コンピュータ セキュリティにおける OTP とは何ですか?

頭字語 OTP は、コンピューター セキュリティの 2 つの異なるものを指すために使用されます。古い意味は「ワンタイム パッド」ですが、現代のコンテキストでは、「ワンタイム パスワード/パスコード/PIN」を指す可能性が高くなります。「ワンタイム」という言葉の共通の使用からおそらく推測できるように、いくつかの類似点があります。

ワンタイムパッド - 基本

ワンタイムパッドは暗号化の方法です。理論的には、完全に安全でクラックすることは不可能です。ただし、実際の実行可能性を深刻に妨げるさまざまな制限と要件があるため、広く使用されていません。最初の問題は、パッドの暗号化キーが完全にランダムである必要があることです。他の暗号化の目的で使用される疑似乱数ジェネレーター PRNG でさえ、安全であるほどランダムではありません。鍵素材の予測可能性のレベルに関係なく、完全な機密性の前提が損なわれます。

キー生成プロセスは完全に安全でなければなりません。さらに、ワンタイム パッドの通信方法は安全でなければなりません。すべての関係者は、ワンタイム パッドを安全に保管し続ける必要があります。使用済みのワンタイム キーも安全に廃棄する必要があります。ワンタイム パッドは認証メカニズムを提供しません。平文と暗号文を知っている攻撃者は、鍵を復元できます。メッセージを同じサイズまたはそれより短くしておく限り、それを使用して別の暗号文を生成できます。最後に、暗号化されるメッセージは、事前に生成されたキーと同じ長さしかありません。

「パッド」という用語の使用は、ほとんどのユース ケースで適切なサイズの一連のワンタイム キーが配布されるという事実に由来しています。便利な形式は、各ページに一意のキーを持つメモ帳です。メッセージを暗号化する必要がある場合は、一番上のページが使用されます。その後、ページは通常、侵害または再利用されるのを防ぐために削除および破棄されます。

ワンタイムパッド - コンプリケーション

実際には、共有シークレットと同様に、ワンタイム パッドを安全に生成、通信、および保存する必要があるため、使用が非常に困難になります。たとえば、ワンタイム パッドの安全性は、通信方法と同程度です。パッドを安全に通信するために HTTPS に依存している場合、その TLS 暗号化を破ってパッドを取得する能力を持つ敵対者は、メッセージのデコードにそれ以上の問題を抱えることはありません。そのため、デジタル通信パッドは追加のセキュリティを提供しません. クーリエやデッドドロップなどの物理的な送信方法を使用する場合、パッドは安全かそうでないかのどちらかです。これにより、物理パッドはデジタル パッドよりもはるかに便利になります。さらに、コンピューター ベースのワンタイム パッドは、安全に削除するのがはるかに難しく、データの残存の問題に直面します。

ワンタイム パッドが侵害された場合、それを使用して過去のメッセージを復号化できます。これを避けるために、通常、ページは破棄され、多くの場合焼かれます。これにより、キーが再利用されたり、発見されたりするのを防ぎます。パッドが危険にさらされていると仮定しても、破棄の慣行に従っている場合、過去のメッセージを解読することはできません。ただし、将来のメッセージは復号化できるようになります。

実際には、最新の暗号化は通常、十分に安全です。ただし、ワンタイムパッドの利点の 1 つは、手で使用できることです。現代の暗号化は非常に複雑であり、効率的に使用するにはコンピューターが必要です。これにより、インターネットやコンピューターを使用せずにメッセージを送信する必要があるスパイクラフト環境で One Time Pads が役立ちます。冷戦中、スパイはフラッシュ紙に印刷されたワンタイム パッドをよく使用していました。ニトロセルロースでできているため、使用済みのページは、煙を発生させることなく非常に迅速に燃やすことができます.

ワンタイムパスワード

ワンタイム パスワードは、認証に使用できる秘密の文字列です。秘密にしておく必要がありますが、ワンタイム パッドとは異なり、何かを暗号化するために使用することはできず、特定のランダム性要件はありません。ワンタイム パスワードの一般的な使用例は、2 要素認証です。たとえば、2 要素認証アプリは、時間とシークレットに基づいて 1 回限りのコードを生成し、身元を確認します。ワンタイム パスワードは、必ずしも一意である必要はありません。多くの場合、2 要素コードは 6 桁です。これにより、攻撃者が適切なタイミングで有効なものを推測できる可能性が非常に低くなるのに十分なランダム性が提供されます。

銀行などの一部の企業は、1 回限りのパスワードのリストを事前に作成し、オンライン バンキングで使用するために顧客に郵送する場合もあります。この場合のワンタイム パスワードは、すべての人にとって同じにすることはできませんが、必ずしもすべての場合で 100% 一意である必要はありません。

ワンタイム パスワードは、ユーザー エクスペリエンスの観点からはやや扱いにくい場合があります。パスワードは、安全に送信および保存するか、安全に生成できる必要があります。フィッシングもリスクです。ワンタイム パスワードは、ユーザーがフィッシングに引っかからないようにするための追加の機会を追加します。ユーザー名とパスワードを引き渡すことを既に確信しているユーザーは、通常、ワンタイム パスワードも引き渡します。 .

結論

コンピュータ セキュリティでは、OTP は One Time Pad または One Time Password の略です。ワンタイム パッドは、完全な機密性を提供する暗号化技術です。ただし、実際に使用するにはいくつかの要件があり、一般的にコンピューターに正しく実装するのは非常に困難です。ただし、ワンタイムパッドは手で使用できるため、昔ながらのスパイクラフトに役立ちます. ワンタイム パスワードは、ログインに使用できる秘密の文字列です。従来のパスワードと一緒に、またはその代わりに使用できます。二要素認証は、ワンタイム パスワードの実装の一例です。