HMACベースのワンタイムパスワード

HMAC ベースのワンタイム パスワード( HOTP ) は、HMACに基づいたワンタイム パスワード(OTP) アルゴリズムです。これは、Initiative for Open Authentication (OATH)の基礎となります。

HOTP は、2005 年 12 月に情報IETF RFC  4226 として公開され、アルゴリズムと Java 実装が文書化されました。それ以来、このアルゴリズムは世界中の多くの企業に採用されています (以下を参照)。HOTP アルゴリズムは、無料で利用できるオープン スタンダードです。

HOTP アルゴリズムは、人間が判読可能なパスワードまたは値を対称的に生成し、各パスワードまたは値は 1 回の認証試行にのみ使用される認証方法を提供します。1 回限りの特性は、各カウンター値が 1 回使用されることから直接生じます。

HOTPを使用する予定の当事者は、パラメータ。通常、これらは認証者によって指定され、認証された側によって受け入れられるか受け入れられないかが決まります。

• 暗号ハッシュ方式H (デフォルトはSHA-1 )
• 秘密鍵 K は任意のバイト文字列であり、秘密にしておく必要があります。
• 反復回数をカウントするカウンタC
• HOTP値の長さd（6～10、デフォルトは6、6～8が推奨）

両者は秘密鍵KとカウンターCから導出された HOTP 値を計算します。次に、認証者はローカルで生成された値を認証対象者が提供した値と照合します。

認証者と認証対象者は、互いに独立してカウンターC を増分しますが、後者が前者より先に増加する可能性があるため、再同期プロトコルが賢明です。RFC 4226 では、実際にはそのようなことは要求されていませんが、推奨されています。これは、サイズs のウィンドウを通じて、認証者がカウンターより先に検証を繰り返し試行するだけです。認証者のカウンターは、検証が成功した値より先に進み、認証対象者によるアクションは必要ありません。

HOTP 値の検証は比較的小さいため、ブルート フォース攻撃に対して脆弱であるため、HOTP 値の検証を永続的に制限することが推奨されます。試行が数回失敗したら検証をロックアウトするか、試行が失敗するたびに追加の (直線的に増加する) 遅延が発生するようにすることが推奨されます。

6 桁のコードは、多くのベンダーの独自のハードウェア トークンによって一般的に提供され、dのデフォルト値を通知します。切り捨てにより 31ビットまたは10 進数が抽出されるため、d は最大 10 になり、10 番目の桁は変化が少なくなり、0、1、2 (つまり 0.3 桁) の値になります。 ${\textstyle \log _{10}(2^{31})\approx 9.3}$

検証後、認証者は次の HOTP 値を生成してそれを返すだけで自分自身を認証でき、その後、認証された側は独自の HOTP 値を生成してそれを検証できます。プロセスのこの時点では、カウンターが同期されることが保証されていることに注意してください。

HOTP値は、人間が判読可能な設計出力であり、d桁の 10 進数 (先頭の 0 を省略しない) です。

HOTP 値= HOTP ( K , C ) mod 10 ^d。

つまり、この値はHOTP の最下位 d桁 (10 進数) です。

HOTP は、カウンターCのHMAC (キーKとハッシュ関数Hの下)を切り捨てたものです。

HOTP ( K , C ) = 切り捨て(HMAC _H ( K , C ))、

ここで、カウンターC はビッグエンディアンで使用する必要があります。

切り捨てはまずMACの最下位 4 ビットを取り、それをバイト オフセットiとして使用します。

切り捨て( MAC ) = extract31( MAC , MAC [(19 × 8 + 4):(19 × 8 + 7)]),

ここで「:」は開始ビット番号から終了ビット番号までのビットを抽出するために使用されます。これらのビット番号は0から始まります。上記の式で「19」を使用するのは、ハッシュ関数の出力のサイズに関係しています。SHA-1のデフォルトの場合、出力は次のようになります。20 バイトなので、最後のバイトはバイト 19 (0 起点) になります。

このインデックスi は、ビットi × 8 + 1 から始まるMACの 31 ビットを選択するために使用されます。

extract31( MAC , i ) = MAC [( i ×8+1):( i ×8+4×8−1)].

31ビットは4バイトワードより1ビット短い。したがって、値は符号ビット（最上位ビット）を使用せずにそのようなワード内に置くことができる。これは、負の数に対するモジュラー演算を確実に回避するためである。これには多くの異なる定義と実装がある。^[1]

ハードウェアトークンとソフトウェアトークンは、さまざまなベンダーから提供されています。そのうちのいくつかについては、以下の参考文献を参照してください。OATH HOTPを実装したハードウェアトークンは、独自のアルゴリズムに基づく競合他社よりも大幅に安価になる傾向があります。^[2] 2010年現在、OATH HOTPハードウェアトークンはわずかな価格で購入できます。^[3]一部の製品は、OATH HOTPだけでなく強力なパスワードにも使用できます。^[4]

ソフトウェアトークンは、（ほぼ）すべての主要なモバイル/スマートフォンプラットフォーム（J2ME、^[5] Android、^[6] iPhone、^[7] BlackBerry、^[8] Maemo、^[9] macOS、^[10] Windows Mobile [ ^8]）で利用できます。

2004年と2005年の初期には一部のコンピュータ報道機関から否定的な反応があったものの、^{[11] [12] [13]、 IETFが2005年12月にHOTPを}RFC 4226として採用した後 、様々なベンダーがHOTP互換のトークンや認証ソリューション全体を作り始めました。

2010年にBurton Group（ Gartner, Inc.の一部門）が発行した強力な認証に関する記事「ロードマップ：パスワードをOTP認証に置き換える」^{[2]によると、「ハードウェア}OTPフォームファクタは緩やかな成長を続ける一方、スマートフォンOTPは成長し、時間の経過とともにデフォルトのハードウェアプラットフォームになるとGartnerは予想している。」

• オープン認証の取り組み
• S/キー
• 時間ベースのワンタイムパスワードアルゴリズム(TOTP)

• RFC 4226: HOTP: HMAC ベースのワンタイム パスワード アルゴリズム
• RFC 6238: TOTP: 時間ベースのワンタイムパスワードアルゴリズム
• RFC 6287: OCRA: OATH チャレンジレスポンスアルゴリズム
• オープン認証の取り組み
• RFC 4226 - HOPT アルゴリズムの実装Jupyter Notebookでの Python 実装のステップバイステップ