ワンタイムパスワードとは？わんたいむぱすわーど
ワンタイムパスワードとは、1回きりしか通用しない使い捨てのパスワード。現在時刻と共有鍵から一定間隔で値を作る時刻同期方式（TOTP）と、サーバが出した乱数へ応答を返すチャレンジレスポンス方式がある。盗聴された値を後から使い回されることを防ぐのが目的になる。
最終更新：2026-10-07
この語が出る過去問を解く →背景
固定のパスワードは、一度どこかで盗まれれば以後ずっと使える。盗まれる経路を全部塞ぐのは現実的でないため、盗まれても価値が数十秒で消える形へ発想を切り替えた。知識の要素に所持の要素を足す多要素認証の実装手段としても位置づけられ、午前Iでは認証方式の分類の中で問われる。
具体例
Google Authenticatorなどの認証アプリが30秒ごとに表示する6桁の数字がTOTPの実装で、共有鍵はQRコードで受け渡す。銀行が配るトークンやSMSで届く確認コードも同じ役割を果たす。
試験での引っ掛け
SMS方式はSIMの乗っ取りや転送で奪われ得るため、アプリ方式やハードウェアトークンより弱いとされる。またリアルタイムで値を中継する型のフィッシングには対抗できず、FIDO2のような方式が別途必要になる。
関連用語
出た過去問
出典：令和3年度 秋期 高度試験 午前Ⅰ 問14（IPA）解説で登場
盗まれたクレジットカードの不正利用を防ぐ仕組みのうち、オンラインショッピングサイトでの不正利用の防止に有効なものはどれか。
正解：3Dセキュアによって本人確認する。
要点：盗難カードのネット不正利用防止には3Dセキュアが有効
3Dセキュア（本人認証サービス）は、オンライン決済時にカード会社が別途パスワードやワンタイムパスワードで本人確認を行う仕組みである。カード券面の情報だけでは通過できないため、カードそのものを盗まれた場合のネット上の不正利用を防ぐのに有効である。
出典：令和6年度 春期 高度試験 午前Ⅰ 問12（IPA）解説で登場
3Dセキュア2.0(EMV 3-Dセキュア)は、オンラインショッピングにおけるクレジットカード決済時に、不正取引を防止するための本人認証サービスである。3Dセキ…
正解：利用者の過去の取引履歴や決済に用いているデバイスの情報から不正利用や高リスクと判断される場合に、カード会社が追加の本人認証を行う。
要点：3Dセキュア2.0はリスクに応じて追加認証を行う
3Dセキュア2.0は、取引履歴や利用端末の情報などをカード会社へ送り、そのリスク評価に基づいて認証方法を変える「リスクベース認証」を採用している。低リスクと判断された取引では追加認証を求めずに決済を通し、高リスクと判断された場合だけワンタイムパスワードなどの追加認証を行う。これにより不正防止と利便性を両立させている。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (8) 情報セキュリティに関する技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。