OTP (One-Time Password / OTP-koodi)
Määritelmä
Kolme pääasiallista OTP-varianttia:
• OTP SMS : koodi lähetetään tekstiviestillä allekirjoittajan puhelinnumeroon. Yleisintä kuluttajapuolella, koska sovellusta ei tarvita. Tunnetut haavoittuvuudet: SIM-kortin vaihtaminen, SS7-sieppausta — siksi OTP SMS riittää laajennetulle allekirjoitukselle (AES), mutta sitä ei enää hyväksytä QES:lle (ANSSI ja ENISA suosittelevat vuodesta 2020 siirtymistä vahvempiin tekijöihin).
• OTP sähköposti : koodi lähetetään sähköpostilla. Helpompi ottaa käyttöön, mutta periytyy vastaanottajan sähköpostitilin turvallisuuden heikkouksista. Hyväksyttävä yksinkertaiselle allekirjoitukselle (SES).
• TOTP (Time-based OTP) : koodi luodaan paikallisesti sovelluksella allekirjoittajan puhelimessa (Google Authenticator, Authy, 1Password). Synkronoitu jaetun salaisuusavaimen kautta rekisteröinnissä. Ei verkon kautta tapahtuvaa kanavaa allekirjoituksen aikana — vastustaa sieppauksia. Standardi RFC 6238.
OTP ja sähköinen allekirjoitus : laajennetussa sähköisessä allekirjoituksessa OTP:n lähettäminen sähköpostilla tai SMS:llä luo varmennettavan linkin allekirjoitetun asiakirjan ja allekirjoittajan identiteetin välille hänen viestintäkanaviaan (puhelin tai sähköposti) käyttäen. OTP kirjataan asiakirjan auditointipolkuun (aikaleimat, IP, kanavan tunnus) — todiste, jota voidaan käyttää vastalauseissa.
Certyneo-toteutus : OTP SMS Twilio Verifyn kautta AES-kirjekuorissa — laukaistaan juuri ennen allekirjoitusta, kelpoisuus 5 minuuttia, 3 yritystä. TOTP on saatavilla hallinnollisille tileille vaihtoehtona OTP SMS:lle. Katso myös MFA ja vahva todennus. Lue lisää allekirjoittajan todentamisesta →
Usein kysyttyjä kysymyksiä
Mikä on OTP-koodi?
OTP-koodi (One-Time Password) on kertakäyttöinen salasana, joka koostuu yleensä 4—8 numerosta ja lähetetään SMS:llä tai sähköpostilla herkkään toimintoon. Se on voimassa vain muutaman minuutin ajan eikä sitä voi käyttää kuin kerran: vaikka se siepattaisiin käytön jälkeen, se on hyödytön. Se on yleisin tapa varmistaa, että henkilö todella hallitsee puhelinaan tai sähköpostilaatikkoaan.
Mihin OTP-koodi palvelee elektronisessa allekirjoituksessa?
OTP-koodi sitoo allekirjoitustoiminnon tunnistettuun henkilöön: allekirjoitushetkellä allekirjoittaja saa SMS:llä tai sähköpostilla kertakäyttöisen koodin ja hänen on syötettävä se allekirjoituksen vahvistamiseksi. Tämä tarkistus on edistyneen elektronisen allekirjoituksen (AES) vaatima vahva todentaminen eIDAS-asetuksen mukaisesti. Certyneolla koodin syöttäminen on aikaleimitettu ja kirjattu auditointi raidalle, mikä vahvistaa allekirjoitetun asiakirjan todistusvoimaa.
Kuinka vastaanottaa OTP-koodi ja mitä tehdä, jos se ei saavu?
OTP-koodi lähetetään automaattisesti SMS:llä matkapuhelinnumeroon tai sähköpostilla ilmoitettuun osoitteeseen allekirjoittajalle. Jos se ei saavu: tarkista syötetty numero tai osoite, odota minuutin tai kaksi (SMS:t voivat viivästyä ruuhka-aikoina), tarkista roskapostikansio OTP-sähköpostille ja pyydä sitten uudelleenlähettämistä. Vanhentunut koodi ei ole koskaan uudelleenkäytettävissä — uudelleenlähettäminen luo aina uuden koodin.
Mitä eroa on OTP:n, TOTP:n ja MFA:n välillä?
OTP on kertakäyttöinen koodi itsessään riippumatta sen lähettämisen kanavasta (SMS, sähköposti). TOTP (Time-based OTP) on sen muunnelma, jonka todennussovellusohjelma luo paikallisesti ja joka uusiutuu 30 sekunnin välein ilman verkkoyhteyttä. MFA (monitekijäinen todentaminen) on kokonaisstrategia, joka yhdistää useita tekijöitä — salasana, OTP, biometria — identiteetin varmistamiseksi: OTP on siis yksi mahdollisista MFA:n osatekijöistä.
Onko SMS-OTP riittävän turvallinen asiakirjan allekirjoittamiseen?
Kyllä suurimmalle osalle sopimuksellisista käyttötarkoituksista: SMS-OTP toteuttaa allekirjoittajan yksinomaisuuden hänen puhelimeensa nähden ja kuuluu todisteiden kokonaisuuteen (sähköposti, aikaleima, valvontaketju, asiakirjan sormenjälki). Hyvin arkaluontoisissa asiakirjoissa pätevä allekirjoitus (QES) henkilöllisyyden tarkistuksella on suositeltu taso.
Liittyvät oppaat
Aiheeseen liittyvät termit
Valmis soveltamaan näitä käsitteitä käytäntöön?
Certyneon avulla voit luoda eIDAS-yhteensopivia allekirjoituskuoria muutamalla klikkauksella, ilman asennusta.