رمز یکبار مصرف (OTP)
گاهی اوقات مهم نیست که چقدر مراقب باشید. در سال های اخیر ، حتی سرویس های آنلاین معروف نیز بارها در معرض حملات سایبری قرار گرفته اند که باعث شده امنیت داده های مشتریان زیادی به خطر بیفتد.
رمز یکبار مصرف (OTP) چیست؟
رمز یکبار مصرف (OTP) رشته ای از کاراکترها یا اعداد است که کاربر را برای ورود به یک سامانه یا انجام یک تراکنش واحد، احراز هویت می کند. گذرواژه های یکبار مصرف اغلب با اختصار OTP و گاهی اوقات کدهای OTP نیز نامیده می شوند.
پس از اینکه با یک رمز یکبار مصرف وارد سامانه یا برنامه ای می شوید رمز منقضی شده و نمی تواند برای نشست ورود بعدی استفاده شود.
گذرواژه های یکبار مصرف اغلب برای احراز هویت دو عاملی در حوزه هایی مانند بانکداری آنلاین استفاده می شوند ، اما در حال حاضر سازمان ها نیز به طور فزاینده ای در حال استفاده از آن ها هستند. در مرحله اول ، اطلاعات ورود به سیستم معمول خود را وارد می کنید. سپس با استفاده از ابزاری مانند گوشی هوشمند یک رمز یکبار مصرف پویا ایجاد می کنید که برای احراز هویت OTP لازم است.
تیم های پشتیبانی فنی معمولاً رمزهای یکبار مصرف را برای افرادی که اعتبار ورود به سیستم خود را در یک حساب یا وب سایت فراموش کرده اند و یا منبع مورد نظر به محافظت اضافی در برابر تلاش های ناخواسته دسترسی نیاز دارد ، مدیریت می کنند. همچنین رمزهای یکبار مصرف می توانند لایه دوم تأیید اعتبار را برای کاربری که از قبل در سیستم تأیید نشده است ایجاد کنند.
هنگام احراز هویت کاربران، لازم است که سازمان ها سه فاکتور مستقل را به خاطر داشته باشند:
1.دانش: مواردی که کاربر می داند مانند گذرواژه ، پین یا پاسخ به یک سوال امنیتی.
2.مالکیت: چیزهایی که کاربر دارد مانند یک رمز ، کارت اعتباری یا تلفن.
3.بیومتریک: مواردی که کاربر را به صورت منحصر به فرد شناسایی می کند ، مانند اثر انگشت یا داده های رفتاری
رمز عبور یکبار مصرف (OTP) چگونه کار می کند؟
لیست رمز عبور
لیست رمز عبور آسان ترین راه برای استفاده از رمز های یکبار مصرف است. این لیست در واقع یک لیست آماده از رمزهای عبور است که هم برای کاربر و هم برای سیستم شناخته شده است. اگر از یکی از این رمزهای عبور یک بار استفاده شود ، کاربر به سادگی آن را از لیست حذف می کند.
عیب این روش واضح است. چنانچه شخصی لیست را گم کند ، کاربران غیرمجاز می توانند به رمزهای عبور دسترسی پیدا کنند. در حالی که از لیست رمزهای یکبار مصرف هنوز هم بعضی اوقات در بانکداری آنلاین استفاده می شود ، ارائه دهندگان به دلیلی که در بالا توضیح داده شد به صورت فزاینده به سمت رمزهای عبور OTP ایجاد شده به صورت پویا می روند.
رمزهای عبور ایجاد شده به صورت پویا
امروزه رمزهای یکبار مصرف پویا متداول ترین روش هستند. از توکن های سخت افزاری به طور گسترده ای برای تولید رمزهای عبور استفاده می شود. این دستگاه های کوچک به اشکال مختلفی ارائه می شوند.
به این دستگاه ها، توکن OTP نیز گفته می شود. وجه اشتراک همه آنها این است که معمولاً دارای یک صفحه نمایش هستند و برای یک جلسه ورود به سیستم با فشار دادن یک دکمه رمزهای یک بار مصرف تولید می کنند. رمزهای عبور تولید شده توسط این دستگاه ها اغلب با فاکتورهای تأیید اعتبار از قبیل پین ها یا شناسه های کاربر وارد می شوند.
از الگوریتم ویژه ای برای تولید رمز عبور پویا استفاده می شود. سه نوع الگوریتم وجود دارد:
- مبتنی بر زمان (Time-based)
- مبتنی بر رویداد (Event-based)
- چالش – پاسخ (Challenge-response)
1. مبتنی بر زمان
2. مبتنی بر رویداد
3. پاسخ مبتنی بر چالش
مزایای گذرواژه های یکبار مصرف (OTP) چیست؟
مقاومت در برابر حملات بازپخش: احراز هویت OTP مزایای ویژه ای نسبت به استفاده از رمز عبور ایستا به تنهایی فراهم می کند. برخلاف رمزهای عبور سنتی ، رمز یکبار مصرف در مقابل حملات بازپخش آسیب پذیر نیست . به عبارت دیگر در جایی که یک هکر انتقال داده را رهگیری کرده (مانند زمانی که رمز عبور کاربر ارسال می شود) ، آن را ضبط می کند و از آن برای دسترسی به سیستم یا حساب کاربر استفاده می کند. هنگامی که یک کاربر با استفاده از رمز یکبار مصرف (OTP) به حساب خود دسترسی پیدا می کند ، کد نامعتبر می شود و بنابراین نمی تواند توسط مهاجمان دوباره مورد استفاده قرار گیرد.
حدس زدن دشوار است: رمز یکبار مصرف (OTP) اغلب با الگوریتم هایی ایجاد می شود که از تصادفی بودن استفاده می کنند. این باعث می شود مهاجمین نتوانند با موفقیت آنها را حدس زده و استفاده کنند. رمز های یکبار مصرف ممکن است فقط برای مدت زمان کوتاهی معتبر باشند ، کاربر نیاز به داشتن اطلاعاتی درباره OTP قبلی داشته باشد یا اینکه یک چالش را در اختیار کاربر قرار دهند (به عنوان مثال ، “لطفا شماره دوم و پنجم را وارد کنید”). تمام این اقدامات در مقایسه با احراز هویت فقط با رمز عبور ، سطح حمله محیط را بسیار کاهش می دهند.
کاهش خطر در هنگام به خطر افتادن گذرواژه ها: کاربرانی که شیوه های امنیتی قوی را در پیش نمی گیرند ، مجبورند اعتبارات یکسان را در حساب های مختلف بازیابی کنند. اگر این اعتبارنامه ها به بیرون درز پیدا کند یا در دست فرد دیگری قرار گیرد ، داده های سرقت شده و کلاهبرداری ها، تهدیدهای مهمی برای کاربر از هر نظر است. امنیت رمز یکبار مصرف(OTP) به جلوگیری از نقض دسترسی کمک می کند ، حتی اگر یک مهاجم مجموعه معتبری از اطلاعات ورود به سیستم را بدست آورده باشد.
انواع رمز یکبار مصرف
توکن های سخت افزاری
توکن های متصل:
این توکن ها رایج ترین نوع مورد استفاده در احراز هویت چند عاملی هستند. کاربران این توکن ها را به سیستم یا دستگاهی که می خواهند به آن دسترسی پیدا کنند متصل می کنند. کارت های هوشمند و درایوهای USB به ترتیب در کارت خوان هوشمند دستگاه و درگاه USB قرار می گیرند.
توکن های غیرمتصل:
توکن های بدون تماس:
توکن های نرم افزاری
کدام یک از روش های احراز هویت بهتر هستند؟
پیام کوتاه اگرچه ممکن است راحت تر باشد اما امنیت کمتری دارد!
ما از زندگی روزمره خود می دانیم که برقراری ارتباط از طریق پیام کوتاه چقدر آسان است. بنابراین منطقی است که بسیاری از سازمان ها و ارائه دهندگان خدمات، SMS OTP را به عنوان فاکتور دوم تأیید هویت پیاده سازی کنند.
اما باید بدانید که متأسفانه SMS OTP در برابر برخی حملات سایبری آسیب پذیر است ، از جمله:
تعویض و هک کردن سیم کارت:
تصاحب حساب:
دستگاه های گمشده و همگام سازی شده:
فیشینگ:
در یک حمله مهندسی اجتماعی ، یک مهاجم که خود را به جای کارمندی از سرویس قابل اعتماد شما جا می زند ، شما را فریب می دهد تا اعتبار حساب خود و OTP پیامک خود را تحویل دهید. حملات فیشینگ وابسته به هکرهایی است که از احساسات یا عدم دانش کاربران سواستفاده می کنند و می تواند منجر به نشت OTP پیام کوتاه به همان منوال رمز عبور شود.
با انطباق هرچه بیشتر کسب و کارها با کار از راه دور ، نیروهای کار به طور فزاینده ای از دستگاه های تلفن همراه خود برای دسترسی به برنامه های محل کار استفاده می کنند. برای کسب اطلاعات بیشتر در مورد چگونگی تأثیر این جریان بر روی اقدامات امنیتی ، مقاله چالش های دورکاری در کرونا را در وبلاگ آتین بخوانید.
توکن های امنیتی OTP فراز و نشیب هایی دارند.
توکن های سخت افزاری مانند RSA SecureID ، یک ارتقا قطعی بر روی OTP های مبتنی بر پیام کوتاه هستند که با اتکا به چیزی که کاربر در اختیار دارد ، باعث می شود که آنها کمتر از احراز هویت مبتنی بر دانش مورد سوء استفاده قرار گیرند. علاوه بر این ، یک دستگاه OTP مانند کلیدهای امنیتی U2F از الگوریتم های رمزگذاری نامتقارن استفاده می کند تا اطمینان حاصل کند که OTP هرگز رمزگشایی و افشا نمی شود.
برنامه های تأیید اعتبار یک گزینه قوی و ایمن است
احراز هویت کننده های موبایل مانند آتین و Google Authenticator با ارسال رمز یکبار مصرف (OTP) و اعلان های تلفن همراه به برنامه کاربر ، کاربران را تأیید می کنند. برنامه های احراز هویت به دلایلی از روش های فوق ایمن ترند:
- رمز یکبار مصرف تلفن همراه به دسترسی به اینترنت ، موقعیت مکانی شما یا امنیت شرکت مخابراتی بی سیم شما بستگی ندارد. اعلان های OTP و نوتیفیکیشن به جای شماره شما به دستگاه شما متصل هستند و معمولاً بدون سرویس شبکه یا داده کار می کنند.
- رمز یکبار مصرف موبایل معمولاً یک قابلیت رایگان است که در بسیاری از برنامه های تأیید اعتبار وجود دارد ، به این معنی که استفاده از آن در زمینه های سازمانی و فردی آسان است.
- اعلان های تلفن همراه و کدهای OTP به سرعت منقضی می شوند و در مقایسه با SMS OTP خطر سوء استفاده را کاهش می دهند.
- برخی از برنامه های احراز هویت کننده از بیومتریک مانند شناسایی چهره و اثر انگشت پشتیبانی می کنند. این مورد یک لایه محافظت قوی تر را ارائه می دهد در این صورت حتی اگر تلفن شما دزدیده شود ، هیچ کس به غیر از شما نمی تواند اعلان های تلفن همراه را در دستگاه بپذیرد.
آیا استفاده از رمزعبور یکبار مصرف برای همه الزامی است؟
- بانکداری آنلاین
- خدمات مالی مانند اوراق بهادار سهام آنلاین یا صرافی های رمزنگاری شده
- داده های حساس شرکت
- کانال های محرمانه ارتباطات
- آدرس : تهران، کارگر شمالی، خیابان شانزدهم، پارک علم و فناوری دانشگاه تهران، ساختمان شماره 2، واحد 312
- کد پستی : 74845- 14458
- تلفن: 88176039 - 021
- ایمیل: contactus@authin.ir
بدون دیدگاه