ワンタイムパスワードとは？

ワンタイムパスワードの意味

一度だけ、または短時間だけ有効なパスワード。使い捨てのため、仮に盗み見られても再利用できず、不正利用のリスクを低減できる。

ワンタイムパスワードの具体例

ネットバンキングの振込時に、スマートフォンのアプリに表示される数分間だけ有効な数字列を入力させる仕組みは、ワンタイムパスワードの代表例。

ワンタイムパスワードは試験でどう引っ掛けられる？

防げるのは盗み見られた後の使い回しであって、その場で入力させる手口にまで万能ではない。「持っているもの」による認証なので、知識であるパスワードと組み合わせて初めて二要素認証になる点を押さえる。

ワンタイムパスワードと関連する用語

• 多要素認証

ワンタイムパスワードが出た過去問

• システムの利用者認証技術に関する記述のうち、適切なものはどれか。

  正解：認証のために一度しか使えないパスワードのことをワンタイムパスワードという。

  要点：ワンタイムパスワードは使い捨てで再利用を防ぐ認証

  ワンタイムパスワードは、一度限り有効な使い捨てのパスワードを用いる方式で、盗み見られても再利用できないため、固定パスワードより安全性が高い。他の選択肢は、シングルサインオン、バイオメトリクス認証、マトリクス認証といった別方式の説明と名称が入れ替わっている。

  出典：平成25年度 春期 ITパスポート試験 問58（IPA）

• ワンタイムパスワードに関する記述中のa，bに入れる字句の適切な組合せはどれか。 利用者は，トークンと呼ばれる装置などを用いて生成された[ a ]のパスワードを使…

  正解：a:使い捨て　b:なりすまし

  要点：ワンタイムパスワードは使い捨てでなりすましを防ぐ

  ワンタイムパスワードは、一定時間ごとや認証のたびに変わる使い捨てのパスワードで、トークンやスマートフォンのアプリで生成する。一度使ったパスワードは再利用できないため、盗聴などで漏れても他人が本人になりすまして認証を通ることを防げる。

  出典：平成27年度 秋期 ITパスポート試験 問55（IPA）

• ワンタイムパスワードを用いることによって防げることはどれか。

  正解：漏えいしたパスワードによる不正侵入

  要点：ワンタイムパスワードは漏れた値の再利用を無効にする

  ワンタイムパスワードは、一度きりしか使えない使い捨てのパスワードを毎回生成して認証に用いる方式である。仮に通信の盗み見や何らかの経路でパスワードが漏れても、その値は既に無効になっているため再利用できず、なりすましによる侵入を防げる。ただし侵入後の改ざんやウイルス感染そのものを防ぐ仕組みではない。

  出典：平成27年度 春期 ITパスポート試験 問61（IPA）

• 利用者が，トークンと呼ばれる装置などで生成した毎回異なる情報を用いて，認証を受ける認証方式を何というか。

  正解：ワンタイムパスワード

  要点：ワンタイムパスワードは毎回異なる使い捨ての認証情報

  ワンタイムパスワードは、その都度異なる使い捨ての情報で認証する方式で、専用のトークンやスマートフォンのアプリが時刻や回数に基づいて値を生成する。仮に通信途中で値を盗まれても再利用できないため、盗聴や使い回しによる不正利用に強い。

  出典：平成29年度 春期 ITパスポート試験 問94（IPA）

• オンラインバンキングにおいて、マルウェアなどでブラウザを乗っ取り、正式な取引画面の間に不正な画面を介在させ、振込先の情報を不正に書き換えて、攻撃者の指定した口座…

  正解：MITB（Man In The Browser）攻撃

  要点：MITBはブラウザに割り込み取引内容を書き換える攻撃

  利用者の端末に潜んだマルウェアがブラウザの処理に割り込み、画面上は正しい内容に見せかけたまま、送信されるデータを書き換えてしまう攻撃である。利用者自身が正規の手順で認証しているため、通信路の暗号化やワンタイムパスワードだけでは防ぎきれない点が厄介である。取引内容を別経路で確認する仕組みなどが対策になる。

  出典：平成30年度 秋期 ITパスポート試験 問60（IPA）