OTP：一次性密码的演变与实现

后端

2023-10-02 10:41:52

OTP 的演变与实现

OTP 简介

一次性密码 (OTP) 是一种强大的身份验证方法，可有效防止网络攻击。OTP 是一种动态密码，仅在有限时间内有效，且每次登录都不同。本文将深入探讨 OTP 的演变、原理和在 Java 中的实现。

OTP 的历史演变

OTP 的概念最早可追溯到 20 世纪 80 年代，当时 Leslie Lamport 提出了一种基于时间的一次性密码系统。自那时起，OTP 技术不断发展，出现了多种变体，包括：

HOTP（基于 HMAC 的一次性密码）： 一种基于 HMAC 算法的 OTP，密钥与计数器相结合生成密码。
TOTP（基于时间的 OTP）： 一种基于当前时间戳的 OTP，无需与服务器同步计数器。
CROTP（挑战响应 OTP）： 一种需要用户输入挑战值来生成 OTP 的 OTP，增强了安全性。

OTP 的工作原理

OTP 基于一种称为 HMAC（散列消息认证码）的算法。HMAC 使用一个密钥对消息进行散列，产生一个唯一且不可伪造的签名。在 OTP 中，密钥是用户与服务器共享的秘密，消息是当前时间戳或计数器。

通过将密钥和消息输入 HMAC 算法，会生成一个 OTP。该 OTP 在指定时间内（通常为 30 或 60 秒）有效，之后将失效。每次登录时，用户都会生成一个新的 OTP，从而确保即使攻击者获取了一个 OTP，也无法访问账户。

在 Java 中实现 OTP

在 Java 中实现 OTP 相对简单，可以使用 javax.crypto.Mac 类。该类提供了一个 doFinal() 方法，可用于使用指定的密钥对消息进行 HMAC 散列。

以下代码示例展示了如何在 Java 中实现一个简单的 HOTP 算法：

import java.security.InvalidKeyException;
import java.security.NoSuchAlgorithmException;
import java.util.Arrays;

import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;

public class Hotp {

    private static final String HMAC_SHA1_ALGORITHM = "HmacSHA1";

    public static void main(String[] args) throws NoSuchAlgorithmException, InvalidKeyException {
        // 密钥
        byte[] key = "your-secret-key".getBytes();

        // 计数器
        long counter = 123456;

        // 生成 OTP
        byte[] otp = generateHotp(key, counter);

        // 输出 OTP
        System.out.println("OTP: " + Arrays.toString(otp));
    }

    private static byte[] generateHotp(byte[] key, long counter) throws NoSuchAlgorithmException, InvalidKeyException {
        Mac mac = Mac.getInstance(HMAC_SHA1_ALGORITHM);
        mac.init(new SecretKeySpec(key, HMAC_SHA1_ALGORITHM));
        return mac.doFinal(Long.toString(counter).getBytes());
    }
}