トークンという使い捨てパスワード

自分の取引銀行が使い捨てパスワード・・トークン・・というサービスを始めたので自分も申し込みました

いま届いたので使用登録を済ませましたが　トークンに現れるパスワードをパソコン端末に打ち込むとログオンできますが　ログオンしている銀行のシステムでは　なぜトークンのパスワードがわかるのでしょうか

銀行からトークンに電波を飛ばして表示させているのでしょうか

Yahoo!ネットバンキングに出ているものと同じようなものがきています
http://help.yahoo.co.jp/help/jp/bank/bank-13.html

No.3 ベストアンサー 回答者： chie65536 回答日時： 2008/10/31 15:58

ワンタイムパスワードは、分単位の時刻をもとに、計算で求めます。

トークンの中のＩＣと、銀行のシステムは、同じ計算方法で求めますから「同じ時刻であれば、同じ数字になる」のです。

もし、トークンと銀行システムで時計がズレた場合、入力されたワンタイムパスワードから逆算すれば「トークンの中のＩＣが持ってる時刻」が判ります。

つまり「ワンタイムパスワードを入力して銀行のシステムに送信する」のは「トークンの中のＩＣが持ってる時刻を、銀行のシステムに送信する」のと同じなのです。

「トークンの中のＩＣが持ってる時刻を、銀行のシステムに送信」しているならば、銀行のシステムは「○分ズレてるから、この人が持ってるトークンは○分ズレてる」と言うが判ります。

で、ユーザー情報と一緒に、ズレの時間を記録し、それを元に「ズレ補正」をします。

なお、入力時、余りにもズレが大きい場合は「ワンタイムパスワードが不正」として、エラーになります。

なので「トークンに表示されたワンタイムパスワードは１分以内に入力して送信して下さい」と言う注意書きがあります。

また、入力画面も、入力しないで数分間放置すると「○分以上経過したので切断されました。やり直して下さい」と言うエラーが出ますので、それ以上の時間のズレ補正は行われません。

この回答へのお礼

ありがとうございました
とても参考になりました

技術の進歩はどこまでもどこまでもとどまりませんね

お礼日時：2008/11/07 05:40

No.4 回答者： chie65536 回答日時： 2008/10/31 16:10

因みに、トークンには８桁の固有シリアルナンバーが付いていて、同じナンバーの物は存在しません。

ワンタイムパスワードは、このシリアルナンバーと時刻を元に計算されます。

銀行は「誰に、どのシリアルナンバーのトークンを発行したか？」を判ってますから、同じ計算を行う事が出来るのです。

なお「ワンタイムパスワード」と「時刻」からでは、シリアルナンバーを逆算したり、計算式を想定できないようになっていますから、ネットワーク上で送信したワンタイムパスワードと送信時刻が誰かに盗まれても、別の新しいワンタイムパスワードを求める事は出来ません。

No.2 回答者： pupu3sjp 回答日時： 2008/10/31 15:04

ジャパンネット銀行の説明文より抜粋。

----------------------------------------------------------------
　トークンはワンタイムパスワードの切替登録をしていただくと、
　当社システムと時刻を合わせます（通信は行わず、入力された情報を
　もとにトークンと当社システムの時刻を合わせます）。
　以降は、トークンと当社システムは同じ時間間隔で進み、60秒ごと
　に使い捨てのワンタイムパスワードが表示されます。
http://www.japannetbank.co.jp/security/security/ …
----------------------------------------------------------------

利用者ごとにトークンのパスワード自動生成のタイミングが異なり、
登録手続きをすることによって、銀行側システムと時間的な同調が
始まります。

トークンは60秒ごとにパスワードが切り替わり、それは受け取る側の
銀行システム側も同じです。　もし、時間的なずれ（時刻ずれ）が
生じてきた場合は、時刻補正の手続きで修正します。
http://www.japannetbank.co.jp/token/onetime/mech …

この回答へのお礼

ありがとうございました
とても参考になりました

お礼日時：2008/11/07 05:38

No.1 回答者： trajaa 回答日時： 2008/10/31 14:41

あなた個人に割り当てられたID等のキー情報と時間情報(年月日＋時分)を基に、特定の値が決まるような仕組を準備しておきます。

銀行側と貴方に届けられたパスワード生成装置が同じ計算式を使えば
お互いが導き出すパスワードは一致します。

この回答へのお礼

ありがとうございました
とても参考になりました

お礼日時：2008/11/07 05:38