OTPPW について

OTPWは、Markus KuhnによってUnix系オペレーティングシステムの認証用に開発されたワンタイムパスワードシステムです。^[1]ユーザーの実際のパスワードは、ネットワークを介して直接送信されるわけではありません。代わりに、短い文字セット（定数シークレット）とワンタイムトークンのセットから、一連のワンタイムパスワードが作成されます。各使い捨てパスワードは1回しか使用できないため、パスワードスニファやキーロガーによって傍受されたパスワードは、攻撃者にとって役に立ちません。

OTPW は、 UnixおよびLinux (プラグ可能な認証モジュール経由)、OpenBSD、NetBSD、FreeBSDでサポートされており、汎用のオープンソース実装を使用して他のシステムでも使用できます。

OTPW は、他のワンタイム パスワード システムと同様に、単独で使用すると中間者攻撃に対して脆弱です。これは、たとえば、サーバーを認証し、クライアントとサーバー間のポイントツーポイント セキュリティを提供するSSL、 SPKM または同様のセキュリティ プロトコルを「その下」に 配置することで解決できます。

S/KEYとは異なり、OTPW は、すべてのワンタイム パスワードがその後継パスワードの一方向ハッシュ値であるLamportの方式に基づいていません。Lamport の方式に基づくパスワード リストには、攻撃者がリストの最後のパスワードの 1 つを見ることができれば、それ以前のすべてのパスワードをそこから計算できるという問題があります。また、ホストに秘密のファイルがないようにするため、 Aviel D. Rubin がIndependent One-Time Passwordsで提案したように、暗号化されたパスワードを保存しません。

OTPW では、すべてのパスワードの一方向ハッシュ値が、ユーザーのホーム ディレクトリ内の、広く読み取り可能なファイルに保存されます。たとえば、300 個のパスワード (一般的なA4 ページ) のハッシュ値には、4 キロバイトの長さの.otpwファイルのみが必要で、通常は無視できるほどのストレージ容量 しか必要ありません。

パスワードは、慎重に生成された乱数です。乱数ジェネレーターは、 R​​IPEMD-160セキュアハッシュ関数に基づいており、さまざまなシェルコマンドの出力をハッシュすることでシードされます。これらは、システム乱数シード、重要なシステム ファイルへのアクセス時間、ホストの使用履歴などの形で予測不可能性を提供します。ランダム状態は、ハッシュ関数の 160 ビット出力です。ランダム状態は、古い状態と現在の高解像度タイマー出力を連結し、結果を再度ハッシュすることで、使用ごとに反復されます。ハッシュ出力の最初の 72 ビットは、読み取り可能なパスワードを生成するために修正されたbase64スキームでエンコードされ、残りの 88 ビットは、乱数ジェネレーターの非公開の内部状態を表します。

多くのフォントでは、文字0とOまたは1とlとIを区別することが難しいため、修正された base64 エンコーディングでは、01l の3 つの文字を対応する:、=、%に置き換えます。たとえば、ユーザーがゼロを大文字の O と混同した場合、パスワード検証ルーチンが自動的にこれを修正します。S/KEY は、短い英語の単語のシーケンスをパスワードとして使用します。 OTPW は、代わりにデフォルトで base64 エンコーディングを使用します。これにより、同じパスワードエントロピーで、1 ページに印刷できるパスワードの数が増えるためです。 さらに、平均的な人間のスパイは、12 文字のランダムな文字列を短期記憶に書き込むのに 30 秒以上かかります。これにより、攻撃者がパスワード リストを短時間見るのに対して優れた保護が提供されます。 一方、短い単語のリストは、記憶するのがはるかに高速です。 OTPW は、パスワードの長さが固定されている限り、任意のパスワード生成アルゴリズムを処理できます。現在のバージョンでは、otpw-genプログラムは、ユーザーが指定したエントロピー (オプション -e) を使用して、base-64 エンコード (オプション -p) と 4 文字の単語エンコード (オプション -p1) の両方のパスワードを生成できます。

プレフィックス パスワードにより、パスワード リストを盗んだり、回線を盗聴したりしても、不正アクセスは不可能になります。確かに、OTPW によって得られるセキュリティは、ユーザーが PIN で保護された特殊な計算機を使用して応答を生成するチャレンジ レスポンスシステムとは比較になりません。一方、紙は特殊な計算機よりもはるかに持ち運びやすく、堅牢で、はるかに安価です。OTPW は、追加のバッテリー駆動デバイスが不便であったり、費用対効果が悪く、そのためどこでも通常の Unix パスワードを使用している大規模なユーザー ベース向けに設計されています。

RFC 1938 の提案とは対照的に、OTPW は一度に 1 つ以上のワンタイム パスワードをロックしません。 ロックすると、攻撃者はロック解除されたパスワードのリストを簡単に使い果たし、ログインを一切行わないようにするか、通常の Unix ログイン パスワードを使用するように強制できます。 したがって、OTPW は 1 つのパスワードのみをロックし、それ以降のログインには 3 回のチャレンジを発行します。 100 を超える未使用のパスワードが残っている場合、100 万を超える異なるチャレンジが存在することになり、許可されたユーザーがパスワード入力を完了するまでに、攻撃者がレース攻撃を成功させる可能性はほとんどありません。

OTPW パッケージによるワンタイム パスワード認証は、ユーザーのホーム ディレクトリにある.otpwファイルを介して実行されます。システム全体のファイルには状態が保存されないため、OTPW は新しいsetuidルート プログラムを導入しません。ユーザーのホーム ディレクトリに.otpwがない限り、ワンタイム パスワード機能はアクティブ化されません。

ワンタイム パスワード機能を設定したいユーザーは、 otpw-genプログラムを実行するだけです。プログラムはプレフィックス パスワードを要求し、パスワード リストを標準出力に書き込みます。選択したプレフィックス パスワードは記憶され、パスワード リストはフォーマットして印刷できます。

ワンタイムパスワード認証が使用されている場合、パスワードプロンプトの後に 3 桁のパスワード番号が表示されます。最初にotpw-genに与えられたプレフィックスパスワードを入力し、その後に (途中でリターンキーを押さずに) 印刷されたパスワードリストから要求された番号のパスワードを入力します。

  ログイン: kuhn
  パスワード019: geHeimOdAkH62c

この例では、geHeim がプレフィックス パスワードでした。

巧妙な攻撃者は、パスワードの入力を観察し、ユーザーがパスワードを入力し終えるよりもコンピューターがデータを送信できるという事実を利用しようとするかもしれません。ユーザーが最後の文字の後にリターン キーを押す必要がある数百ミリ秒の間に、攻撃者は同じマシンへの並列接続で、ユーザーよりも速くリターン キーのコードを送信できます。

このような最後のキーをめぐる競争攻撃を防ぐために、別の試行と同時に行われるログイン試行では、3 つのワンタイム パスワードを入力する必要があります。これらのパスワードはいずれも、同時認証試行によってロックされるパスワードではありません。

  ログイン: kuhn
  パスワード 022/000/004: geHeimQ=XK4I7wIZdBbqyHA5z9japt

• OPIE認証システム
• ワンタイムパスワード
• ワンタイムパッド
• S/キー

• 「OTPWホーム」。
• Haller, Neil; Metz, Craig; Nesser, Philip J.; Straw, Mike (1998 年 2 月)。ワンタイム パスワード システム。IETF。doi : 10.17487 /RFC2289。STD 61。RFC 2289。2009年10 月 24日取得。