일회용 비밀번호

일회용 비밀번호(OTP, One-Time Password)는 고정된 비밀번호 대신 무작위로 생성되는 일회용 비밀번호를 이용하는 사용자 인증 방식이다.

개요

일회용 비밀번호는 무작위로 생성되는 난수의 일회용 비밀번호를 이용하는 사용자 인증 방식이다. 보안을 강화하기 위하여 도입한 시스템으로 로그인 할 때마다 일회성 비밀번호를 생성하여 동일한 비밀번호가 반복해서 사용됨으로 발생하는 보안상의 취약점을 극복하기 위해 도입하였다.
주로 금융권에서 온라인 뱅킹(Online Banking) 등의 전자 금융 거래에서 사용되며, 사용자는 일회용 비밀번호를 생성하는 하드웨어인 일회용 비밀번호 생성기(OTP Token)를 이용한다. 별도의 일회용 비밀번호 생성기를 소지해야 하는 불편함 등으로 인해 전자 금융 거래를 제외한 인터넷 등의 광범위한 네트워크에서는 일반적으로 사용되지 않는다. 일회용 비밀번호 생성기는 버튼을 누르면 6자리의 비밀번호가 나오는 방식과 매 1분마다 자동으로 서로 다른 6자리의 비밀번호가 나오는 시간동기 방식 그리고 키패드에 4자리 비밀번호를 입력하면 6자리 비밀번호를 보여주는 방식 등이 있다.

분류

하드웨어

하드웨어형 OTP는 2개로 나누어지는 데, 각각 토큰형과 카드형으로 분류된다.

• 토큰형 : 원래의 OTP는 일회용 비밀번호를 생성할 수 있도록 제작된 OTP 토큰으로 특수 하드웨어 장치나 카드를 사용하는 형태이다.
• 카드형 : 기존 OTP 토큰은 둥글넙적하여 가지고 다니기 힘들다는 단점이 있었다. 이를 개선한 것이 신용카드 모양의 카드형 OTP이다.

소프트웨어

외부와 완전히 독립적인 장치인 OTP 토큰과는 달리 소프트웨어 OTP는 휴대폰이나 PC에 OTP 프로그램을 설치해서 번호를 생성하는 방식을 이용한다.

하이브리드

기존에 사용되던 하드웨어형 OTP는 배터리가 닳으면 사용이 불가능하고 휴대하기에도 까다로운 면이 있었고, 소프트웨어 토큰은 보안이 취약하여 은행 거래에는 부적합하다는 단점이 있었다. 이 문제를 해결하기 위해 하이브리드형 OTP는 이 두가지 시스템을 절충하여 만들어졌고, 실질적으로 하드웨어형과 가까운 방식이다.

이메일

이메일형 OTP는 인터넷뱅킹에서 특정 거래를 하려고 할때 사전에 등록한 이메일로 1회용 비밀번호가 보내지는 방식이다. 주로 일본의 금융기관에서 쓰인다.