OTP
OTP neboli jednorázové heslo je kód, který platí jen jednou a jen krátce. Potkáte ho při každém přihlášení do banky, potvrzení platby kartou nebo obnově přístupu k e-mailu. Jde o jeden z nejrozšířenějších způsobů, jak si ověřit, že jste to opravdu vy.
Co je OTP
OTP (z anglického One-Time Password) je automaticky vygenerovaný kód, obvykle o 4 až 8 číslicích, který slouží k jednorázovému ověření identity. Platí pouze pro jedno přihlášení nebo jednu transakci. Jakmile ho použijete nebo vyprší jeho časový limit, stává se neplatným. Na rozdíl od klasického hesla, které útočník může odposlechnout a opakovaně zneužít, je každý OTP kód unikátní. OTP patří mezi nejběžnější nástroje dvoufaktorového ověření (2FA).
Jak OTP funguje
Existují dva hlavní standardy pro generování jednorázových hesel:
- TOTP (Time-based One-Time Password) vytváří kód na základě aktuálního času a sdíleného tajného klíče. Kód se mění zpravidla každých 30 sekund podle standardu RFC 6238. Takto fungují aplikace Google Authenticator, Microsoft Authenticator nebo Authy.
- HOTP (HMAC-based One-Time Password) místo času využívá počítadlo událostí podle standardu RFC 4226. Kód platí, dokud ho nepoužijete. HOTP se dnes používá méně, protože kódy bez časového omezení představují vyšší bezpečnostní riziko.
Způsoby doručení OTP
- SMS zpráva – není nejbezpečnější způsob
- Autentizační aplikace – bezpečnější varianta (Google Authenticator, Authy)
- E-mail – méně obvyklé, typicky pro obnovu přístupu
- Hardwarový token – fyzické zařízení generující kódy (např. YubiKey)
Na co si dát pozor
Ne všechny způsoby doručení OTP jsou stejně bezpečné. Americká agentura CISA doporučuje upřednostňovat metody odolné vůči phishingu před SMS. Největší hrozbou pro OTP přes SMS je SIM swapping, tedy útok, při kterém podvodník převede vaše telefonní číslo na svou SIM kartu a přebírá vaše ověřovací kódy. Pokud máte na výběr, zvolte autentizační aplikaci nebo hardwarový token.
FAQ – Často kladené otázky
Co je OTP kód?
OTP (One-Time Password) je jednorázový kód sloužící k ověření identity při přihlášení nebo transakci. Po jednom použití přestává platit, což ho činí bezpečnějším než klasické heslo.
Jaký je rozdíl mezi TOTP a HOTP?
TOTP generuje kódy na základě času, obvykle platí 30 sekund. HOTP generuje kódy na základě počítadla a kód platí, dokud ho nepoužijete. TOTP je dnes běžnější a bezpečnější.
Je OTP přes SMS bezpečné?
Je to lepší než žádné druhé ověření, ale útočníci mohou SMS zachytit pomocí SIM swappingu. Bezpečnější alternativou je autentizační aplikace nebo hardwarový token.
Související pojmy
- Dvoufaktorové ověření (2FA) – OTP je nejčastější formou druhého faktoru
- Phishing – útočníci mohou podvodně vylákat OTP kódy od uživatele
- Autentizace – proces ověření identity, kde se OTP používá