ワンタイムパスワードとは｜仕組み・対策

概要

ワンタイムパスワード（OTP：One Time Password）とは、一度きり、または短時間だけ有効な使い捨てのパスワードです。毎回異なるパスワードを使うため、たとえ盗み見られても次回には使えず、盗聴やリプレイ攻撃（盗んだ情報の再利用）に強いのが特徴です。

パスワード（知識情報）に加えて、ワンタイムパスワードを生成するトークンやスマホ（所持情報）を組み合わせることで、多要素認証を実現する代表的な手段となっています。

詳細（方式）

生成手段には、認証アプリ、ハードウェアトークン、SMS送信などがあります（SMSはSIMスワップ等のリスクがあり、アプリ・ハードウェアの方が安全）。

利点・注意点

• 利点：盗まれても再利用できないため、パスワード漏えい・盗聴・キーロガーに強い。
• 注意：生成手段（トークン・スマホ）を紛失すると認証できないため、予備手段を用意する。
• SMS方式は乗っ取りリスクがあるため、可能なら認証アプリやハードウェアキーを使う。
• フィッシングで「OTPも入力させる」攻撃には、フィッシング耐性のあるパスキー併用が有効。

活用・関連例

ネットバンキングのログイン・振込時の確認、各種Webサービスの二段階認証、社内システムへのリモートアクセスなどで広く使われています。パスワードリスト攻撃やブルートフォース攻撃への有効な対策としても重要です。

試験での問われ方

• 「一度だけ有効なパスワードを使う認証はどれか」→ ワンタイムパスワード。
• 「時刻をもとにOTPを生成する方式はどれか」→ 時刻同期方式（TOTP）。
• 「ワンタイムパスワードが有効な攻撃はどれか」→ 盗聴・リプレイ・キーロガー。