Одноразовый пароль (OTP)
Одноразовый пароль (OTP) — код, который действует для одного входа или одной операции и сгорает после использования или по истечении срока. Украденный экземпляр нельзя применить повторно.
Какие бывают одноразовые пароли
Общее у всех видов одно: код нельзя использовать дважды, поэтому подсмотренный или украденный пароль прошлого входа бесполезен. Различается источник. Код может создать сервер и прислать вам, может посчитаться у вас и у сервера независимо или быть напечатан заранее.
| Вид | Откуда берётся код | Как ограничен | Слабое место |
|---|---|---|---|
| SMS или голосовой звонок | Сервер создаёт код и отправляет через оператора связи | Обычно живёт несколько минут | Перехват, подмена SIM-карты, просьба «продиктовать код» |
| Код на e-mail | Сервер шлёт письмо | Обычно живёт несколько минут | Защищён настолько, насколько защищена сама почта |
| HOTP (RFC 4226, 2005) | Считается из секрета и счётчика | До первого использования | Неиспользованный украденный код остаётся рабочим |
| TOTP (RFC 6238, 2011) | Считается из секрета и времени | Шаг 30 секунд | Фишинг в реальном времени |
| Аппаратный токен | Брелок с экраном считает HOTP или TOTP | Как у выбранного алгоритма | Потеря или кража брелка |
| Список заранее | Таблица или набор резервных кодов | Каждый код один раз | Хранение самого списка |
Отдельно стоит push-подтверждение в приложении банка или сервиса. Кода там нет, вы нажимаете «Подтвердить», но задача решается та же: убедиться, что операцию совершает владелец. У такого способа своя проблема — можно по ошибке одобрить чужой запрос.
Чем одноразовый пароль отличается от соседних понятий
- Постоянный пароль. Он одинаков при каждом входе и работает, пока вы его не смените. Одноразовый код либо добавляется к паролю вторым шагом, либо заменяет его, как при входе по SMS-коду без пароля.
- ПИН-код. Это тоже постоянный секрет, только короткий и привязанный к карте или устройству. О том, как такой код устроен и хранится, — в термине ПИН-код.
- 3-D Secure. Это протокол подтверждения платежа в интернете, а одноразовый пароль — лишь один из способов этого подтверждения: код из SMS или push в приложении банка. Устройство протокола разобрано в термине 3-D Secure.
- Одноразовые QR-коды билетов и купонов. Там код — идентификатор, который гасится при проверке. Паролем входа он не служит.
Юридически код из SMS тоже бывает значимым: закон от 6 апреля 2011 года № 63-ФЗ называет простой электронной подписью подпись, которая с помощью кодов, паролей или иных средств подтверждает, что документ сформировал определённый человек (статья 5). Приравнять такой документ к бумажному можно только в случаях, установленных федеральным законом, или по соглашению участников обмена (статья 6).
Где одноразовые пароли ломаются
Одноразовость решает одну проблему — повторное использование. Остальные остаются.
- Подмена SIM-карты. Мошенник переоформляет номер на свою карту и получает ваши SMS. Справка Google прямо отмечает, что коды по SMS уязвимы для атак на номер телефона.
- Фишинг в реальном времени. Поддельная страница передаёт введённый вами код настоящему сайту, пока он действует. NIST в SP 800-63B-4 (июль 2025) называет одноразовые коды ручного ввода не устойчивыми к фишингу, а телефонную сеть как канал доставки — ограниченным (restricted): сервис обязан предложить альтернативу.
- Социальная инженерия. Вам звонят «из банка» и просят назвать код из SMS. Настоящему сотруднику код не нужен: операции он видит в системе. Поэтому правило одно — код не диктуют никому. Какие схемы с QR-кодами и подменой страниц бывают, перечислено в разборе фишинга и мошенничества.
- Вредоносное ПО. Приложение с доступом к SMS читает код раньше вас.
Практический вывод для двухфакторной защиты: если есть выбор, приложение-аутентификатор надёжнее SMS, а запасной способ входа лучше иметь всегда. Как подключить такой способ, показано в статье о двухфакторной аутентификации.
Частые вопросы
Что делать, если одноразовый пароль не приходит?
Проверьте уровень сети и номер в профиле, подождите минуту и запросите код повторно: сервисы обычно ограничивают частоту отправки. Посмотрите, не уходят ли SMS в фильтр спама на телефоне. Если код не приходит стабильно, выберите другой способ — приложение-аутентификатор или резервный код.
Можно ли называть одноразовый пароль сотруднику банка?
Нет. Сотруднику банка или «службы безопасности» код не нужен: операции он видит в системе. Просьба назвать код нужна тому, кто пытается войти или заплатить от вашего имени. Получили просьбу назвать код — прервите разговор и перезвоните на номер с обратной стороны карты.
Одноразовый пароль безопаснее обычного?
Он защищает от повторного использования украденного, но не от фишинга и перехвата в момент ввода. Лучше всего он работает вторым шагом после постоянного пароля. Ещё надёжнее способы, где вводить нечего, например вход по ключу доступа, привязанному к домену сайта.
Чем отличается одноразовый пароль от кода подтверждения платежа?
По сути, ничем: код подтверждения платежа — одноразовый пароль, выданный банком под конкретную операцию. Разница в назначении: он подтверждает сумму и получателя, а не вход в аккаунт. Поэтому в банковском SMS обычно указаны сумма и получатель — сверяйте их, прежде чем вводить код.