или инфраструктуры открытых ключей.При использовании для приложений PKI устройство смарт-карты может предоставлять основные службы PKI, включая шифрование, цифровую подпись, а также создание и хранение закрытых ключей.
Смарт-карты Thales поддерживают строгую аутентификацию OTP в средах Java ™ и Microsoft .NET.
Доступны различные форм-факторы и варианты подключения, так что конечные пользователи имеют наиболее подходящее устройство для их требований доступа к сети.
Все устройства Thales OTP работают с одним и тем же сервером строгой аутентификации и поддерживаются стандартным набором инструментов администрирования.
Однофакторная аутентификация (SFA)
Однофакторная аутентификация - это традиционный процесс безопасности, который требует имени пользователя и пароля перед предоставлением доступа пользователю.Одного взломанного пароля было достаточно, чтобы остановить крупнейший топливопровод в США.
В мае 2021 года в результате рейда группы вымогателей Darkside сеть Colonial Pipeline была отключена. Эта атака, которая привела к дефициту, подняла цены на газ и вызвала волну панических покупок, высветила слабую защиту паролем и способность программ-вымогателей вывести из строя критически важную инфраструктуру.
Bloomberg (4 июня 2021 г.) сообщил, что система компании была взломана из-за единственного пароля утечки к старой учетной записи VPN, используемой для удаленного доступа к серверам компании. В учетной записи не использовалась многофакторная аутентификация . Хакеры взломали сеть Colonial, используя только одно взломанное имя пользователя и пароль. По данным Bloomberg, пользователь мог использовать один и тот же пароль для разных учетных записей, но следователям будет сложно точно узнать, как он был получен.
Двухфакторная аутентификация (2FA)
Более строгая аутентификация также может быть реализована с помощью двухфакторной аутентификации (2FA) или многофакторной аутентификации. В этих случаях пользователь предоставляет два (или более) разных фактора аутентификации.Ниже приведен еще один пример двухфакторной аутентификации в банковском деле.
OTP SMS - это распространенный метод вторичной аутентификации для банков.
В банкомате вам понадобится ваша карта (что-то, что у вас есть) И ПИН-код (что-то, что вы знаете).
В Сингапуре Singpass использует двухфакторную аутентификацию (2FA) и сквозное шифрование паролей для безопасного доступа к услугам электронного правительства страны.
Обратите внимание, что европейские правила PSD2 требуют от банков и финансовых учреждений более строгой аутентификации клиентов. В результате OTP SMS больше не является методом PSD2.
Рынки OTP и ключевые игроки отрасли
Сегмент OTP является частью более глобального рынка двухфакторной аутентификации, который оценивается в 3,5 миллиарда долларов в 2018 году. Согласно будущему исследованию Market Research, к 2024 году он достигнет 8,9 миллиарда долларов.Рынок OTP оценивается в 1,5 миллиарда долларов в 2018 году и достигнет 3,2 миллиарда долларов к 2024 году.
Основными игроками рынка двухфакторной аутентификации являются Thales, Fujitsu, Suprema, OneSpan, NEC, Symantec, RSA, IDEMIA, HID, Entrust и Google и многие другие.
Бизнес по аутентификации с использованием аппаратных токенов OTP - это небольшая часть рынка OTP. Однако, по данным Research and Markets, его мировой размер оценивается в 261 миллион долларов на 2019 год и, как ожидается, достигнет 403 миллиона долларов к 2025 году.
Основными клиентами являются предприятия, банковское дело, финансы, страхование и ценные бумаги, правительство, здравоохранение и азартные игры.
Помимо OTP: дополнительные ресурсы по аутентификации
- Пришло время перемен (CNN)
- Создайте более надежный пароль (Google)
- Пароль умирает.
- Поделиться секретной ссылкой, которая доступна только один раз (One Time Secret)
- Немецкие банки отказываются от SMS OTP (ZD Net - 11 июля 2019 г.)
- Откройте для себя решения для многофакторной аутентификации от Thales
