Azərbaycanca
Беларускі
Dansk
Deutsch
Española
Français
Indonesia
Italiana
日本語
Қазақ
Lietuvos
Nederlands
Português
Русский
සිංහල
แบบไทย
Türkçe
Українська
中國人
United State
Afrikaans
Tek seferlik parola (OTP), bir bilgisayar sistemi veya başka bir dijital cihazda bir oturum ya da işlem için geçerli paroladır. OTP 'de geleneksel (statik) parola tabanlı kimlik doğrulamasıyla ilişkili birtakım eksiklikler yoktur. Ayrıca bir dizi uygulama sayesinde OTP, akıllı kart veya bir cep telefonu gibi bir kişide bulunabilecek cihazlara erişim gerektiren veya yalnız o kişinin bilebileceği bir PIN gerektiren iki faktörlü kimlik doğrulama içerir.
OTP'lerin en önemli avantajı, statik parolaların aksine, tekrarlı gönderme saldırısına dayanıklı olmasıdır. Bu demektir ki, daha önce bir serviste oturum açma veya işlem yapma için kullanılan bir OTP'yi kaydetmeyi başaran potansiyel bir davetsiz kullanıcı, o OTP'yi artık geçerli olmayacağı için kötüye kullanamaz. İkinci önemli avantaj, birden fazla sistem için aynı (veya benzer) şifreyi kullanan bir kullanıcının, bunlardan birinin parolasının bir saldırgan tarafından ele geçirilmesi halinde, hepsinde savunmasız hale getirilmemesidir. Bir dizi OTP sistemi ayrıca bir oturumun kolaylıkla önceki oturumda üretilen öngörülemez bilgiler üzerinden taklit etmediğinden veya ele geçirilmediğinden emin olarak saldırı yüzeyini daha da daraltır.
OTP'ler geleneksel parolalara muhtemel ve daha gelişmiş bir alternatif olarak düşünülüyor. Kötü yanı ise, insanlar için ezberlenmesi zor bu yüzden çalışmak için ek teknolojilere ihtiyaç duyar.
OTP'ler nasıl oluşturulur ve dağıtılır
OTP oluşturma algoritmaları genel olarak saldırgan tarafından öngörülmesini zorlaştıran sözde-rassallık veya rassallıktan yararlanır ve ayrıca saldırgan tarafından değerin bulunması için tersini alması mümkün olmayan özet fonksiyonlarını kullanır. Bu şekilde olması saldırganların önceki OTP'leri gözlemleyip kolaylıkla yeni üretilecek OTP'leri öngörmelerinin önüne geçmek için gereklidir. Sağlam OTP algoritmaları detaylarında çok değişiklik gösterir. OTP'lerin üretimiyle ilgili çeşitli yaklaşımlar aşağıda listelenmiştir:
- Kimlik doğrulama sunucusu ile parola sağlayan istemci arasındaki zaman senkronizasyonuna bağlı olarak (OTP'ler sadece kısa bir süre için geçerlidir).
- Yeni bir parola oluşturmak için önceki üretilmiş parolaları temel alan bir matematiksel algoritma kullanarak (OTP'ler etkili bir zincirdir ve önceden tanımlanmış bir sırayla kullanılmalıdır).
- Yeni şifrenin bir meydan okuma (örneğin kimlik doğrulama sunucusu veya işlem detayları tarafından seçilen rastgele bir sayıya) ve / veya bir sayaca dayalı olduğu bir matematiksel algoritma kullanılması.
Kullanıcının bir sonraki OTP'yi kullanmasını sağlamak için farklı yollar da vardır. Bazı sistemler kullanıcının taşıdığı ve OTP'leri üreten ve küçük bir ekran kullanarak gösteren özel elektronik güvenlik belirteçlerini kullanır. Diğer sistemler, kullanıcının cep telefonunda çalışan yazılımlardan oluşur. Ancak, diğer sistemler sunucu tarafında OTP'leri oluşturur ve bunları SMS mesajlaşma gibi bant dışı bir kanal kullanarak kullanıcıya gönderir. Son olarak, bazı sistemlerde, OTP'ler kullanıcının taşıması gereken bir kağıda basılmıştır.
OTP üretme yöntemleri
Zaman senkronlu
Zaman senkronize bir OTP genellikle bir güvenlik aracı görevi gören bir donanımla ilişkilendirilir (Ör: her kullanıcıya bir kerelik bir şifre oluşturan kişisel bir araç verilir.). Aralıklı olarak değişen sayılar gösteren bir LCD ekrana sahip küçük bir hesap makinesi veya anahtarlık gibi görünebilir. Aracın içerisinde özel kimlik doğrulama sunucusundaki saatle senkron olan bir saat vardır. Bu tip OTP sistemlerinde zaman, parola algoritmasının önemli bir parçasıdır, çünkü yeni parola, önceli parola veya gizli parolaya ek olarak şu andaki saate göre belirlenir. Bu araç, tescilli, ücretsiz veya açık- kaynaklı bir yazılım çalıştıran bir cihaz veya bir cep telefonu gibi mobil bir cihaz olabilir. Senkron zamanlı OTP standardına bir örnek olarak “Zaman-tabanlı Bir Kerelik Şifre Algoritması (TOTP)” verilebilir.
Aşağıdaki OTP'yi teslim etme yöntemlerinin tümü algoritmalar yerine zaman senkronizasyonu kullanabilir.
Matematiksel algoritmalar
Her yeni OTP geçmişte kullanılan OTP'lerden oluşturulabilir. Bu tip bir algoritmanın bir örneği, Leslie Lamport' atfen, tek yönlü fonksiyon (f diyelim) kullanıyor. Bu tek seferlik parola sistemi şu şekilde çalışır:
- 1.Bir tohum (başlangıç değeri) s seçilir.
- Bir hash fonksiyonu f(s) uygulanan defalarca (örneğin, 1000 defa) tohuma uygulanır: f(f(f(.... f(s) ....))). Bu değer, bizim f1000(s) olarak adlandırdığımız, hedef sistem üzerinde saklanır.
- Kullanıcının ilk girişi, f'in tohuma 999 kez uygulanması sonucu türetilen bir parola olan p'yi kullanır, bu f999(s)'dir. Hedef sistem bunun doğru şifre olduğunu doğrulayabilir, çünkü f(p), sistemde saklı olan f1000(s) değeridir. Kaydedilen değer daha sonra p ile değiştirilir ve kullanıcının giriş yapmasına izin verilir.
- Sonraki giriş f998(s) ile birlikte olur. Yine, bu doğrulanabilir çünkü bir önceki girişten saklanan değer olan p, f999(s) değerini verir. Yine, yeni değer p yerine geçer ve kullanıcı doğrulanır.
- Bu işlem, her seferinde bir kez daha az f uygulanarak, hash'i alındığında, önceki giriş sırasında saklanan değer ile kontrol edilip doğrulanarak 997 kez daha tekrarlanabilir. Hash fonksiyonları tersi alınması son derece zor olacak şekilde tasarlanmıştır bu yüzden saldırgan olası parolaları hesaplamak için başlangıç s değerini bilmesi gerekir, bilgisayar sistemi, herhangi bir vesileyle şifreyi onaylayabilirken, hash değeri alınmış olduğunda, daha önce giriş için kullanılan değeri verir. Belirsiz bir şifre dizisi istenirse, setin tükenmesinden sonra yeni bir tohum değeri seçilebilir.
Önceki şifrelerden serideki bir sonraki şifreyi elde etmek için, ters fonksiyonu hesaplamanın bir yolunu bulmak gerekir. F tek yönlü olarak seçildiğinden, bu yapmak son derece zordur. Eğer f bir kriptografik hash fonksiyonu ise, genellikle bu durumda öyle olur, (bilindiği kadarıyla) hesaplanması olanaksızdır. Bir seferlik parolayı görme imkânı olan davetsiz kullanıcı, bir süreliğine erişim hakkı elde edebilir ancak bu süre dolduğunda ama işe yaramaz hale gelir bir kere bu dönem sona eriyor. S/KEY tek seferlik parola sistemi ve onun türevi OTP'ler Lamport' un şemasına dayanmaktadır.
Bazı matematiksel algoritma şemalarında, kullanıcının sadece tek seferlik parola göndererek şifreleme anahtarı olarak kullanmak için sunucuyla statik bir anahtarla sağlaması mümkündür.
Meydan okuma-yanıt verme tek seferlik parolalarının kullanımı, kullanıcının bir meydan okumaya yanıt vermesini gerektirir. Örneğin, bu belirtecin içine, belirtecin oluşturduğu değeri girerek yapılabilir. Yinelemeleri önlemek için genellikle ek bir sayaç işin içine katılır böylece birisi aynı meydan okumayı tekrar alsa bile hala farklı bir tek seferlik parolalar ortaya çıkar. Ancak hesaplama genellikle önceki tek seferlik parolayı içermez; her iki algoritmayı kullanmak yerine, genellikle bu veya başka bir algoritma kullanılır. Belirteç temelli OTP'yi teslim yöntemleri, zaman senkronizasyonu yerine bu tip algoritmalardan birini kullanabilir.
OTP teslim yöntemleri
Telefonlar
OTP'lerin dağıtımı için kullanılan yaygın bir teknoloji metin mesajlaşmasıdır. Metin mesajlaşma her yerde bulunan bir iletişim kanalı olduğundan, hemen hemen tüm cep telefonlarında ve metin-konuşma dönüşümünde, herhangi bir mobil veya sabit telefonla, metin mesajlaşmasının düşük maliyetle bütün tüketicilere ulaşmak için büyük bir potansiyeli vardır ancak her OTP için metin mesajlaşma ücreti bazı kullanıcılar tarafından kabul görmez. Metin mesajlaşma üzerinden OTP, birkaç hack grubu bildirdiği üzere dakikalar veya saniyeler içinde başarıyla şifresi çözülebilen bir A5 / x standardı kullanılarak şifrelenebilir. Ayrıca, SS7 yönlendirme protokolü içindeki güvenlik açıkları, ilgili metin mesajlarını saldırganlara yönlendirmek için kullanılabilir ve kullanıldı; 2017'de, Almanya'daki O2 müşterilerinden bazılarının mobil bankacılık hesaplarına erişmek için bu tür bir ihlal kullanıldı. Temmuz 2016'da, ABD NIST, kimlik doğrulama uygulamalarıyla ilgili özel bir yayın taslağı (kılavuz) yayınladı. Burada SMS'in engellenebilir olması nedeniyle 2 aşamalı kimlik doğrulamasında büyük ölçüde kullanılmamasına teşvik etmeye çalışıldı.
Akıllı telefonlarda, tek seferlik parolalar ayrıca doğrudan Authy, Duo ve Google Authenticator gibi özel kimlik doğrulama mobil uygulamaları aracılığıyla ya da mevcut bir uygulamanın bir servisiyle Steam örneğinde olduğu gibi teslim edilebilir. Bu sistemler, SMS ile aynı güvenlik açıklarını paylaşmazlar ve internet tabanlı oldukları için kullanmak için bir mobil ağa gerek duymazlar.
Tescilli belirteçler
EMV Avrupa'daki kredi kartları için bir meydan okuma-yanıt algoritması ("Çip kimlik doğrulama programı") kullanmaya başladı. Diğer taraftan, bilgisayar ağları için erişim kontrolünde, RSA Security'nin SecurID'si bir zaman senkronizasyon türü belirtecin bir örneğidir. Bütün belirteçler gibi, bunlar da kaybolabilir, zarar görebilir veya çalınabilir. Ek olarak, özellikle bir yeniden şarj tesisi olmayan veya değiştirilemeyen bir bataryası olan belirteçler için bataryaların ölmesi gibi bazı zorluklar söz konusudur. 2006'da RSA tarafından tescilli bir belirtecin bir varyantı önerilmiş ve "yaygın kimlik doğrulama" olarak tanımlanmıştır ve burada RSA'nın cep telefonu gibi cihazlara fiziksel SecurID çipleri eklemek için imalatçılarla birlikte çalışacağı söylenmiştir.
Son zamanlarda, düzenli keyfob OTP belirteçleri ile ilişkili elektronik bileşenleri almak ve bunları bir kredi kartı form faktörüne gömmek mümkün olmuştur. Ancak, kartların inceliği, 7.9mm 0,84mm kalınlığında olması, standart bileşenlerin veya pillerin kullanılmasını engel olur. Saat pillerinden daha düşük pil ömrüne sahip özel polimer bazlı piller kullanılmalıdır. Yarı iletken bileşenler sadece çok düz olmakla kalmaz, aynı zamanda bekleme modunda ve kullanım sırasında kullanılan gücü en aza indirir.
Yubico, bir tuşa basıldığında bir OTP oluşturan ve uzun bir şifre girmeyi kolaylaştıran bir klavyeyi taklit eden gömülü bir yonga ile küçük bir USB belirteci sunar. Bu belirteç, bir USB aygıtı olduğundan pil değişimi ile ilgili sıkıntıları ortadan kaldırır.
Bu teknolojinin yeni bir versiyonunda, standart ölçü ve kalınlıkta bir kredi-banka kartına bir tuş takımı yerleştirildi. Kartın üzerinde yerleşik bir tuş takımı, ekran, mikroişlemci ve yakınlık çipi bulunuyor.
Web tabanlı yöntemler
Hizmet olarak kimlik doğrulaması sağlayıcıları, bir belirteçe ihtiyaç duymadan tek seferlik parolaları iletmek için çeşitli web tabanlı yöntemler sunar. Bu tür yöntemlerden birisi, kullanıcının rastgele oluşturulmuş bir resim tablosundan önceden seçilmiş resimleri tanıma kabiliyetine dayanır. Bir websitesine kayıt olurken kullanıcı köpekler, arabalar, tekneler ve çiçekler gibi birkaç kategori seçiyor. Kullanıcı websitesine her giriş yaptığında, rastgele üretilmiş resim alfanümerik karakterlerle temsil edilir. Kullanıcı, önceden seçilmiş kategorilere uyan resimleri arar ve bir kerelik bir erişim kodu oluşturmak için ilişkili alfanümerik karakterleri girer.
Basılı
Bazı ülkelerdeki online bankacılıkta, banka kullanıcıya kağıda basılmış bir numaralı OTP listesi gönderir. Diğer bankalar, OTP'leri göstermek için kullanıcının çizmesi gereken bir katman tarafından gizlenmiş kazınması gereken plastik kartlar gönderir. Her bir online işlem için, kullanıcının o listeden belirli bir OTP'yi girmesi gerekir. Bazı sistemler kullanıcıda bulunan OTP'leri sırayla soracak, bazıları ise girilen OTP'lerden birini rastgele seçecek şekilde oluşturulmuştur. Almanya'da ve Avusturya ve Brezilya gibi diğer birçok ülkede, OTP'ler genellikle TAN ('işlem kimlik doğrulama numaraları' - 'transaction authentication numbers') olarak adlandırılır. Bazı bankalar bu TAN'ları kullanıcının cep telefonuna SMS yoluyla gönderir, bu durumda mTAN olarak adlandırılırlar ('mobil TAN').
Teknolojilerin Karşılaştırılması
OTP uygulamalarının karşılaştırılması
En ucuz OTP çözümleri OTP'lerin basılı olarak kağıtta teslim edilmesi ve OTP'lerin mevcut cihazda ekstradan masraf çıkaracak tescilli elektronik güvenlik belirteçleri ve SMS mesajları kullanılmadan üretilmesidir.
Elektronik belirteçlerle işleyen sistemler için, algoritma tabanlı OTP üreticileri,sistem OTP'nin bir son tarih ile girilmesini gerektiriyorsa, bir belirtecin sunucuyla senkronize edilmediği durumla başa çıkması gerekir bu da ek geliştirme maliyetine yol açar. Diğer yandan, zaman-senkron sistemler, elektronik belirteçlerde bir saat tutmaya (ve saatin kaymasını hesaba katacak bir sapma değerine) sahip olmaktan kaçınmaktadır. OTP'lerin zamanla senkronize edilip edilmeyeceği, güvenlik açığı derecesiyle temelde ilgisizdir fakat bu bir parolanın yeniden girilmesi gerekliliğini belirtecin son veya sıradaki kodu beklediği durumlarda ortadan kaldırır.
Mevcut bir mobil cihazın kullanılması, ek bir OTP üreticinin elde edilmesi ve taşınması ihtiyacını ortadan kaldırır. Pil şarj olabilir; (2011 itibarıyla) çoğu küçük kart cihazlarında şarj edilebilir ya da değiştirilebilir bir pil yok. Ancak, çoğu tescilli belirteç kurcalamaya dayanıklı özelliklere sahip.
OTP' ler ve diğer veri koruma koruma yöntemleri
Tek seferlik parolalar, saldırganların kullanıcıları kandırıp daha önce kullandıkları bir veya daha fazla OTP'yi çaldıkları sosyal mühendislik saldırılarına açıktır. 2005 yılının sonlarında İsveçli bir bankanın müşterileri OTP'lerini vermeleri için kandırıldılar. 2006 yılında bu tür bir saldırı bir ABD bankasının müşterileri için kullanıldı. Zaman senkronlu OTP'ler bile, iki yöntemle kimlik avına (yemleme) karşı savunmasızdır: Eğer saldırgan OTP'nin metnine yeterince hızlı erişebilirse, parolayı asıl kullanıcı olarak hızlıca kullanabilir. Diğer bir yöntem ise, kimlik avcısı bazı bilgileri (şu an geçerli olmayan eski OTP'ler) sosyal mühendislik ile topladıktan sonra onlardan yararlanarak gelecekteki OTP'lerin öngörülmesinde kullanılabilir. Bunun önüne ise OTP sistemlerinde yukarıda belirtildiği gibi hash zinciri uygulanarak geçilebilir. Bir OTP sistemi, OTP authenticator tarafından oluşturulduğunda ve kullanıcıya (muhtemelen bant dışı) iletildiğinde gerçekten rassal OTP'leri kullanabilir; aksi takdirde OTP her parti tarafından bağımsız olarak oluşturulmalı, tekrarlanabilir olmalı dolayısıyla sözde-rassal (pseudo-random) bir algoritma kullanmalıdır.
Her ne kadar OTP'ler statik hafızaya alınmış bir şifreden daha güvenli olsalar da, OTP sistemlerinin kullanıcıları hala ortadaki adam saldırılarına karşı savunmasızdır. OTP'ler bu nedenle herhangi bir üçüncü tarafa açıklanmamalı ve katmanlı bir güvenlikte bir OTP kullanımı tek başına OTP kullanmaktan daha güvenlidir; katmanlı güvenlik uygulamalarının bir yolu, kullanıcı tarafından hatırlanan bir parola ile birlikte bir OTP kullanmaktır. Katmanlı güvenlik uygulamanın bir avantajı, tek oturum açmada ("single sign-on") ana parola ile parola yöneticisi ile birlikte kullanılmasıyla sadece tek katmanlı oturum açmaya göre daha güvenli hale gelir böylece parola yorgunluğunun kullanışsızlığından uzun bir oturum içerisinde açılan yeni oturumlar (yeni bir websitesi, doküman ve uygulamalar) için her birinde parola ile giriş yapmaktan kaçınılabilir. Bununla birlikte, tek bir oturum açma sırasında birçok güvenlik biçiminin tek seferde kullanılmasının dezavantajı, her giriş sırasında daha fazla güvenlik önleminin sakıncasına sahip olmasıdır - bir kişi yalnızca bilgiye erişmek için bilgisayarın kısa bir kullanımı için oturum açmış olsa bile veya bilgisayarın kullanıldığı diğer bazı gizli öğeler kadar güvenlik gerektirmeyen bir uygulama da olsa aynı işlemleri gerçekleştirmek durumundadır.
İlgili teknolojiler
Çoğu zaman, tek seferlik parolalar iki faktörlü kimlik doğrulamanın bir uygulamasıdır (2FA veya T-FA). 2FA, her iki katmana yalnızca bir tür saldırı kullanan biri tarafından tehlikeye atılmasının mümkün olmadığı katmanlı bir güvenlik biçimidir.
Bazı tek oturum açma çözümleri, tek seferlik parolalardan yararlanır.
Tek seferlik parola teknolojisi genellikle bir güvenlik belirteci ile kullanılır.
Standartlaştırma
Birçok OTP teknolojisi patentlidir. Bu, her şirket kendi teknolojisini zorlamaya çalıştığı için, bu alanda standardizasyonu daha da zorlaştırıyor. Ancak standartlar hala var – örneğin, RFC 1760 (S/KEY), [rfc:2289 RFC 1321] (OTP), RFC 4226 (HOTP) ve [rfc:6238 RFC 1108] (TOTP).
Ayrıca bakınız.
- Google Authenticator
- https://en.wikipedia.org/wiki/FreeOTP6 Aralık 2017 tarihinde Wayback Machine sitesinde arşivlendi.
- Initiative For Open Authentication (OATH)
- KYPS (OTP sistemine dayalı tek kullanımlık pedler)
- One-time pad (OTP)
- OTPW
- S/KEY
- Güvenlik Belirteci
- İki faktörlü kimlik doğrulama
Kaynakça
- ^ EOTP – Static Key Transfer 15 Nisan 2018 tarihinde Wayback Machine sitesinde .. Defuse.ca (2012-07-13). Retrieved on 2012-12-21.
- ^ Fontana, John. "NIST blog clarifies SMS deprecation in wake of media tailspin". ZDNet (İngilizce). 15 Temmuz 2017 tarihinde kaynağından . Erişim tarihi: 14 Temmuz 2017.
- ^ Meyer, David. "Time Is Running Out For SMS-Based Login Security Codes". Fortune. 20 Nisan 2018 tarihinde kaynağından . Erişim tarihi: 14 Temmuz 2017.
- ^ Garun, Natt (17 Haziran 2017). "How to set up two-factor authentication on all your online accounts". The Verge. 23 Şubat 2018 tarihinde kaynağından . Erişim tarihi: 14 Temmuz 2017.
- ^ Brandom, Russell (10 Temmuz 2017). "Two-factor authentication is a mess". The Verge. 18 Şubat 2018 tarihinde kaynağından . Erişim tarihi: 14 Temmuz 2017.
- ^ McWhertor, Michael (15 Nisan 2015). "Valve adds two-factor login authentication to Steam mobile app". Polygon. 6 Temmuz 2017 tarihinde kaynağından . Erişim tarihi: 8 Eylül 2015.
- ^ Ericka Chickowski (3 Kasım 2010). "Images Could Change the Authentication Picture". Dark Reading. 10 Kasım 2010 tarihinde kaynağından . Erişim tarihi: 14 Nisan 2018.
- ^ "Confident Technologies Delivers Image-Based, Multifactor Authentication to Strengthen Passwords on Public-Facing Websites". 28 Ekim 2010. 30 Mayıs 2013 tarihinde kaynağından . Erişim tarihi: 14 Nisan 2018.
wikipedia, wiki, viki, vikipedia, oku, kitap, kütüphane, kütübhane, ara, ara bul, bul, herşey, ne arasanız burada,hikayeler, makale, kitaplar, öğren, wiki, bilgi, tarih, yukle, izle, telefon için, turk, türk, türkçe, turkce, nasıl yapılır, ne demek, nasıl, yapmak, yapılır, indir, ücretsiz, ücretsiz indir, bedava, bedava indir, mp3, video, mp4, 3gp, jpg, jpeg, gif, png, resim, müzik, şarkı, film, film, oyun, oyunlar, mobil, cep telefonu, telefon, android, ios, apple, samsung, iphone, xiomi, xiaomi, redmi, honor, oppo, nokia, sonya, mi, pc, web, computer, bilgisayar
Tek seferlik parola OTP bir bilgisayar sistemi veya baska bir dijital cihazda bir oturum ya da islem icin gecerli paroladir OTP de geleneksel statik parola tabanli kimlik dogrulamasiyla iliskili birtakim eksiklikler yoktur Ayrica bir dizi uygulama sayesinde OTP akilli kart veya bir cep telefonu gibi bir kiside bulunabilecek cihazlara erisim gerektiren veya yalniz o kisinin bilebilecegi bir PIN gerektiren iki faktorlu kimlik dogrulama icerir Mastercard SecureCode bir kullanicinin kimligini dogrulamak icin OTAC kullanir OTP lerin en onemli avantaji statik parolalarin aksine tekrarli gonderme saldirisina dayanikli olmasidir Bu demektir ki daha once bir serviste oturum acma veya islem yapma icin kullanilan bir OTP yi kaydetmeyi basaran potansiyel bir davetsiz kullanici o OTP yi artik gecerli olmayacagi icin kotuye kullanamaz Ikinci onemli avantaj birden fazla sistem icin ayni veya benzer sifreyi kullanan bir kullanicinin bunlardan birinin parolasinin bir saldirgan tarafindan ele gecirilmesi halinde hepsinde savunmasiz hale getirilmemesidir Bir dizi OTP sistemi ayrica bir oturumun kolaylikla onceki oturumda uretilen ongorulemez bilgiler uzerinden taklit etmediginden veya ele gecirilmediginden emin olarak saldiri yuzeyini daha da daraltir OTP ler geleneksel parolalara muhtemel ve daha gelismis bir alternatif olarak dusunuluyor Kotu yani ise insanlar icin ezberlenmesi zor bu yuzden calismak icin ek teknolojilere ihtiyac duyar OTP ler nasil olusturulur ve dagitilirOTP olusturma algoritmalari genel olarak saldirgan tarafindan ongorulmesini zorlastiran sozde rassallik veya rassalliktan yararlanir ve ayrica saldirgan tarafindan degerin bulunmasi icin tersini almasi mumkun olmayan ozet fonksiyonlarini kullanir Bu sekilde olmasi saldirganlarin onceki OTP leri gozlemleyip kolaylikla yeni uretilecek OTP leri ongormelerinin onune gecmek icin gereklidir Saglam OTP algoritmalari detaylarinda cok degisiklik gosterir OTP lerin uretimiyle ilgili cesitli yaklasimlar asagida listelenmistir Kimlik dogrulama sunucusu ile parola saglayan istemci arasindakizaman senkronizasyonuna bagliolarak OTP ler sadece kisa bir sure icin gecerlidir Yeni bir parola olusturmak icin onceki uretilmis parolalari temel alan bir matematiksel algoritma kullanarak OTP ler etkili bir zincirdir ve onceden tanimlanmis bir sirayla kullanilmalidir Yeni sifrenin bir meydan okuma ornegin kimlik dogrulama sunucusu veya islem detaylari tarafindan secilen rastgele bir sayiya ve veya bir sayaca dayali oldugu bir matematiksel algoritma kullanilmasi Kullanicinin bir sonraki OTP yi kullanmasini saglamak icin farkli yollar da vardir Bazi sistemler kullanicinin tasidigi ve OTP leri ureten ve kucuk bir ekran kullanarak gosteren ozel elektronik guvenlik belirteclerini kullanir Diger sistemler kullanicinin cep telefonunda calisan yazilimlardan olusur Ancak diger sistemler sunucu tarafinda OTP leri olusturur ve bunlari SMS mesajlasma gibi bant disi bir kanal kullanarak kullaniciya gonderir Son olarak bazi sistemlerde OTP ler kullanicinin tasimasi gereken bir kagida basilmistir OTP uretme yontemleriZaman senkronlu Zaman senkronize bir OTP genellikle bir guvenlik araci gorevi goren bir donanimla iliskilendirilir Or her kullaniciya bir kerelik bir sifre olusturan kisisel bir arac verilir Aralikli olarak degisen sayilar gosteren bir LCD ekrana sahip kucuk bir hesap makinesi veya anahtarlik gibi gorunebilir Aracin icerisinde ozel kimlik dogrulama sunucusundaki saatle senkron olan bir saat vardir Bu tip OTP sistemlerinde zaman parola algoritmasinin onemli bir parcasidir cunku yeni parola onceli parola veya gizli parolaya ek olarak su andaki saate gore belirlenir Bu arac tescilli ucretsiz veya acik kaynakli bir yazilim calistiran bir cihaz veya bir cep telefonu gibi mobil bir cihaz olabilir Senkron zamanli OTP standardina bir ornek olarak Zaman tabanli Bir Kerelik Sifre Algoritmasi TOTP verilebilir Asagidaki OTP yi teslim etme yontemlerinin tumu algoritmalar yerine zaman senkronizasyonu kullanabilir Matematiksel algoritmalar Her yeni OTP gecmiste kullanilan OTP lerden olusturulabilir Bu tip bir algoritmanin bir ornegi Leslie Lamport atfen tek yonlu fonksiyon f diyelim kullaniyor Bu tek seferlik parola sistemi su sekilde calisir 1 Bir tohum baslangic degeri s secilir Bir hash fonksiyonu f s uygulanan defalarca ornegin 1000 defa tohuma uygulanir f f f f s Bu deger bizim f1000 s olarak adlandirdigimiz hedef sistem uzerinde saklanir Kullanicinin ilk girisi f in tohuma 999 kez uygulanmasi sonucu turetilen bir parola olan p yi kullanir bu f999 s dir Hedef sistem bunun dogru sifre oldugunu dogrulayabilir cunku f p sistemde sakli olan f1000 s degeridir Kaydedilen deger daha sonra p ile degistirilir ve kullanicinin giris yapmasina izin verilir Sonraki giris f998 s ile birlikte olur Yine bu dogrulanabilir cunku bir onceki giristen saklanan deger olan p f999 s degerini verir Yine yeni deger p yerine gecer ve kullanici dogrulanir Bu islem her seferinde bir kez daha az f uygulanarak hash i alindiginda onceki giris sirasinda saklanan deger ile kontrol edilip dogrulanarak 997 kez daha tekrarlanabilir Hash fonksiyonlari tersi alinmasi son derece zor olacak sekilde tasarlanmistir bu yuzden saldirgan olasi parolalari hesaplamak icin baslangic s degerini bilmesi gerekir bilgisayar sistemi herhangi bir vesileyle sifreyi onaylayabilirken hash degeri alinmis oldugunda daha once giris icin kullanilan degeri verir Belirsiz bir sifre dizisi istenirse setin tukenmesinden sonra yeni bir tohum degeri secilebilir Onceki sifrelerden serideki bir sonraki sifreyi elde etmek icin ters fonksiyonu hesaplamanin bir yolunu bulmak gerekir F tek yonlu olarak secildiginden bu yapmak son derece zordur Eger f bir kriptografik hash fonksiyonu ise genellikle bu durumda oyle olur bilindigi kadariyla hesaplanmasi olanaksizdir Bir seferlik parolayi gorme imkani olan davetsiz kullanici bir sureligine erisim hakki elde edebilir ancak bu sure doldugunda ama ise yaramaz hale gelir bir kere bu donem sona eriyor S KEY tek seferlik parola sistemi ve onun turevi OTP ler Lamport un semasina dayanmaktadir Bazi matematiksel algoritma semalarinda kullanicinin sadece tek seferlik parola gondererek sifreleme anahtari olarak kullanmak icin sunucuyla statik bir anahtarla saglamasi mumkundur Meydan okuma yanit verme tek seferlik parolalarinin kullanimi kullanicinin bir meydan okumaya yanit vermesini gerektirir Ornegin bu belirtecin icine belirtecin olusturdugu degeri girerek yapilabilir Yinelemeleri onlemek icin genellikle ek bir sayac isin icine katilir boylece birisi ayni meydan okumayi tekrar alsa bile hala farkli bir tek seferlik parolalar ortaya cikar Ancak hesaplama genellikle onceki tek seferlik parolayi icermez her iki algoritmayi kullanmak yerine genellikle bu veya baska bir algoritma kullanilir Belirtec temelli OTP yi teslim yontemleri zaman senkronizasyonu yerine bu tip algoritmalardan birini kullanabilir OTP teslim yontemleriTelefonlar OTP lerin dagitimi icin kullanilan yaygin bir teknoloji metin mesajlasmasidir Metin mesajlasma her yerde bulunan bir iletisim kanali oldugundan hemen hemen tum cep telefonlarinda ve metin konusma donusumunde herhangi bir mobil veya sabit telefonla metin mesajlasmasinin dusuk maliyetle butun tuketicilere ulasmak icin buyuk bir potansiyeli vardir ancak her OTP icin metin mesajlasma ucreti bazi kullanicilar tarafindan kabul gormez Metin mesajlasma uzerinden OTP birkac hack grubu bildirdigi uzere dakikalar veya saniyeler icinde basariyla sifresi cozulebilen bir A5 x standardi kullanilarak sifrelenebilir Ayrica SS7 yonlendirme protokolu icindeki guvenlik aciklari ilgili metin mesajlarini saldirganlara yonlendirmek icin kullanilabilir ve kullanildi 2017 de Almanya daki O2 musterilerinden bazilarinin mobil bankacilik hesaplarina erismek icin bu tur bir ihlal kullanildi Temmuz 2016 da ABD NIST kimlik dogrulama uygulamalariyla ilgili ozel bir yayin taslagi kilavuz yayinladi Burada SMS in engellenebilir olmasi nedeniyle 2 asamali kimlik dogrulamasinda buyuk olcude kullanilmamasina tesvik etmeye calisildi Akilli telefonlarda tek seferlik parolalar ayrica dogrudan Authy Duo ve Google Authenticator gibi ozel kimlik dogrulama mobil uygulamalari araciligiyla ya da mevcut bir uygulamanin bir servisiyle Steam orneginde oldugu gibi teslim edilebilir Bu sistemler SMS ile ayni guvenlik aciklarini paylasmazlar ve internet tabanli olduklari icin kullanmak icin bir mobil aga gerek duymazlar Tescilli belirtecler RSA Kimlik guvenlik belirtecleri EMV Avrupa daki kredi kartlari icin bir meydan okuma yanit algoritmasi Cip kimlik dogrulama programi kullanmaya basladi Diger taraftan bilgisayar aglari icin erisim kontrolunde RSA Security nin SecurID si bir zaman senkronizasyon turu belirtecin bir ornegidir Butun belirtecler gibi bunlar da kaybolabilir zarar gorebilir veya calinabilir Ek olarak ozellikle bir yeniden sarj tesisi olmayan veya degistirilemeyen bir bataryasi olan belirtecler icin bataryalarin olmesi gibi bazi zorluklar soz konusudur 2006 da RSA tarafindan tescilli bir belirtecin bir varyanti onerilmis ve yaygin kimlik dogrulama olarak tanimlanmistir ve burada RSA nin cep telefonu gibi cihazlara fiziksel SecurID cipleri eklemek icin imalatcilarla birlikte calisacagi soylenmistir Son zamanlarda duzenli keyfob OTP belirtecleri ile iliskili elektronik bilesenleri almak ve bunlari bir kredi karti form faktorune gommek mumkun olmustur Ancak kartlarin inceligi 7 9mm 0 84mm kalinliginda olmasi standart bilesenlerin veya pillerin kullanilmasini engel olur Saat pillerinden daha dusuk pil omrune sahip ozel polimer bazli piller kullanilmalidir Yari iletken bilesenler sadece cok duz olmakla kalmaz ayni zamanda bekleme modunda ve kullanim sirasinda kullanilan gucu en aza indirir Yubico bir tusa basildiginda bir OTP olusturan ve uzun bir sifre girmeyi kolaylastiran bir klavyeyi taklit eden gomulu bir yonga ile kucuk bir USB belirteci sunar Bu belirtec bir USB aygiti oldugundan pil degisimi ile ilgili sikintilari ortadan kaldirir Bu teknolojinin yeni bir versiyonunda standart olcu ve kalinlikta bir kredi banka kartina bir tus takimi yerlestirildi Kartin uzerinde yerlesik bir tus takimi ekran mikroislemci ve yakinlik cipi bulunuyor Web tabanli yontemler Hizmet olarak kimlik dogrulamasi saglayicilari bir belirtece ihtiyac duymadan tek seferlik parolalari iletmek icin cesitli web tabanli yontemler sunar Bu tur yontemlerden birisi kullanicinin rastgele olusturulmus bir resim tablosundan onceden secilmis resimleri tanima kabiliyetine dayanir Bir websitesine kayit olurken kullanici kopekler arabalar tekneler ve cicekler gibi birkac kategori seciyor Kullanici websitesine her giris yaptiginda rastgele uretilmis resim alfanumerik karakterlerle temsil edilir Kullanici onceden secilmis kategorilere uyan resimleri arar ve bir kerelik bir erisim kodu olusturmak icin iliskili alfanumerik karakterleri girer Basili Bazi ulkelerdeki online bankacilikta banka kullaniciya kagida basilmis bir numarali OTP listesi gonderir Diger bankalar OTP leri gostermek icin kullanicinin cizmesi gereken bir katman tarafindan gizlenmis kazinmasi gereken plastik kartlar gonderir Her bir online islem icin kullanicinin o listeden belirli bir OTP yi girmesi gerekir Bazi sistemler kullanicida bulunan OTP leri sirayla soracak bazilari ise girilen OTP lerden birini rastgele sececek sekilde olusturulmustur Almanya da ve Avusturya ve Brezilya gibi diger bircok ulkede OTP ler genellikle TAN islem kimlik dogrulama numaralari transaction authentication numbers olarak adlandirilir Bazi bankalar bu TAN lari kullanicinin cep telefonuna SMS yoluyla gonderir bu durumda mTAN olarak adlandirilirlar mobil TAN Teknolojilerin KarsilastirilmasiOTP uygulamalarinin karsilastirilmasi En ucuz OTP cozumleri OTP lerin basili olarak kagitta teslim edilmesi ve OTP lerin mevcut cihazda ekstradan masraf cikaracak tescilli elektronik guvenlik belirtecleri ve SMS mesajlari kullanilmadan uretilmesidir Elektronik belirteclerle isleyen sistemler icin algoritma tabanli OTP ureticileri sistem OTP nin bir son tarih ile girilmesini gerektiriyorsa bir belirtecin sunucuyla senkronize edilmedigi durumla basa cikmasi gerekir bu da ek gelistirme maliyetine yol acar Diger yandan zaman senkron sistemler elektronik belirteclerde bir saat tutmaya ve saatin kaymasini hesaba katacak bir sapma degerine sahip olmaktan kacinmaktadir OTP lerin zamanla senkronize edilip edilmeyecegi guvenlik acigi derecesiyle temelde ilgisizdir fakat bu bir parolanin yeniden girilmesi gerekliligini belirtecin son veya siradaki kodu bekledigi durumlarda ortadan kaldirir Mevcut bir mobil cihazin kullanilmasi ek bir OTP ureticinin elde edilmesi ve tasinmasi ihtiyacini ortadan kaldirir Pil sarj olabilir 2011 itibariyla cogu kucuk kart cihazlarinda sarj edilebilir ya da degistirilebilir bir pil yok Ancak cogu tescilli belirtec kurcalamaya dayanikli ozelliklere sahip OTP ler ve diger veri koruma koruma yontemleri Tek seferlik parolalar saldirganlarin kullanicilari kandirip daha once kullandiklari bir veya daha fazla OTP yi caldiklari sosyal muhendislik saldirilarina aciktir 2005 yilinin sonlarinda Isvecli bir bankanin musterileri OTP lerini vermeleri icin kandirildilar 2006 yilinda bu tur bir saldiri bir ABD bankasinin musterileri icin kullanildi Zaman senkronlu OTP ler bile iki yontemle kimlik avina yemleme karsi savunmasizdir Eger saldirgan OTP nin metnine yeterince hizli erisebilirse parolayi asil kullanici olarak hizlica kullanabilir Diger bir yontem ise kimlik avcisi bazi bilgileri su an gecerli olmayan eski OTP ler sosyal muhendislik ile topladiktan sonra onlardan yararlanarak gelecekteki OTP lerin ongorulmesinde kullanilabilir Bunun onune ise OTP sistemlerinde yukarida belirtildigi gibi hash zinciri uygulanarak gecilebilir Bir OTP sistemi OTP authenticator tarafindan olusturuldugunda ve kullaniciya muhtemelen bant disi iletildiginde gercekten rassal OTP leri kullanabilir aksi takdirde OTP her parti tarafindan bagimsiz olarak olusturulmali tekrarlanabilir olmali dolayisiyla sozde rassal pseudo random bir algoritma kullanmalidir Her ne kadar OTP ler statik hafizaya alinmis bir sifreden daha guvenli olsalar da OTP sistemlerinin kullanicilari hala ortadaki adam saldirilarina karsi savunmasizdir OTP ler bu nedenle herhangi bir ucuncu tarafa aciklanmamali ve katmanli bir guvenlikte bir OTP kullanimi tek basina OTP kullanmaktan daha guvenlidir katmanli guvenlik uygulamalarinin bir yolu kullanici tarafindan hatirlanan bir parola ile birlikte bir OTP kullanmaktir Katmanli guvenlik uygulamanin bir avantaji tek oturum acmada single sign on ana parola ile parola yoneticisi ile birlikte kullanilmasiyla sadece tek katmanli oturum acmaya gore daha guvenli hale gelir boylece parola yorgunlugunun kullanissizligindan uzun bir oturum icerisinde acilan yeni oturumlar yeni bir websitesi dokuman ve uygulamalar icin her birinde parola ile giris yapmaktan kacinilabilir Bununla birlikte tek bir oturum acma sirasinda bircok guvenlik biciminin tek seferde kullanilmasinin dezavantaji her giris sirasinda daha fazla guvenlik onleminin sakincasina sahip olmasidir bir kisi yalnizca bilgiye erismek icin bilgisayarin kisa bir kullanimi icin oturum acmis olsa bile veya bilgisayarin kullanildigi diger bazi gizli ogeler kadar guvenlik gerektirmeyen bir uygulama da olsa ayni islemleri gerceklestirmek durumundadir Ilgili teknolojiler Cogu zaman tek seferlik parolalar iki faktorlu kimlik dogrulamanin bir uygulamasidir 2FA veya T FA 2FA her iki katmana yalnizca bir tur saldiri kullanan biri tarafindan tehlikeye atilmasinin mumkun olmadigi katmanli bir guvenlik bicimidir Bazi tek oturum acma cozumleri tek seferlik parolalardan yararlanir Tek seferlik parola teknolojisi genellikle bir guvenlik belirteci ile kullanilir StandartlastirmaBircok OTP teknolojisi patentlidir Bu her sirket kendi teknolojisini zorlamaya calistigi icin bu alanda standardizasyonu daha da zorlastiriyor Ancak standartlar hala var ornegin RFC 1760 S KEY rfc 2289 RFC 1321 OTP RFC 4226 HOTP ve rfc 6238 RFC 1108 TOTP Ayrica bakiniz Google Authenticator https en wikipedia org wiki FreeOTP6 Aralik 2017 tarihinde Wayback Machine sitesinde arsivlendi Initiative For Open Authentication OATH KYPS OTP sistemine dayali tek kullanimlik pedler One time pad OTP OTPW S KEY Guvenlik Belirteci Iki faktorlu kimlik dogrulamaKaynakca EOTP Static Key Transfer 15 Nisan 2018 tarihinde Wayback Machine sitesinde Defuse ca 2012 07 13 Retrieved on 2012 12 21 Fontana John NIST blog clarifies SMS deprecation in wake of media tailspin ZDNet Ingilizce 15 Temmuz 2017 tarihinde kaynagindan Erisim tarihi 14 Temmuz 2017 Meyer David Time Is Running Out For SMS Based Login Security Codes Fortune 20 Nisan 2018 tarihinde kaynagindan Erisim tarihi 14 Temmuz 2017 Garun Natt 17 Haziran 2017 How to set up two factor authentication on all your online accounts The Verge 23 Subat 2018 tarihinde kaynagindan Erisim tarihi 14 Temmuz 2017 Brandom Russell 10 Temmuz 2017 Two factor authentication is a mess The Verge 18 Subat 2018 tarihinde kaynagindan Erisim tarihi 14 Temmuz 2017 McWhertor Michael 15 Nisan 2015 Valve adds two factor login authentication to Steam mobile app Polygon 6 Temmuz 2017 tarihinde kaynagindan Erisim tarihi 8 Eylul 2015 Ericka Chickowski 3 Kasim 2010 Images Could Change the Authentication Picture Dark Reading 10 Kasim 2010 tarihinde kaynagindan Erisim tarihi 14 Nisan 2018 Confident Technologies Delivers Image Based Multifactor Authentication to Strengthen Passwords on Public Facing Websites 28 Ekim 2010 30 Mayis 2013 tarihinde kaynagindan Erisim tarihi 14 Nisan 2018