デジタルパソコン用語ライブラリ

ユーザ名と対応するパスワードを送信する通常の認証方式では、端末からサーバまでの通信経路上でパスワードが「盗み聞き」 されてしまう可能性があるという弱点があります。
OTPでは、まずサーバが端末に認証文字列の「種」となるランダムな文字列(「チャレンジ」と呼ばれる)を送信。
ユーザは自分しか知らない秘密のパスワードを端末に入力する。 端末に備えられたソフトウェアがサーバから送られてきたチャレンジ文字列とユーザが入力したパスワードを一定の手順に従って演算し、 生成された結果(「レスポンス」と呼ばれる)をサーバに送信。
サーバでは受け取った文字列を検証し、正規のユーザかどうかを調べる。

チャレンジは毎回異なる文字列になるように設定されており、 ユーザが申告したパスワードも毎回異なった文字列としてサーバに送信されます。
このため、万が一通信経路上でサーバと端末のやり取りを盗み聞きされても、同じパスワードは二度と使えないため、 サーバが不正使用されることは有りません。
OTPを実現するソフトウェアとしては、フリーソフトウェアのS/KEYやOPIE、Security Dynamics社のSecurIDなどあります。