OTP 일회용 비밀번호

OTP는 정해진 검증 과정에서 한 번의 인증에 사용하도록 생성하는 일회용 비밀번호입니다.

공유한 비밀과 시간 또는 계수기 값을 이용해 짧은 코드를 만듭니다. 서버는 허용 범위를 검증하고 같은 코드의 재사용과 과도한 입력을 제한해야 합니다.

인증 앱에 표시된 시간 기반 코드를 로그인 화면에 입력하는 경우가 대표적인 사용 예입니다.

HOTP는 계수기, TOTP는 시간 간격을 바탕으로 합니다. 전송받는 문자 코드와 앱에서 계산하는 코드는 전달과 생성 구조가 다르며 모든 OTP가 같은 수준의 보호를 제공하지는 않습니다.

공격자가 실시간으로 코드를 가로채 전달할 수 있으므로 일회용이라는 말이 피싱 방지를 뜻하지는 않습니다. 등록 비밀과 복구 코드를 외부에 공유하지 않아야 합니다.

이 절의 용어: HOTP / HMAC-Based One-Time Password / 계수기 기반 일회용 비밀번호

HOTP는 공유 비밀과 증가하는 계수기를 이용해 코드를 만드는 방식입니다. 시간 대신 사용 순서가 중요하며 서버와 인증 수단의 계수기 차이를 제한된 범위에서 처리합니다. 재사용 차단, 시도 제한과 재동기화 조건을 갖춰야 합니다.

이 절의 용어: TOTP / Time-Based One-Time Password / 시간 기반 일회용 비밀번호

TOTP는 HOTP의 입력에 시간 구간을 활용해 코드를 만드는 방식입니다. 인증 앱과 서버의 시간 차이에 따라 유효 범위를 제한적으로 허용할 수 있습니다. 짧은 수명의 코드라도 실시간 피싱 중계가 가능하므로 피싱 저항성 인증과 같다고 보지 않습니다.