OTP (Tek Kullanımlık Parola / OTP Kodu)

Bir OTP (One-Time Password, tek kullanımlık parola — Türkçe'de bazen "OTP kodu" olarak adlandırılır) rastgele oluşturulan ve yalnızca bir oturum veya işlem için geçerli olan, genellikle 4 ila 8 haneli geçici bir sayısal koddur. Kullanıldığında veya süresi dolduğunda (tipik olarak 5 dakika), geçersiz hale gelir — saldırgan onu yeniden oynatsa bile reddedilir.

OTP'nin üç ana türü :
• SMS OTP : imzalayanın telefon numarasına kısa mesaj yoluyla gönderilen kod. Genel halk tarafında en yaygın çünkü uygulama gerekmez. Bilinen güvenlik açıkları : SIM takas, SS7 müdahalesi — bu nedenle SMS OTP gelişmiş imza (AES) için yeterlidir ancak QES için artık kabul edilmez (ANSSI ve ENISA 2020'den beri daha güçlü faktörlere geçmeyi tavsiye eder).
• E-posta OTP : e-posta yoluyla gönderilen kod. Uygulaması daha kolay, ancak alıcının e-posta hesabının güvenliğinin zayıflıklarını içerir. Basit imza (SES) için kabul edilebilir.
• TOTP (Zamana Dayalı OTP) : imzalayanın telefonundaki bir uygulama tarafından yerel olarak oluşturulan kod (Google Authenticator, Authy, 1Password). Kaydolma sırasında paylaşılan gizli anahtar aracılığıyla senkronize edilir. İmza sırasında ağ kanalı yoktur — müdahaleye karşı dirençlidir. RFC 6238 standardı.

OTP ve elektronik imza : gelişmiş elektronik imzada, OTP'nin e-posta veya SMS yoluyla gönderilmesi, imzalanan belge ile imzalayanın kimliği arasında iletişim kanalı (telefon veya e-posta) aracılığıyla doğrulanabilir bir bağlantı oluşturur. OTP, belgenin denetim izine kaydedilir (zaman damgası, IP, kanal tanımlayıcısı) — uyuşmazlık durumunda karşı kullanılabilir bir kanıt.

Certyneo Uygulaması : AES zarflarında Twilio Verify aracılığıyla SMS OTP — imzadan hemen önce tetiklenir, geçerliliği 5 dakika, 3 deneme. Yönetici hesapları için OTP SMS'ye alternatif olarak TOTP mevcuttur. Ayrıca MFA ve güçlü kimlik doğrulama'ya bakın. İmzalayanın kimlik doğrulaması hakkında daha fazla bilgi edinin →