【図解】：ワンタイムパスワード（OTP）とは？仕組み・TOTP・HOTP・種類をわかりやすく解説

ワンタイムパスワード（OTP）とは何かを初心者向けに解説。仕組みやTOTP・HOTPの違い、SMSや認証アプリの特徴まで図解でやさしく理解できます。

本書はハッシュを理解している前提の説明となっています。

ワンタイムパスワード（OTP）とは

ワンタイムパスワード（OTP：One-Time Password）の説明と、通常パスワードの違いを説明します。

ワンタイムパスワードの基本的な意味

ワンタイムパスワード（OTP：One-Time Password）とは、一度きりの使い捨てのパスワードのことです。

■ワンタイムパスワードの特徴

一定時間ごとに自動で変わる
ログインのたびに新しく発行される
一度使うと無効になる

この仕組みにより、仮に第三者にパスワードを盗み見られたとしても、次回以降は使えないため不正ログインを防げるというメリットがあります。

通常のパスワードとの違い

通常のパスワードのように同じ文字列を使い続けるのではなく、ログインや認証のたびに毎回異なるパスワードが発行されます。

ワンタイムパスワードと通常のパスワードの違いは、「使い回しができるかどうか」にあります。

ワンタイムパスワードの仕組み

カウンタベースの仕組み（HOTP）

HOTP(HMAC-based One-Time Password)は、HMAC(秘密鍵を使ったハッシュ)を使ってワンタイムパスワードを生成する方法です。
RFC4226で定義されています。
PCやスマートフォンにHOTPソフトをインストールして使用します。

HOTPの流れ

最初に被認証側と認証側で秘密鍵を共有しておく必要があります。

ワンタイムパスワードによる認証は次の流れでされます。

利用者(被認証側)は、共通鍵と認証回数でハッシュ値を計算する。
利用者(被認証側)は、ハッシュ値を送る。（これがワンタイムパスワードです。）
認証側は、共通鍵と認証回数でハッシュ値を計算する。(認証側でも同じアルゴリズムでワンタイムパスワードを生成)
認証側は、ハッシュ値を比較して検証する。

■認証回数のずれ対策
被認証側がワンタイムパスワードを生成して認証側へ送る際、ネットワーク障害などで届かなかった場合、被認証側だけが認証回数を＋１することとなり、認証回数のずれが生じます。その結果ワンタイムパスワードが合わない不具合が発生します。
この対策として認証回数ずれの許容を設定することができます。