Az OTP mozaikszó két különböző dologra utal a számítógép-biztonság területén. A régebbi jelentés a „One Time Pad”, a modern kontextusban sokkal valószínűbb, hogy „Egyszeri jelszó/Jelszó/PIN”-re utal. Amint azt az „Egyszer” kifejezés közös használatából sejtheti, van néhány hasonlóság.
One Time Pad – alapok
A One Time Pad egy titkosítási módszer. Elméletileg tökéletesen biztonságos és lehetetlen feltörni. Bár nem használják széles körben, mert számos korlátja és követelménye van, amelyek súlyosan akadályozzák a gyakorlatban való életképességét. Az első probléma az, hogy a pad megköveteli, hogy a titkosítási kulcs valóban véletlenszerű legyen. Még a más kriptográfiai célokra használt PRNG pszeudo-véletlenszám-generátorok sem elég véletlenszerűek ahhoz, hogy biztonságosak legyenek. A kulcsanyag bármilyen szintű kiszámíthatósága veszélyezteti a tökéletes titoktartási előfeltételt.
A kulcsgenerálási folyamatnak teljesen biztonságosnak kell lennie. Ezenkívül a One Time Pad kommunikációs módszerének biztonságosnak kell lennie. Ezután minden félnek továbbra is biztonságosan kell tárolnia az egyszeri betéteket. A használt egyszeri kulcsokat is biztonságosan meg kell semmisíteni. A One Time Pad nem kínál semmilyen hitelesítési mechanizmust. Az egyszerű szöveget és a titkosított szöveget ismerő támadó visszaállíthatja a kulcsot. Ezt követően más titkosított szöveget állíthatnak elő, feltéve, hogy az üzenetet azonos méretű vagy rövidebb formában tartják. Végül a titkosítandó üzenet csak olyan hosszú lehet, mint az előre generált kulcs.
A „pad” kifejezés használata abból adódik, hogy a legtöbb használati esetben egyszeri kulcsok megfelelő méretű sorozatát osztják szét. Hasznos formátum a jegyzettömb, amelynek minden oldalon egyedi kulcsa van. Amikor egy üzenetet titkosítani kell, a legfelső oldal kerül felhasználásra. az oldalt ezt követően általában eltávolítják és megsemmisítik, hogy megakadályozzák a feltörését vagy újrafelhasználását.
One Time Pad – komplikációk
A gyakorlatban az a tény, hogy a One Time Pad-t biztonságosan kell előállítani, kommunikálni és tárolni, mint minden megosztott titkot, nagyon megnehezíti a használatát. Például a One Time Pad csak annyira biztonságos, mint a kommunikációs módszer. Ha a HTTPS-re támaszkodik a pad biztonságos kommunikációjában, akkor a TLS-titkosítást feltörni képes ellenfélnek nem lesz további problémája az üzenetek dekódolásakor. Mint ilyen, a digitálisan kommunikált pad nem nyújt további biztonságot. Fizikai átviteli mód, például futár vagy „halott csepp” használata esetén a pad vagy biztonságos, vagy nem. Ez a fizikai padokat sokkal hasznosabbá teszi, mint a digitális padokat. Ezenkívül a számítógép alapú One Time Pad-eket sokkal nehezebb biztonságosan törölni, és adatmaradvány-problémákkal szembesülnek.
Ha a One Time Pad feltört, akkor a korábbi üzenetek visszafejtésére használható. Ennek elkerülése érdekében általában egy oldalt megsemmisítenek, gyakran elégetnek. Ez megakadályozza a kulcs újrafelhasználását vagy felfedezését. Feltételezve, hogy egy pad kompromittálódott, de a megsemmisítési gyakorlatot követik, a múltbeli üzenetek nem dekódolhatók. A jövőbeli üzenetek azonban visszafejthetők.
A gyakorlatban a modern kriptográfia általában több mint elég biztonságos. A One Time Pad egyik előnye azonban, hogy kézzel is használható. A modern kriptográfia nagyon összetett, és a hatékony használathoz számítógépre van szükség. Emiatt a One Time Pads hasznos kémkörökben, amikor az üzeneteket internet vagy számítógép használata nélkül kell elküldeni. A hidegháború idején a kémek gyakran használtak flash-papírra nyomtatott egyszeri tömböket. Mivel nitrocellulózból készült, a használt lap nagyon gyorsan elégethető anélkül, hogy füst keletkezne.
Alkalmi jelszó
Az egyszeri jelszó egy titkos karakterlánc, amely hitelesítésre használható. Titkosnak kell maradnia, azonban a One Time Pad-től eltérően nem használható semmi titkosítására, és nincs különleges véletlenszerűségi követelménye. Az egyszeri jelszavak gyakori felhasználási esete a kéttényezős hitelesítés. Például egy kéttényezős hitelesítési alkalmazás egy egyszer használatos kódot generál az idő és egy titok alapján, hogy megerősítse személyazonosságát. Az egyszeri jelszónak nem is feltétlenül kell egyedinek lennie. A kéttényezős kódok gyakran hat számjegyűek. Ez elegendő véletlenszerűséget biztosít ahhoz, hogy rendkívül valószínűtlenné tegye, hogy a támadó a megfelelő időben kitalál egy érvényeset.
Egyes cégek, például a bankok, előre elkészíthetik az egyszer használatos jelszavak listáját, és postai úton elküldhetik ügyfeleiknek az online banki szolgáltatásokhoz. Az egyszeri jelszavak ebben az esetben nem lehetnek mindenki számára azonosak, de nem feltétlenül kell minden esetben 100%-ban egyedinek lenniük.
Az egyszeri jelszavak a felhasználói élmény szempontjából kissé nehézkesek lehetnek. A jelszavakat biztonságosan kell továbbítani és tárolni, vagy biztonságosan elő kell állítani. Az adathalászat szintén kockázatot jelent, míg az egyszeri jelszavak további lehetőséget adnak a felhasználó számára, hogy ne dőljön be az adathalásznak, a felhasználónak. akik már meggyőződtek arról, hogy átadják felhasználónevüket és jelszavukat, általában az egyszeri jelszót is átadják.
Következtetés
A számítógépes biztonságban az OTP a One Time Pad vagy a One Time Password rövidítése. A One Time Pad egy titkosítási technika, amely tökéletes titoktartást biztosít. Ennek azonban számos olyan követelménye van, amely kényelmetlenné teszi a gyakorlatban való használatát, és általában nagyon körülményes a számítógépeken való helyes megvalósítása. A One Time Pads azonban kézzel is használható, így hasznosak a régimódi kémkedéshez. Az egyszeri jelszavak titkos karakterláncok, amelyek segítségével bejelentkezhet. működhetnek a hagyományos jelszó mellett vagy helyett. A kéttényezős hitelesítés az egyszeri jelszavak megvalósításának egyik példája.