ポータルTOP ＞ 情報セキュリティマネジメント試験 科目A キーワード集 ＞ ワンタイムパスワード
概要
ワンタイムパスワード（OTP：One Time Password）とは、一度きり、または短時間だけ有効な使い捨てのパスワードです。毎回異なるパスワードを使うため、たとえ盗み見られても次回には使えず、盗聴やリプレイ攻撃（盗んだ情報の再利用）に強いのが特徴です。
パスワード（知識情報）に加えて、ワンタイムパスワードを生成するトークンやスマホ（所持情報）を組み合わせることで、多要素認証を実現する代表的な手段となっています。
詳細（方式）
ワンタイムパスワード（OTP）
- 1ログイン要求：IDとパスワードを入力
- 2OTPの生成条件：チャレンジや時刻同期を提示
- 3OTPを入力：1回限りのパスワードを送信
- 4検証・許可：使い捨てなので盗んでも再利用不可
| 方式 | 仕組み |
|---|
| 時刻同期方式（TOTP） | 現在時刻をもとに一定時間（例：30秒）ごとにパスワードを生成する。認証アプリで普及。 |
| チャレンジレスポンス方式 | サーバが出す質問（チャレンジ）に、鍵を使って応答（レスポンス）を計算する。 |
| カウンタ同期方式（HOTP） | 使用回数のカウンタをもとに生成する。 |
生成手段には、認証アプリ、ハードウェアトークン、SMS送信などがあります（SMSはSIMスワップ等のリスクがあり、アプリ・ハードウェアの方が安全）。
ワンタイムパスワードのキーワードは「
一度きり・短時間だけ有効」「
盗聴・再利用に強い」。
多要素認証の「所持情報」としてよく登場します。
キーロガー対策にも有効です。
利点・注意点
- 利点：盗まれても再利用できないため、パスワード漏えい・盗聴・キーロガーに強い。
- 注意：生成手段（トークン・スマホ）を紛失すると認証できないため、予備手段を用意する。
- SMS方式は乗っ取りリスクがあるため、可能なら認証アプリやハードウェアキーを使う。
- フィッシングで「OTPも入力させる」攻撃には、フィッシング耐性のあるパスキー併用が有効。
活用・関連例
ネットバンキングのログイン・振込時の確認、各種Webサービスの二段階認証、社内システムへのリモートアクセスなどで広く使われています。パスワードリスト攻撃やブルートフォース攻撃への有効な対策としても重要です。
試験での問われ方
- 「一度だけ有効なパスワードを使う認証はどれか」→ ワンタイムパスワード。
- 「時刻をもとにOTPを生成する方式はどれか」→ 時刻同期方式（TOTP）。
- 「ワンタイムパスワードが有効な攻撃はどれか」→ 盗聴・リプレイ・キーロガー。