一次性密碼（OTP）是什麼？附帶示例的詳盡指南
9 分鐘閱讀
一次性密碼（OTP）是全球企業廣泛採用的使用者驗證方法。OTP 透過要求自動產生一個只有帳戶持有人知道的臨時密碼，協助保護帳戶免受未經授權的存取。OTP 如何運作，其又是否安全？以下是我們完整的 OTP 指南與示例介紹。
內容
一次性密碼是什麼？
一次性密碼是一種自動產生的驗證碼，用於在使用者登入帳戶、網路或系統時進行身份驗證。
與傳統密碼不同，一次性密碼只在設定的時間內有效一次。雖然您可以使用相同的密碼一次又一次地登入，直到您重新設定為止，但一次性密碼永遠是獨一無二的，而且每次登入時都會改變。
一次性密碼是雙重認證（2FA）的常用方法，通常是數字或字母和數字的組合。這是一種密碼安全做法，需要兩種形式的身份驗證才能存取帳戶或網路。
一次性密碼如何運作？
一次性密碼背後的概念很簡單。使用兩種或多種方法進行驗證，通常會使用以下三種要素中的兩種：
- 使用者知道的內容（例如：靜態密碼）
- 使用者擁有的東西（例如：權杖、加密驗證裝置、通行密鑰）
- 使用者本身（即生物特徵資料，例如指紋或臉部辨識）
靜態密碼是使用者所建立和知道的內容，而一次性密碼則是其所擁有的東西。以下是大多數一次性密碼的運作方式：
- 當使用者嘗試登入帳戶或應用程式時，平台會要求他們輸入一串數字或字母和數字的字元組合來確認身份。
- 這些字元是使用雜湊訊息鑑別碼（HMAC）和可變要素自動產生的。OTP 的兩個主要可變要素是基於時間的（TOTP）和基於事件的（HOTP）。我們會在下面的章節中詳細介紹。
- 一次性密碼會透過只有使用者才能存取的管道傳送給使用者：電子郵件、身份驗證應用程式、安全金鑰裝置、文字訊息或推送通知。
- 然後，使用者在必填欄位中輸入一次性密碼，來驗證身份或驗證行動。
您可以透過幾種方式產生一次性密碼，我們會在下面的示例中詳細說明。
一次性密碼的類型
一次性密碼主要有兩種類型：HOTP 和 TOTP。讓我們詳細瞭解每種類型。
基於雜湊訊息驗證碼的一次性密碼（HOTP）
HOTP 是基於事件的一次性密碼。「H」代表雜湊訊息驗證碼（HMAC），是一種特定的訊息驗證碼，涉及加密雜湊函數和秘密加密金鑰。
當使用者要求 HOTP 時，產生的驗證碼在要求新的驗證碼之前都是有效的。這是因為 HOTP 的產生是基於計數器。每次驗證密碼和使用者進入帳戶時，伺服器和 OTP 產生工具都會同步。
使用 HOTP 的 OTP 產生工具的一個好例子是 Yubico 的 YubiKey：一個小型安全金鑰，使用者可以用它來保護多個帳戶。
基於時間的一次性密碼（TOTP）
HOTP 是基於事件的，而 TOTP 則是基於時間的。TOTP 代表「基於時間的一次性密碼」。TOTP 使用與 HOTP 相同的演算法，但以時間戳取代事件計數器。
當使用者要求 TOTP 時，所產生的驗證碼只有短時間有效：通常在 30 到 90 秒之間。之後，驗證碼就會過期，無法再次使用。
TOTP 通常比 HOTP 更安全，因為其過期頻率更高。
一次性密碼的示例
從金融機構到學校，各行各業的公司都普遍使用 OTP 系統。無論是要存取銀行帳戶或是更改線上飯店預約，都可能會要求您輸入數字密碼來確認身份。以下是一些一次性密碼的示例。
- 電子郵件或簡訊驗證。最簡單易用的 OTP 驗證方法是收到一封附有一次性密碼的電子郵件或簡訊。許多公司採用雙重認證方法來確認交易或更改預約。
- 身份驗證裝置。身份驗證裝置（亦稱為安全金鑰）是產生一次性使用密碼的安全硬體裝置。這些裝置包括口袋大小的遙控鑰匙（如 YubiKey），可產生數字或字母的一次性驗證碼。
- 智慧卡。智慧卡（亦稱為 OTP 顯示卡）是以微處理器為基礎的卡片，類似信用卡或簽帳金融卡。其含有 LCD 螢幕，可以顯示產生的數字或字母和數字組合的一次性驗證碼。智慧卡的例子包括 SafeNet OTP 顯示卡和 Feitian OTP 顯示卡。
- 行動裝置應用程式。您也可以下載身份驗證應用程式來產生一次性密碼。這些行動應用程式的運作方式與安全權杖類似，但驗證碼是在應用程式內產生。使用者在登入網站或服務時，可以複製驗證碼來驗證身份。一些知名的身份驗證應用程式包括 Google Authenticator、Authy 和 Microsoft Authenticator。
OTP 的優點
- 提高數位安全防護。使用 OTP 作為第二個驗證要素可大幅提高您的網路安全。多重要素驗證可降低未經授權存取和網路攻擊的風險，而這些威脅一直存在。
- 防範重放攻擊。重放攻擊涉及犯罪分子攔截使用者的網際網路流量，之後再利用它存取線上資料。OTP 有助於防止重放攻擊，尤其是在銀行交易中。由於 OTP 只在短時間內或一次交易中有效，因此如果攻擊者嘗試重放 OTP，OTP 就會失效。
- 無需記住 OTP。要重設忘記的密碼並不好玩。由於 OTP 是自動產生的，使用者不用擔心得要記住密碼。
- 快速且容易使用。使用一次性密碼的驗證過程通常快速又簡單。您只需輸入透過指定管道收到的驗證碼，即可存取帳戶。
OTP 的缺點
- 安全性問題。雖然一次性密碼比傳統密碼提供更高的安全性，但它並非完可以全抵禦攻擊。駭客可以利用幾種有創意的方式規避 OTP 安全系統，例如網路釣魚或社交工程攻擊。
- 存取問題和延遲。並非所有的 OTP 系統都能發揮應有的功效。有時候，使用者可能會延遲收到附有一次性密碼的電子郵件，或者該電子郵件可能會出現在垃圾信件匣。
- 完成驗證需要額外努力。OTP 驗證並非輸入使用者名稱和密碼那麼簡單。使用者需要完成額外的步驟來驗證他們的動作，這需要多花一點精力和時間。
- 驗證過程可能較不方便。在許多情況下，使用者使用 OTP 驗證時需要將手機放在手邊（例如，使用行動應用程式產生一次性密碼或透過簡訊接收驗證碼）。雖然我們大多數人都會隨身攜帶手機，但仰賴行動裝置可能會對某些人造成不便。
一次性密碼是否安全？
一次性密碼被認為是一種安全的身分驗證方法，並廣為世界各地的公司所採用。
對各行各業的企業來說，提供安全的應用程式存取是一項永恆的挑戰。OTP 等安全措施是保護使用者資訊和敏感資料的簡單、有效且可靠的方法。
使用一次性密碼可為登入程序增加一層安全防護，並提供對帳戶或應用程式的安全存取。OTP 比靜態密碼更安全（特別是當這些密碼很短或有在其他地方重複使用時）。
但是，和大多數登入方法一樣，OTP 系統只能部分防止駭客入侵。駭客仍然可以找到使用 OTP 進入帳戶的方法（但這並非一種容易執行的攻擊）。
OTP 容易受到某些類型的詐騙，例如社交工程和網路釣魚攻擊、電子郵件劫持或簡訊驗證碼竊取。重要的是要保持謹慎，不要中了駭客的常見伎倆。
歸根結柢，OTP 是一種經過驗證的可靠身份驗證方法，可以降低詐騙、帳戶資料外洩和其他網路攻擊的可能性。在傳統密碼之外使用一次性密碼，可增加一層額外的安全防護，讓使用者更安心無虞。
提高您的密碼安全性
雖然一次性密碼有助於保護您的帳戶，提供額外的身份驗證步驟，但傳統密碼的安全性也同樣重要。
切記要建立較長的高強度密碼，讓駭客難以猜測，而且絕對不要重複使用以前的密碼。
如需更多資訊，請參閱我們建立安全密碼的提示，並考慮使用密碼管理器來進一步保障帳戶安全性。
OTP 的替代方案
雖然 OTP 已被廣泛使用，但仍有其他方法可確保線上帳戶的安全：
- 生物辨識技術：使用指紋、臉部辨識或虹膜掃描進行認證。
- 安全權杖：可產生 OTP 或儲存密碼金鑰的實體裝置。
- 密碼管理器：可產生和儲存複雜密碼的軟體，減少對 OTP 的需求。
