OTP（ワンタイムパスワード/OTPコード）
定義
3つの主なOTPバリアント：
• OTP SMS：署名者の電話番号にテキストメッセージで送信されるコード。アプリケーションが不要なため、一般向けで最も一般的です。既知の脆弱性：SIM スワップ、SS7傍受—これはアドバンス署名（AES）ではOTP SMSで十分ですが、QESでは受け入れられなくなっています（ANSSIおよびENISAは2020年以降、より強力な要素への切り替えを推奨しています）。
• メールOTP：メールで送信されるコード。実装が容易ですが、受信者のメールアカウントのセキュリティの弱点を継承します。シンプル署名（SES）では受け入れ可能です。
• TOTP（Time-based OTP）：署名者の電話上のアプリケーション（Google Authenticator、Authy、1Password）によってローカルに生成されるコード。登録時に共有された秘密鍵を通じて同期されます。署名時のネットワークチャネルなし—傍受に耐性があります。標準RFC 6238。
OTPと電子署名：アドバンス電子署名では、メールまたはSMSでOTPを送信することは、確認可能なリンクを署名付きドキュメントと署名者の身元（電話またはメール経由の通信チャネル）の間に作成します。OTPは、ドキュメント監査証跡に記録されます（タイムスタンプ、IP、チャネル識別子）—異議が発生した場合の対抗証拠。
Certyneo実装：Twilio VerifyによるOTP SMSはAESエンベロープで使用されます—署名直前にトリガーされ、有効期間5分、3回まで試行可能。TOTPは管理者アカウントで利用可能で、OTP SMSの代替として使用できます。MFAおよび強力な認証も参照してください。署名者認証について詳しく知る→
よくある質問
OTPコードとは何ですか？
OTPコード（One-Time Password）は一回限りのパスワードであり、通常は4～8桁の数字で構成され、機密操作の際にSMSまたはメールで送信されます。これは数分間のみ有効で、1回のみ使用できます。使用後に傍受されたとしても、使用不可になります。これは、ユーザーが実際に自分の携帯電話またはメールボックスにアクセスしていることを確認する最も広く使われているメカニズムです。
電子署名におけるOTPコードの役割は何ですか？
OTPコードは署名行為を特定された個人に関連付けます。署名時に、署名者はSMSまたはメールで一回限りのコードを受け取り、署名を検証するためにそれを入力する必要があります。この検証は、eIDAS規則の意味での高度な電子署名（AES）に要求される強力な認証を構成します。Certyneoでは、コードの入力は時刻が記録され、監査証跡に記録されるため、署名された文書の証拠価値が強化されます。
OTPコードを受け取る方法と、到着しない場合はどうすればよいですか？
OTPコードは署名者について記載されている携帯電話番号にSMSで、または記載されているメールアドレスにメールで自動的に送信されます。到着しない場合は、入力された番号またはアドレスを確認し、1～2分待機してください（SMSはピーク時間に遅延することがあります）。メールOTPの場合はスパムフォルダを確認してから、再送を依頼してください。有効期限切れコードは決して再利用できません。再送は常に新しいコードを生成します。
OTP、TOTP、MFAの違いは何ですか？
OTPは、その送信チャネル（SMS、メール）に関わらず、ワンタイムコード自体です。TOTP（時間ベースのOTP）はその変種で、認証アプリケーションによってローカルに生成され、ネットワークなしで30秒ごとに更新されます。MFA（多要素認証）は、複数の要素（パスワード、OTP、生体認証）を組み合わせて身元を確認する全体戦略です。したがって、OTPはMFAの可能な構成要素の1つです。
SMS OTPはドキュメントに署名するのに十分にセキュアですか？
契約上の用途の大多数に関してはそうです。SMS OTPは署名者の携帯電話に対する独占的な管理を具体化し、証拠の集合体（メール、タイムスタンプ、監査ログ、ドキュメントのハッシュ値）の一部となります。SIMスワップなどの残存リスクを低減するために、Certyneo は高度な署名のためにメールとSMSの両方によるOTPを組み合わせています。最も機密性の高い行為については、身元確認を伴う適格署名（QES）が推奨レベルのままです。