סיסמה חד-פעמית

בקריפטוגרפיה ובאבטחת מידע, סיסמה חד-פעמית, או בקיצור OTP‏ (One-Time Password), היא סיסמה שמשתמשים בה לצורך אימות אחד בלבד ולאחר מכן משמידים אותה. בגלל השימוש החד-פעמי, מערכת כזו מספקת מה שקרוי "אימות חזק" והיא עמידה בפני התקפת שידור חוזר (replay attack). מצותת פסיבי שמאזין לרשת התקשורת, מיירט סיסמאות ומנסה להשתמש בהן מאוחר יותר כדי להתחזות למישהו אחר, לא יוכל לעשות זאת כי הסיסמאות אינן בתוקף מיד לאחר השימוש הראשוני בהן.

ישנן כמה דרכים לניהול מערכת סיסמה חד-פעמית. דרך אחת היא שהשרת והלקוח מחזיקים ברשימת סיסמאות זהה ובכל פעם שהלקוח צריך לאמת את זהותו מול השרת הוא משתמש בסיסמה הבאה ברשימה, מסמן אותה לאחר השימוש בה ואינו חוזר להשתמש בה שוב. כאשר הרשימה מנוצלת עד תומה, מכינים רשימה חדשה ומתחילים מהתחלה. דרך אחרת היא לייצר את הסיסמה החד-פעמית באופן רקורסיבי מתוך סיסמה ראשונית המשותפת לשרת והלקוח עם פונקציה חד-כיוונית בטוחה כמו פונקציית גיבוב. כדי לייצר את רשימת הסיסמאות אפשר להפעיל מחולל פסאודו-אקראי. היתרון בזה שהסיסמאות הן בלתי תלויות הדדית. מערכת כזו כוללת בדרך כלל אלגוריתם להכנת סיסמאות ומנגנון לתיאום בין השרת והלקוח המסתמך על מונה כלשהו שמנוהל במקביל או חותם זמן כדי למנוע שימוש חוזר. חותם הזמן גם מקל על האילוץ של שימוש מידי בסיסמה. כאשר חותם הזמן מאפשר חלון זמנים לניצול יחיד, או למספר ניצולים, עד התפוגה, הכינוי הוא TOTP‏ (Time based One-Time Password).

רקע

שיטת אימות באמצעות סיסמה קבועה מספקת הגנה חלשה מאוד מפני התחזות. זאת מכמה סיבות: ראשית, משתמשים נוטים בדרך כלל לבחור סיסמאות קלות לניחוש, מה שמקל מאוד על האקרים לבצע התקפת מילון למשל, ברשימת הסיסמאות הגרועות ביותר לשנת 2015^[1] עדיין מככבת במקום הראשון הסיסמה "123456"^[2]. שנית, במהלך האימות המשתמש חייב לשדר את הסיסמה (או את ערך הגיבוב שלה) במצב קריא, כך שהיא חשופה לציתות, מה שמסייע להאקרים לבצע מה שנקרא "התקפת שידור חוזר" (replay attack). בהתקפה כזו המתקיף פשוט מקליט את הסיסמה ששודרה באמצעות רחרחן ומשתמש בה מאוחר יותר כדי להתחזות לבעל הסיסמה.

קיימות דרכים להתמודד עם הבעיות שהוזכרו. למשל, שרתים בדרך כלל מנסים לאכוף "כללי סיסמה" על מנת למנוע ממשתמש לבחור סיסמה חלשה, וכן דורשים פרט מידע נוסף כגון כתובת דואר אלקטרוני וכדומה, מה שקרוי אימות דו-שלבי או אימות רב-שלבי (MFA). או מעבר לאימות חזק יותר באמצעות פרוטוקול אתגר מענה. סיסמה חד-פעמית הוצעה לראשונה על ידי לזלי למפורט ב-1981^[3] והיא טובה משיטת סיסמה קבועה אך חלשה יותר לעומת פרוטוקול אתגר מענה.

מכשיר אימות SecureID של חברת RSA

כיום, שרתים נוטים לעבור לשיטות אימות חזקות יותר שהן גרסאות של פרוטוקול אתגר מענה (בדומה לשיטת האימות של GSM) או סיסמה חד-פעמית כמו S/KEY. משנת 2011 הציעה גוגל ללקוחותיה להשתמש בטכנולוגית אימות דו-שלבי עם אפליקציה הנקראת מאמת גוגל (Google Authenticator) (אנ') המשתמשת בסיסמה חד-פעמית^[4]. מיקרוסופט מציעה שירות דומה Microsoft Authenticator^[5] הכולל אימות דו שלבי עם אפשרות להתקנת אפליקציה המכילה קוד אימות חד-פעמי.

חברות רבות מייצרות טכנולוגיות אימות המבוססות על סיסמה חד-פעמית כמו חברת HID או חברת RSA. הטכנולוגיות מתחלקות לשני סוגים עיקריים, בקרת גישה פיזית ובקרת גישה לוגית. בקרת גישה פיזית היא בדרך כלל מכשיר אלקטרוני קטן (חסין מגע) שנקרא אסימון אבטחה (Security token) המייצר קוד אימות חד-פעמי כמתואר בתרשים משמאל. בקרת גישה לוגית מבצעת פעולה דומה אך בתוכנה או אפליקציה, ההבחנה אינה מדויקת כי גם מכשיר אימות נשלט בדרך כלל באמצעות תוכנה.

וריאציות של פרוטוקול סיסמה חד-פעמית

ניהול פרוטוקול סיסמה חד-פעמית (OTP) אפשרי בכמה צורות:

1. 

   רשימה מודפסת של סיסמאות חד פעמיות

   רשימה משותפת. השרת והלקוח מחזיקים ברשימה תואמת של סיסמאות חד-פעמיות וכן מחזיקים במונה משותף, הסיסמאות מנוצלות באופן סדרתי והמונה מקודם לאחר כל אימות.
2. סיסמה חד-פעמית מוצפנת. תחילה השרת והלקוח משתפים ביניהם סיסמה ראשונית ואז בכל אימות הלקוח שולח לשרת סיסמה חדשה כשהיא מוצפנת באמצעות צופן סימטרי כלשהו כאשר את מפתח ההצפנה הוא מפיק מהסיסמה הקודמת.
3. סיסמה מבוססת פונקציה חד-כיוונית. השיטה שהוצעה על ידי למפורט בה השרת והלקוח מתחילים מסיסמה ראשונית ואז בכל אימות הלקוח והשרת מייצרים במקביל את הסיסמה הבאה על ידי פונקציה חד-כיוונית זהה. הפונקציה החד-כיוונית יכולה להיות פונקציית גיבוב.
4. סיסמה חד-פעמית מבוססת מחולל אקראי. פרוטוקול OTWP הוא רשימה של סיסמאות חד-פעמיות בלתי תלויות, המופקת מגרעין התחלתי סודי המשותף לשרת והלקוח. את הסיסמאות מייצרים על ידי מחולל פסאודו אקראי בטוח ואת הרשימה אפשר להדפיס במדפסת או לאחסן בקובץ.

חתימה חד-פעמית של למפורט

הלקוח והשרת מתחילים עם סוד משותף ${\displaystyle w}$ הידוע רק להם וכן פונקציה חד-כיוונית (OWF) המסומנת ${\displaystyle H}$ המשמשת להכנת רקורסיבית של הסדרה ${\displaystyle w,H(w),H(H(w)),...,H^{t}(w)}$. כך הסיסמה ה-${\displaystyle i}$ מוגדרת על ידי ${\displaystyle w_{i}=H^{t-i}(w)}$ כאשר ${\displaystyle t}$ הוא קבוע המגודר מראש המייצג את מספר הסיסמאות המקסימלי שמותר לייצר מסיסמה אחת. כאשר מגיעים ל-${\displaystyle t}$ סיסמאות מתחילים עם סוד משותף חדש.

הפרוטוקול פועל כדלהלן:

1. הכנה.
   1. תחילה הלקוח בוחר סוד אקראי ${\displaystyle w}$.
   2. בוחר קבוע ${\displaystyle t}$ כלשהו כגון ${\displaystyle t=1000}$.
   3. בוחר מונה ${\displaystyle i=1}$.
   4. שולח לשרת באופן בטוח את הסוד המשותף ${\displaystyle w_{0}=H(w)}$.
   5. משמיד את ${\displaystyle w}$.
   6. כאשר השרת מקבל את ${\displaystyle w_{0}}$ השרת מאתחל מונה מקומי ${\displaystyle j=1}$ ושומר במסד הנתונים ברשומה המתאימה ללקוח הזה את ${\displaystyle w_{0}}$ יחד עם ${\displaystyle j}$.
2. צד לקוח. בכל בקשת אימות מתבצעים המהלכים הבאים:
   1. הלקוח שולח לשרת את ${\displaystyle i}$.
   2. וכן שולח את ${\displaystyle w_{i}=H^{t-i}(w)}$.
   3. הלקוח מקדם את המונה ${\displaystyle i=i+1}$.
3. צד שרת. בכל אימות מתבצעים המהלכים הבאים:
   1. השרת מוודא תחילה ש-${\displaystyle i=j}$ אם לא הוא דוחה את בקשת ההתחברות.
   2. מוודא שמתקיים ${\displaystyle H(w_{i})=w_{i-1}}$. אם כן הוא מקבל את זהות הלקוח.
   3. השרת מקדם את המונה: ${\displaystyle j=j+1}$.

צריך לזכור שסיסמה חד-פעמית אינה בטוחה לגמרי מסיבה שעדיין קיים חשש שהאקר יצליח לפרוץ למערכת ולגנוב סיסמאות חד-פעמיות שטרם השתמשו בהן. אם מניחים שניתן לאחסן סיסמאות מוצפנות בצד השרת אפשר לבצע אלטרנטיבה כזו: השרת והלקוח מתחילים בסוד משותף ${\displaystyle P}$ ובכל בקשת אימות הלקוח תחילה בוחר מספר חד-פעמי ${\displaystyle r}$ ושולח לשרת את ${\displaystyle r}$ ואת ${\displaystyle H(r\ \|\ P)}$. השרת מוודא את זהות הלקוח על ידי חישוב הפונקציה ${\displaystyle H}$ של עותק הסיסמה הסודית ${\displaystyle P}$ השמור אצלו יחד עם ${\displaystyle r}$ ומשווה את תוצאות הגיבוב לעומת מה שקיבל. כדי למנוע התקפת שידור חוזר רצוי ש-${\displaystyle r}$ יהיה חד פעמי לדוגמה מספר סידורי או חותם זמן. החסרון העיקרי של סיסמת למפורט הוא שכל סיסמה תלויה בסיסמה קודמת. מסיבה זו אם המתקיף יצליח לנחש סיסמה אחת, כל הסיסמאות הבאות אחריה אינן בטוחות לשימוש.

אבטחה

בדומה לסיסמאות רגילות, גם סיסמאות חד פעמיות פגיעות להתקפות הנדסה חברתית שבהן משתמשים בדיוג כגי לגנוב סיסמאות רגילות או חד פעמיות. כמו כן, כמו סיסמאות רגילות, גם סיסמאות חד פעמיות פגיעות להתקפות man-in-the-middle, ולכן חשוב מאד לתקשר אותן באמצעות ערוץ תקשורת מאובטח.

סיסמאות חד פעמיות שלא משתמשות בסנכרון זמן או רכיב תגובה לאתגר, כמו למשל רשימות מודפסות של סיסמאות חד פעמיות, יהיו בהכרח פגיעות לאורך תקופה ארוכה. מתקפת דיוג כזו בוצעה בסוף שנת 2005 על לקוחות של בנק אינטרנט שוודי. הלקוחות קיבלו אימייל ובו נדרשו לספק לאתר התוקף את פרטי חשבון הבנק שלהם ואת הסיסמה החד פעמית הבאה ברשימת הסיסמאות החד פעמיות הפרטית שלהם. ^[6]

העובדה ששני סוגי הסיסמאות פגיעים להתקפות דומות הייתה מניע מרכזי בפיתוח אימות רב שלבי שנועד להיות עמיד יותר בפני התקפות דיוג.

תקנים

בגלל שטכנולוגיות סיסמה חד-פעמית רבות מוגנות בפטנטים קשה למצוא תקנים בתחום זה. בכל זאת קיימים מספר תקנים ידועים ביניהם:

• RFC 1760 S/KEY
• RFC 2289 OTP
• RFC 4226 HOTP המבוססת על קוד אימות מסרים HMAC.
• RFC 6238 TOTP, הרחבה של HOTP המבוססת על HMAC וכוללת חותם זמן.

ראו גם

• סיסמה

הערות שוליים

1. You Wouldn't Believe that Too Many People Still Use Terrible Passwords
2. Worst Passwords List
3. L. Lamport, “Password Authentication with Insecure Communication”, Communications of the ACM 24.11 (November 1981), pp 770-772.
4. Google Is Making Your Account Vastly More Secure With Two-Step Authentication
5. Microsoft Authenticator
6. Phishing attack targets one-time passwords, The Register, ‏12 באוקטובר 2005