Термины ИБ
OTP token (Генератор одноразовых паролей)

Также: генератор одноразовых паролей, OTP-токен, токен одноразовых паролей

Аппаратное или программное средство, которое создает одноразовые пароли для подтверждения личности при входе.

Пароль действует один раз или короткое время и вычисляется из секрета, который хранится в генераторе и на сервере. Применяются алгоритмы HOTP (по счетчику, RFC 4226) и TOTP (по времени, RFC 6238). Генератор служит фактором «то, чем владеет пользователь», а в паре с обычным паролем дает двухфакторную аутентификацию. Код из SMS генератором не является, а NIST относит доставку кодов по телефонной сети к ограниченным способам.

482 913одноразовыйкодкнопка
Схема аппаратного генератора одноразовых паролей: на экране код, который меняется через заданное время или по нажатию кнопки.
В ИСПДн

Применяется для усиления входа в ИСПДн, прежде всего для администраторов и удаленного доступа: подобранный или украденный пароль сам по себе уже не открывает доступ (меры ИАФ.1 и УПД.13 приказа ФСТЭК № 21). Выдача, хранение и блокировка средств аутентификации ведутся по регламенту (ИАФ.4).

Не путать с аутентификацией

Генератор одноразовых паролей – один из факторов, а аутентификация – процедура проверки личности, в которой он используется вместе с другими.

Что проверяет аудитор

Аудитор проверяет, что генераторы выданы и учтены, утраченные блокируются, а второй фактор включен для администраторов и удаленного доступа. Типичная ошибка: второй фактор есть у пользователей, но не у администраторов и служебных входов.

Примеры применения (3)
  • Администратор ИСПДн входит в систему по паролю и коду из приложения-генератора, меняющегося каждые 30 секунд
  • Сотрудникам с доступом к серверам выданы аппаратные токены, их выдача и возврат фиксируются в журнале
  • При утрате токена его блокируют, а новый выдают после проверки личности
Связанные понятия
Документыпарольная политикарегламент управления средствами аутентификациижурнал выдачи токенов
Процессыаутентификациямногофакторная аутентификациявыдача и блокировка токеновудаленный доступ
Ролипользовательадминистратор системыспециалист по ИБ
ИТ-объектыIAM-системыVPNаппаратные токенымобильные приложения-генераторы
Источники (3)

Как это проверяют на аудите: курс «Аудитор ИСПДн 2.0» Все термины ИБ

Следующий: Zero Trust

Определение: Школа персональных данных № 1. Обновлено 02.10.2026

02.10.2026