ワンタイムパスワード【one-time password】 OTP / 使い捨てパスワード / ワンタイムキー / one-time key / ワンタイム認証 / one-time authentication

概要

ワンタイムパスワード（one-time password）とは、利用者の本人確認などに用いる秘密の文字列(パスワード)に、短時間のみ有効なその場限りの文字列を生成して用いる方式。

従来の固定的なパスワードは同じものが長期間繰り返し使われるため、攻撃者が長い時間をかけて何度も試行を行うなどして割り出したり、何度も送受信しているうちに通信途上で盗み取られるリスクがある。ワンタイムパスワードはその場限り有効な「使い捨て」のパスワードを認証ごとに毎回生成して使用するため、こうした危険を回避しやすい。

ワンタイムパスワードを利用する際は利用者と認証者の間であらかじめ生成方法を共有しておき、認証時には利用者がその場限り有効なパスワードを生成して送信、同時に認証者が生成したものと一致すれば認証成功となる。生成されたワンタイムパスワードは短い時間（数十秒から数分）が経過したり一度認証に成功すると破棄され、同じものは使えない。

パスワードの生成・共有方法にはいくつか方式があるが、よく用いられるのは携帯電話のSMSを用いる方式、時刻同期方式、チャレンジ/レスポンス方式、マトリクス認証などである。

SMSを用いる方式

SMS（ショートメッセージ）を用いる方式は、利用者の携帯電話の番号をあらかじめ登録しておき、利用時に認証サーバからSMSでワンタイムパスワードを通知、その場で入力してもらう方式である。認証に成功したり短時間（用途により数分から数時間程度まで）が経過すると無効となる。

時刻同期方式

時刻同期方式は、認証サーバと時刻を同期させた小型の専用の装置（セキュリティトークン、ハードウェアトークンなどと呼ばれる）などを用い、現在時刻を元にあらかじめ決められた算出方式に従ってパスワードを生成・表示する。パスワードは短い時間（通常1分前後）ごとに切り替わり、次々に新しいものが表示される。パソコンやスマートフォンのソフトウェアとして実装された製品もある。

チャレンジ/レスポンス方式

チャレンジ/レスポンス方式は、認証時にサーバから利用者にチャレンジと呼ばれるランダムなデータなどが送信され、利用者（側のソフトウェア）がパスワードとチャレンジから一定の手順で計算を行い、計算結果を送り返す。これをレスポンスという。サーバ側では手元のパスワードで同様の計算を行い、一致すれば相手も同じパスワードを共有していることが確認できる。