OTP 动态口令验证

OTP 动态口令验证。

 

简介
动态口令（OTP，One-Time Password）又称一次性密码，是使用密码技术实现的在客户端和服务器之间通过共享秘密的一种认证技术，是一种强认证技术，是增强目前静态口令认证的一种非常方便技术手段，是一种重要的双因素认证技术。
动态口令认证技术包括客户端用于生成口令产生器的动态令牌，是一个硬件设备，和用于管理令牌及口令认证的后台动态口令认证系统组成。

目前在安全强认证领域使用的OTP动态密码技术，源于最早由RSA公司于1986年开发的RSA SecureID产品，动态密码并不是一次性密码技术，而是动态一次性口令技术。目前，国际上动态口令OTP有2大主流算法，一个是RSA SecurID ，一个是OATH组织的OTP算法。如果在国内来说的话，另一个是国密的OTP密码算法。RSA SecurID使用AES对称算法，OATH使用HMAC算法，国密算法使用的国密SM1（对称）和SM3（HASH）算法。
 

认证原理
动态口令的基本认证原理是在认证双方共享密钥，也称种子密钥，并使用的同一个种子密钥对某一个事件计数、或时间值、或者是异步挑战数进行密码算法计算，使用的算法有对称算法,HASH,HMAC,之后比较计算值是否一致进行认证。可以做到一次一个动态口令,使用后作废,口令长度通常为6-8个数字,使用方便,与通常的静态口令认证方式类似,使用方便与系统集成好,因此OTP动态口令技术的应用非常普遍,可以应用于多种系统渠道使用,如：Web应用,手机应用,电话应用,ATM自助终端等。
动态口令的同步机制有3种，即时间型、事件型和挑战与应答型，目前应用最多的是时间型动态口令，挑战与应答型动态口令的应用也逐渐增多，并且动态口令逐渐变为多种同步类型复合的机制发展，如时间+挑战与应答型。

OTP和常用的认证技术

• USBKey： 申请PKI证书。
• 动态口令卡：打印好的密码刮刮卡。
• 动态短信：使用电信通道下发口令。
• IC卡/SIM卡：内置与用户身份相关的信息。
• 生物特征：采用独一无二的生物特征来验证身份，如指纹。
• 动态令牌：动态口令生成器和认证系统
  比较如下：