Jednorázové heslo je kód, který lze použít pouze jednou pro získání přístupu ke službě, pro opětovné přihlášení je třeba vygenerovat nové jednorázové heslo. Jednorázové heslo lze vygenerovat různými způsoby, jako je mobilní aplikace, fyzický bezpečnostní token, SMS a další. Tyto tokeny jsou normálně platné po krátkou dobu, než jsou obnoveny a nahrazeny novým tokenem.
Technipages vysvětluje jednorázové heslo
Požadováním jednorázového hesla jako druhého faktoru je bezpečnost posílena dvěma způsoby: Za prvé, útočník nyní musí znát heslo a mít přístup ke správnému jednorázovému heslu. Za druhé, pokud je útočník schopen provést útok typu man in the middle a prolomit heslo a jednorázové heslo, jednorázové heslo nebude platné pro druhé použití při opakovaném útoku.
Systémy jednorázových hesel jsou relativně levné a obecně zdarma pro koncového uživatele v závislosti na produktu, ačkoli podniky mohou platit za zaměstnanecké licence. Služby, které využívají mobilní aplikaci nebo SMS, jsou pro uživatele obvykle zdarma, služby s fyzickým bezpečnostním tokenem, jako je RSA token, mají související náklady.
Použití SMS jako druhého faktoru v procesu dvoufaktorového ověřování poskytujícího jednorázový přístupový kód nese a malé riziko, protože existují způsoby, jak mohou být zprávy zachyceny a použity útočníkem, i když tyto útoky jsou docela dost komplex. Bezpečnostní komunita obecně radí, že SMS je lepší než nepoužívat druhý faktor jednorázového hesla, ale že jiné platformy jsou obecně bezpečnější a měly by být preferovány.
Běžná použití jednorázového hesla
- Hardwarové bezpečnostní tokeny obecně implementují časově synchronizované jednorázové heslo
- Některé banky zasílají vytištěné jednorázové heslo novým uživatelům jejich systémů online bankovnictví.
- Častěji než ne, jednorázová hesla jsou součástí dvoufaktorového autentizačního systému.
Běžná zneužití jednorázového hesla
- Jednorázová hesla se používají pouze pro vyřazené účty.