Che cos'è OTP - One-time password?
Una one-time password (OTP) è una sequenza generata automaticamente di caratteri numerici o alfanumerici che autentica un utente per un singolo accesso o transazione. Viene utilizzata in un processo di autenticazione multifattoriale (MFA ) per proteggere l'accesso ai dati.
Che cos'è esattamente una one-time password (OTP)?
Una one-time password è una password che ha due proprietà fondamentali: scade rapidamente e non può essere riutilizzata. Si sente spesso l'abbreviazione OTP e i termini "chiaveOTP " e "codiceOTP ".
Le OTP sono solitamente stringhe numeriche o alfanumeriche (lettere e numeri) e vengono generate per una singola procedura di accesso. Ciò significa che dopo che l'utente ha effettuato l'accesso con una password unica, questa non è più valida e non può essere utilizzata per accessi futuri.
OTP Le password sono comunemente utilizzate come parte di una procedura di autenticazione multifattoriale (MFA/2FA). Ciò si applica, ad esempio, ai servizi finanziari (in particolare a seguito dei requisiti della direttiva PSD2) e sta diventando sempre più comune per proteggere l'accesso alle applicazioni aziendali o a una rete aziendale.
Come funziona?
Le password monouso si basano su un algoritmo che crea un codice nuovo e casuale ogni volta che viene richiesta una password. Ma per comprendere appieno il funzionamento di OTP , occorre considerare due componenti: il generatore di OTP e il server di autenticazione. Approfondiamo questi due componenti.
Il generatore OTP
Il generatore OTP fornirà all'utente una password unica generata su:
- qualcosa che l'utente possiede (un token di autenticazione)
- una Time-based One-time Password (TOTP) - che è un OTP in cui il fattore mobile è basato sul tempo
- un algoritmo One-time Password basato su HMAC (HOTP) - che è un OTP basato sugli eventi in cui il fattore di spostamento è basato sui contatori piuttosto che sul tempo
A seconda della soluzione MFA che è all'origine di OTP, il generatore di OTP può anche includere qualcosa che l'utente conosce (ad esempio un codice PIN). Per questo motivo è importante verificare attentamente se la soluzione MFA si basa su più fattori o solo su uno.
Date un'occhiata al nostro grafico che vi aiuterà a fare un benchmark della vostra soluzione MFA .
Il server di autenticazione
Una volta che il generatore di OTP ha fornito all'utente una password unica, come visto sopra, il server di autenticazione deve verificare OTP.
Quali sono i vantaggi di OTP?
Prevenire il furto di identità online
Uno dei grandi vantaggi dell'utilizzo di password monouso per la sicurezza dell'accesso è che esse perdono validità nel giro di pochi secondi, impedendo agli hacker di recuperare i codici segreti e di riutilizzarli.
Riduzione del supporto da parte del team IT
Quando si sceglie una soluzione MFA che sia nativamente a due fattori, e quindi in cui insieme a OTP non sia necessario richiedere all'utente di inserire la combinazione di login e password (soluzione MFA senza password), allora e ancora una volta solo allora, è meno probabile che i team di supporto IT vengano sollecitati dagli utenti finali per la reimpostazione della password. Di sicuro, è improbabile che gli utenti finali commettano un errore con un fattore di conoscenza semplice come un codice PIN da ricordare. È un vantaggio per gli utenti e per i team di assistenza.
Superare i problemi di sicurezza delle password
Ancora una volta, questo è il caso solo quando si sceglie un'autenticazione senza password che sia nativamente a 2 fattori. Gli amministratori IT e i CISO possono evitare i problemi più comuni che si incontrano quando si parla di sicurezza delle password (password deboli, condivisione delle credenziali, riutilizzo della stessa password su più account e sistemi, ecc.)
Con TrustBuilder, migliora anche l'esperienza dell'utente
Mentre alcune soluzioni MFA inviano OTP tramite notifica push o SMS agli utenti, chiedendo loro di ridigitare e inserire il codice nella finestra di login, TrustBuilder MFA genera e convalida gli OTP in modo da migliorare l'esperienza di login degli utenti. Infatti, la soluzione genera e convalida OTP in modo silenzioso e trasparente per l'utente, consentendogli un'esperienza di login semplice e senza password.
