ワンタイムパスワード（TOTP・HOTP）とは？
ワンタイムパスワード（TOTP・HOTP）とは、一度きりしか使えない使い捨てのパスワードで認証する方式。共有した秘密鍵と時刻から生成するTOTPと、カウンタから生成するHOTPがあり、いずれも「所持」の要素を証明する。盗まれても短時間で無効になる点が本質。
応用情報技術者試験の過去問では2回出題されています（2016年度〜2024年度）。
わんたいむぱすわーど
ワンタイムパスワード（TOTP・HOTP）の意味
一度きりしか使えない使い捨てのパスワードで認証する方式。共有した秘密鍵と時刻から生成するTOTPと、カウンタから生成するHOTPがあり、いずれも「所持」の要素を証明する。盗まれても短時間で無効になる点が本質。
ワンタイムパスワード（TOTP・HOTP）の具体例
認証アプリが30秒ごとに6桁を表示するのはTOTP。サーバと端末が同じ秘密鍵と現在時刻から同じ値を計算する。端末の時計がずれても認証できるよう、サーバは前後1〜2区間ぶんの値も許容する。ハードウェアトークンのボタン式はカウンタを進めるHOTPが多い。
ワンタイムパスワード（TOTP・HOTP）は試験でどう引っ掛けられる？
「ワンタイムパスワードならフィッシングにも強い」は誤り。偽サイトに入力された値をその場で本物へ中継されれば通ってしまう。この経路を断つには、接続先ドメインを鍵に紐づけるFIDO2方式が必要になる。
ワンタイムパスワード（TOTP・HOTP）と関連する用語
ワンタイムパスワード（TOTP・HOTP）が出た過去問
チャレンジレスポンス認証方式の特徴はどれか。
正解：利用者が入力したパスワードと、サーバから送られたランダムなデータとをクライアント側で演算し、その結果を送信する。
要点：チャレンジレスポンスは毎回異なる値で演算し再生攻撃を防ぐ
チャレンジレスポンス認証では、サーバが毎回異なるランダムな値（チャレンジ）を送り、クライアントはパスワードとその値を組み合わせて演算した結果（レスポンス）だけを返します。パスワード自体がネットワークを流れないうえ、値が毎回変わるため、通信を盗聴して同じ応答を送り返す再生攻撃も防げます。ワンタイムパスワード用トークンの説明と混同しないよう注意が必要です。
出典：平成28年度 秋期 応用情報技術者試験 午前 問38（IPA）3Dセキュア2.0(EMV 3-Dセキュア)は、オンラインショッピングにおけるクレジットカード決済時に、不正取引を防止するための本人認証サービスである。3Dセキ…
正解：利用者の過去の取引履歴や決済に用いているデバイスの情報から不正利用や高リスクと判断される場合に、カード会社が追加の本人認証を行う。
要点：3Dセキュア2.0はリスクが高い取引だけ追加認証を求める
3Dセキュア2.0の最大の特徴はリスクベース認証を採用した点である。カード会社は取引履歴や端末情報などの多数の属性を受け取ってリスクを評価し、リスクが低いと判断した取引では追加認証を省いて決済を通す。逆に不正の疑いが高い取引に限りワンタイムパスワードなどの追加認証を求めるので、安全性と利便性を両立できる。
出典：令和6年度 春期 応用情報技術者試験 午前 問35（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。