ネットワークセキュリティにおけるOTP（ワンタイムパスワード）とは？仕組みと活用方法を徹底解説

OTP（ワンタイムパスワード）とは？

OTP（One Time Password：ワンタイムパスワード）とは、一度のログインにのみ使用できる、システムが自動生成する数字または文字列のパスワードです。SMS、音声通話、プッシュ通知などを通じてユーザーのスマートフォンに送信され、Webサイトへの不正アクセスや認証情報の漏洩からアカウントを守るために広く活用されています。

従来の静的なパスワードは便利である反面、使い回しや推測による漏洩のリスクが高いという弱点があります。OTPはその脆弱性を補う認証手段として、現在多くのサービスで標準的に採用されています。

OTPの具体例

ユーザーがログインを試み、正しいユーザー名とパスワードを入力すると、アカウントに登録された携帯電話番号宛てにワンタイムパスワードが送信されます。認証を完了するには、ログイン画面にスマートフォンに表示されたコードを入力する必要があります。この二段階の確認により、パスワードを盗まれていても不正ログインを防ぐことができます。

OTPの仕組み

ワンタイムパスワードは、特定のWebサイトがユーザーを認証するために使用する、1回のログインでのみ有効な文字列または数字です。各ワンタイムパスワードは、過去のログイン履歴や日時データといったコンテキスト情報を組み込んだアルゴリズムによって生成されます。

OTPベースの認証は、ユーザー側のアプリと認証サーバー間で秘密情報を共有することを基盤としています。具体的には、HMAC（Hashed Message Authentication Code）アルゴリズムに、時間ベースの情報（TOTP）またはイベントカウンター（HOTP）といった可変要素を組み合わせてコードが生成されます。

OTPのセキュリティ強度は？

SMSではなくユーザーのデバイス上の認証アプリで生成されたOTPは、本質的により高い安全性を持ちます。ただし、OTPであっても中間者（MITM）攻撃に対しては脆弱であり、フィッシングサイトなどでハッカーにコードを盗み取られるリスクは残ります。そのため、OTPはあくまで多要素認証の一部として活用することが推奨されます。

それでも、ユーザーが自作しがちな脆弱なパスワードや、複数アカウントで使い回されたパスワードと比較すると、OTPは自動生成かつ使い捨てであるため、はるかに安全な認証方式と言えます。

ネットバンキングにおけるOTPの役割

オンラインバンキングでは、金融取引や機密性の高い取引のセキュリティを確保するため、二要素認証（2FA）サービスが提供されており、その中核がワンタイムパスワードです。取引の実行時には、6桁の数字コードからなるOTPがリアルタイムでSMSによって送信されます。

クレジットカードでの決済においても同様に、取引の登録プロセス中にOTPがランダムに生成され、登録済みの電話番号とメールアドレス宛てに送信されます。これにより、カード情報だけでは取引を完了できない仕組みとなり、不正利用の防止に大きく貢献しています。

OTPアプリの使い方とコードの取得方法

認証アプリを利用する場合、アプリに表示される6桁のコードをコピーして入力します。2FAとOTPの両方が有効になっている場合、ログインするたびにOTPの入力を求められます。アプリ内の該当エントリを選択して「パスワードを表示」をタップすれば、すばやくコードを確認できます。

サービスによっては、専用アプリから「トークンを生成」ボタンを選択してOTPを発行したり、指定の番号にUSSDコードを送信して取得したりする方法も用意されています。また、メールでOTPを受け取れるサービスも多く、確実に受信したい場合はメールが便利です。

SMS OTPとは

SMS OTPは、数字または英数字のコードをユーザーのモバイルデバイスにテキストメッセージで送信する認証方式です。ログインや本人確認のプロセスにこのコード入力を追加することで、セキュリティレイヤーが一段強化されます。

なお、OTPコードは一時的で1回のセッション限り有効なPINコードとして機能します。アカウント登録時などにOTPコードを受信・確認しない限り、登録を完了できない仕組みになっているケースが一般的です。

「OTP」のその他の意味

「OTP」という略語は、文脈によってまったく異なる意味で使われることがあります。

SNSでの使用：SnapchatなどのSNSやTumblrのファンダム界隈では、「OTP」は「One True Pairing（最高のカップリング）」を意味します。フィクションの登場人物同士など、「この二人は絶対に一緒になってほしい」という推しカップルを指して使われるスラングです。

ファイル形式：OpenOffice.org（旧Apache OpenOffice）に含まれるプレゼンテーションソフト「Impress」は、プレゼンテーションテンプレートとして使用できるOTPファイルを作成します。OpenDocument互換のプレゼンテーションソフトでも、OTPファイルの作成や閲覧が可能です。

類似用語の「opt」：「opt（選択する）」に由来する「opt-in（オプトイン）」は、受信者がメッセージの受信に同意したことを意味します。マーケティングSMSなどを送信する際には、この受信同意を事前に得ることが重要です。