Что такое OTP?
OTP, или одноразовый пароль, действует для одной проверки подлинности либо короткого периода. Он уменьшает ценность перехваченного кода, но сам по себе не защищает от фишинга и кражи сессии.
Английское название, сокращение и варианты
- Английское название: One-Time Password
- Сокращение: OTP
- Распространённые варианты: одноразовый код, одноразовый пароль, динамический код
Как работает OTP?
Сервис или аутентификатор формирует значение из случайного challenge, общего секрета, счётчика или времени. Сервер связывает код с аккаунтом или действием, ограничивает попытки, проверяет срок и запрещает повтор.
Практический пример
При входе сервис отправляет 482193. Сервер принимает его один раз в течение пяти минут и отклоняет после использования или истечения срока.
Отличия от связанных понятий
TOTP — конкретный OTP по секрету и времени. SMS-верификация — канал доставки, а OTP Number — номер для получения кодов.
Применение, преимущества и риски
OTP применяются для входа, восстановления, подтверждения операций и MFA. Передаваемые коды можно перехватить, перенаправить или выманить, поэтому нужны короткий срок, лимит попыток и привязка к запросу.
Как DuoPlus Cloud Number помогает при проверке OTP?
При регистрации нескольких аккаунтов, входе и проверке безопасности DuoPlus Cloud Number можно использовать вместе с DuoPlus Cloud Phone для получения SMS-кодов OTP от поддерживаемых приложений и сайтов. Облачные телефоны и номера управляются на одной платформе, что сокращает необходимость менять физические SIM-карты и вести учёт кодов в разных инструментах.
Поддержка типов номеров и регионов различается между платформами, поэтому фактическое получение SMS-кода OTP зависит от целевой платформы и оператора. DuoPlus Cloud Number предназначен прежде всего для SMS-кодов OTP; коды из приложения-аутентификатора или аппаратного ключа относятся к другому способу OTP и не требуют облачного номера.
Частые вопросы
Каждый OTP является SMS-кодом?
Нет. Код может создаваться приложением или устройством либо доставляться по SMS, email и другим каналам.
Следует хранить OTP на облачном телефоне?
Не храните и не передавайте полученные коды. Если на телефоне работает аутентификатор, ограничьте командный доступ, защитите seed и коды восстановления и сохраните независимый способ восстановления.
