什么是OTP？

OTP是一种安全机制，可以抵御包括重放攻击和密码嗅探攻击在内的多种基于密码的攻击。与在多次登录会话后保持不变的静态密码相比，它提供了更强的保护。每次使用密码时，OTP都采用随机化技术生成一个新的、随机的密码。

为了防止黑客或破解者猜测未来的密码，该算法始终使用随机字符和符号创建密码。OTP通过多种方式创建密码，包括：

• 时间同步：密码的有效期是有限的。
• 数学算法：使用算法处理随机数以形成密码。

OTP是一组自动生成的字母，可以是字母或数字，用于识别一个人进行单次交易或登录会话。

与设置的密码相比，OTP更安全。这尤其适用于用户生成的密码，这些密码可能不够好，并且在多个帐户之间共享。

一次性密码（OTP）可以代替或与标准身份验证登录详细信息一起使用，以提供额外的安全层。

OTP也可以称为一次性密码本。

一次性密码本

一种加密方式是通过一次性密码本。它在理论上是无法攻破且坚不可摧的。然而，由于许多严重影响其实用性的标准和缺点，它很少被使用。密码本需要一个真正随机的加密密钥是第一个问题。即使是其他密码学应用程序中使用的伪随机数生成器（PRNG）也不能被认为是真正随机的。任何程度的关键信息可预测性都会削弱完全保密的概念。

生成密钥的过程必须完全安全。此外，需要一种安全的机制来发送一次性密码本。之后，所有各方都必须将一次性密码本保存在安全的位置。此外，已使用的一次性密钥需要安全地处理掉。一次性密码本无法提供身份验证。如果攻击者知道明文和密文，他们可能会获得密钥。只要他们保持消息大小相同或更小，他们就可以利用它来创建一个新的密文。最后，加密消息的长度受预生成密钥的限制。

“密码本”一词指的是在大多数使用情况下，分发了大量一次性密钥的事实。笔记本的格式，每页都有不同的密钥，是有益的。加密消息时使用最上面的页面。之后，该页面通常会被销毁，以防止被破解或再次使用。

一次性密码本的缺点

事实上，一次性密码本非常难以使用，因为像任何共享秘密一样，它需要安全地生成、交换和保存。例如，一次性密码本的安全性仅取决于通信连接的安全性。如果您依赖HTTPS安全地传输密码本，那么成功破解TLS加密并检索密码本的攻击者将不会在解密消息方面遇到问题。因此，电子传输的密码本不提供额外的安全性。在使用物理传输机制（例如快递或死信投递）时，密码本要么是安全的，要么是不安全的。因此，真实的密码本比虚拟密码本更有用。基于计算机的一次性密码本还存在数据残留问题，并且更难安全擦除。

如果一次性密码本被破解，它可能会被用来解密旧消息。通常，会烧毁或以其他方式移除页面以防止这种情况。通过这样做，密钥无法被找到或再次使用。如果密码本被泄露，但销毁过程已完成，则无法解密以前的通信。然而，随后的消息将可以解密。

现代密码学在现实中通常足够安全。然而，手动使用一次性密码本有其优点。由于当前的加密技术非常复杂，它需要一台计算机才能成功运行。因此，一次性密码本在谍报活动中非常有用，在这种情况下，消息需要不使用计算机或互联网进行传输。冷战期间，间谍经常使用印在闪光纸上的一次性密码本。由于使用的页面由硝化纤维素制成，它们可以快速无烟地燃烧。

一次性密码

一次性密码是一种加密字符串，可用于身份验证。它必须保密，但与一次性密码本不同，它没有特殊的随机化要求，也不能用于加密任何东西。一次性密码广泛用于双因素身份验证。例如，双因素身份验证软件根据时间和秘密提供一个一次性代码，以验证您的身份。一次性密码是否唯一是可选的。通常，双因素代码由六位数字组成。这产生了足够的不可预测性，使得攻击者在精确的时刻猜测真实密码的可能性极小。

某些组织，如银行，也可能提前制定一次性密码列表，并将其发送给客户，以便他们用于网上银行。在这种情况下，一次性密码不能对每个人都相同，但也不必总是完全唯一。

从用户体验的角度来看，一次性密码可能很棘手。密码必须安全生成或安全传输和保存。网络钓鱼也是一个问题，但时间密码也提供了一个额外的保护层。通常，已经被说服泄露其用户名和密码的用户也会泄露其一次性密码。

一次性密码的特点

OTP解决的关键优势是它们对重放攻击免疫，而静态密码则不然。这意味着以前用于登录服务或完成交易的OTP将不再有效，使得潜在黑客无法使用它。第二个关键优势是，如果攻击者设法获得其中一个系统的密码，那么对所有系统使用相同或类似密码的用户不会在任何一个系统上受到攻击。为了进一步限制攻击面，一些OTP系统还试图确保只有在了解前一个会话期间创建的不可预测数据的情况下，才能拦截或冒充会话。

一次性密码的实例

OTP安全令牌，例如基于微处理器的智能卡或口袋大小的钥匙扣，生成一个字母数字或数字代码以验证系统或交易的访问。令牌设置控制此秘密代码更改的频率，这可能每30或60秒发生一次。

Google Authenticator等移动应用程序依靠令牌设备和PIN来生成用于两步验证的一次性密码。

OTP安全密钥可以通过硬件、软件或按需方式应用。一次性密码用于单次交易或登录过程，与每三十到六十天设置或结束的普通密码不同。

获取一次性身份验证码

当未经授权的用户尝试进入系统或在设备上完成交易时，网络服务器上的身份验证管理器使用一次性密码技术生成一个数字或共享秘密。智能卡或设备上的安全令牌通过使用相同的数字和算法匹配用户和一次性密码来验证它们。

许多组织通过短信服务（SMS）发送临时密码作为第二个身份验证因素。一旦用户使用其登录名和密码连接到网络信息系统和面向交易的在线应用程序，临时密码将利用移动通信带外获取。

要使用双因素身份验证（2FA）获取帐户或系统的访问权限，用户必须提交其用户ID、普通密码和临时密码。

一次性密码的运作方式

用户的OTP应用程序和登录服务器依赖于OTP安全系统中的共享秘密。

一次性密码的值通过结合以下元素生成：

• 基于哈希的消息认证码算法，称为HMAC。
• 一个事件计数器，用于跟踪授权尝试的次数，例如基于HMAC的OTP（HOTP），或一个移动因子，例如基于时间的信息，例如基于时间的OTP（TOTP）。
• 为了增加保护，OTP值包含分钟或秒级时间戳。用户可以通过电子邮件、端点上的专用应用程序或短信获取一次性密码。

安全专家长期以来一直担心依赖一次性密码的2FA系统可能被短信欺骗和中间人攻击破解。

2016年，美国国家标准与技术研究院（NIST）探讨了废除短信用于双因素身份验证和一次性密码的问题。然而，最终该组织发现，尽管短信身份验证不是最安全的解决方案，但它比单因素身份验证表现更好。

NIST等专家表示，企业应该寻找除短信以外的一次性密码交付替代方案。他们还应该避免通过短信将OTP发送到电子邮件地址或VoIP线路，因为这些程序无法验证设备所有权。

OTP的优点

使用一次性密码可以帮助您避免某些标准密码安全难题。IT管理员和安全官员在使用OTP时不再需要担心组合规则、已知不良和弱密码、凭据共享或在多个帐户和系统中使用相同的密码。

一次性密码的另一个优点是，在TOTP的情况下，它们会在几分钟内过期；在HOTP的情况下，它们在使用后过期。一次性密码通过这种方式阻止黑客获取秘密代码并再次使用它们。

为什么我总是收到OTP消息？

以下是您可能通过电子邮件或短信收到OTP代码或消息的原因。

1) 您正在尝试访问您的帐户

当您从不同的设备、浏览器或位置访问您的帐户时，服务可能会向您提供OTP作为验证措施。要确认您的姓名，请输入提供给您的OTP。要验证您的身份，请输入提供给您的OTP。

小费

登录服务后，在屏幕上显示的提示中输入OTP。

2) 另一个人正在尝试访问您的帐户。

未经授权的人尝试从不熟悉的设备访问您的帐户时，将需要提供一次性密码（OTP）进行验证。如果没有其他人尝试登录，则可能有人试图访问您的帐户。

小费

忽略OTP警告。如果它持续出现，请考虑更改您的密码，因为即使有人拥有您的登录凭据，双因素身份验证也会阻止未经授权的访问。

3) 有人试图更改您的密码

当用户更改密码或使用忘记密码选项时，服务可能会部署OTP以证明其身份。

小费

如果您不是尝试重置或恢复密码的人，请忽略OTP警告。如果警告持续出现，请考虑更改您的密码，因为即使设置了双因素身份验证，仍可能有人能够访问您的用户名和密码。

4) 有人试图使用您的电子邮件地址创建帐户

如果您收到来自您不使用的服务的OTP消息，则可能有人试图使用您的电话号码或电子邮件地址创建帐户。

小费

切勿点击您通过短信或电子邮件收到的任何链接，并忽略OTP消息。

5) 您的帐户遭到网络钓鱼尝试

网络钓鱼用户帐户信息的一种方法是使用OTP消息。OTP消息中的链接可能被用来窃取数据或胁迫用户提交其登录凭据。

小费

切勿点击您通过短信或电子邮件收到的任何链接，并忽略OTP消息。

OTP身份验证方法

为了验证用户的身份，OTP身份验证服务可以使用以下一种或多种机制。

• 时间同步：由于USB密钥根据当前时间提供随机密码，因此登录服务器知道允许使用一次性密码。
• 先前密码：登录服务器可以通过引用OTP设备提供的先前密码来验证当前的一次性密码。
• 质询-响应：USB密钥可能会收到来自登录服务器的独特质询，对此只能有一个独特的答案。

结论

OTP，或一次性密码本或一次性密码，是计算机安全中使用的术语。一种确保完全保密的加密技术称为一次性密码本。然而，由于各种因素，它在现实中很难应用，并且在计算机上可能难以正确执行。称为一次性密码的秘密字符串可用于获取访问权限。它们可以作为标准密码的补充或替代。双因素身份验证的使用是一次性密码实现的一个实例。