一次性实时密码 (OTP) 需知
一次性实时密码 (OTP) 是为单次登录尝试或交易生成的一串数字和/或字符,并会发送给用户供上述用途使用。
一次性实时密码有何优势?
一次性实时密码可以降低密码相关风险。
忘记密码:一次性实时密码最常见的用途之一是用于用户忘记密码或帐户被盗的情况。在提示用户重置密码之前,可能会向用户发出一次性实时密码以访问其帐户。
重放攻击:在重放攻击中,用户的登录凭据(包括密码)会被截获。如果密码是静态的,则攻击者便可立即访问该用户的帐户。但是,当使用一次性实时密码时,被黑客截获的密码不再有效,因为该密码在用户登录帐户时已经使用过一次,因此无法再次使用。
多重身份验证:一次性实时密码可以添加额外一层身份验证。使用安全令牌,可以为用户生成一次性实时密码,以提供额外的身份验证形式,从而提高安全性并降低泄露风险。
一次性实时密码有哪些类型?
基于哈希的一次性实时密码 (HOTP):此类一次性实时密码是基于哈希算法生成并发送给用户的,该算法将 OTP 代码与计数器同步,而计数器在用户每次获得访问权时都会发生增量变化。
基于时间的一次性实时密码 (TOTP):此类一次性实时密码是基于时间的,因为会就一次性实时密码代码的有效期设定时间范围。通常,时间间隔在 30-60 秒。如果用户未在指定的时间间隔内输入一次性实时密码代码,则必须请求一个新的一次性实时密码代码。
如何安全地向用户提供一次性实时密码?
一次性实时密码使用安全令牌生成并会安全地发送给用户。
硬令牌:智能卡、USB 密钥、无钥匙进入系统、手机和蓝牙令牌都能够生成一次性实时密码。硬令牌的形式有连接式、断开连接式或完全非接触式。
软令牌:推送电子邮件、短信或应用程序通知是一次性实时密码软令牌的常见形式。
一次性实时密码 与 2FA
一次性实时密码和 2FA 有什么区别?
一次性实时密码可以用作 2FA/多重身份验证的一种形式,但也可以用作自主安全机制,在每次登录时为用户提供一次性实时密码。因此,这些术语不能混为一谈,因为一次性实时密码只是 2FA/多重身份验证众多形式中的一种,并且也可以单独作为一种安全解决方案。
一次性实时密码比静态密码更安全吗?
毫无疑问,一次性实时密码可以为静态密码增加一层额外的安全保护。只用密码进行身份验证易受到攻击 - 占安全漏洞的 81%。为密码增加额外一层身份验证可确保安全性得到提升。当然,也可以通过免密的形式完全告别密码。
Entrust 是否提供一次性实时密码服务?
毫无疑问,Entrust 提供丰富的身份验证解决方案,其中就包括一次性实时密码。
什么是身份和访问管理?
身份和访问管理 (IAM) 是由安全策略和技术组成的框架,可确保适当实体能够在适当的时间访问适当资源。
实体可以是个人或设备。资源包括应用程序、网络、基础架构和数据。IAM 可应用于员工、消费者和公民用例。
身份和访问管理 (IAM) 基于建立和维护可信数字身份这一前提。借助身份和访问管理,组织能够对实体进行身份验证和授权,授予对适当资源的安全访问权限。同样随着时间的推移,借助基于风险的自适应身份验证维持信任,在条件允许的情况下提供递进型质询。