Wat is een eenmalig wachtwoord (OTP) bij betalingsauthenticatie?

Een eenmalig wachtwoord, of OTP, is een korte tijdelijke code die wordt gebruikt binnen een enkele authenticatiestap, zoals tijdens betalingsverificatie. Doorgaans toont het ontvangen van een OTP aan dat de gebruiker toegang heeft tot de methode die is geregistreerd voor authenticatie, zoals hun telefoon of e-mail.

Een OTP op zichzelf controleert niet het eigendom van een account, maar het verbindt het proces met een huidig apparaat of dienst. Deze codes blijven slechts korte tijd beschikbaar of totdat ze zijn gebruikt voor authenticatie, waarna het systeem ze als niet langer geldig herkent. De korte geldigheidsduur verkleint de kans dat een code meer dan één keer wordt ingevoerd. Zolang codes geldig zijn, kunnen ze binnen deze periode worden gebruikt als iemand anders ze onderschept. Dientengevolge hangt de beveiliging van OTP af van hoe het is ingebouwd in het algehele authenticatieproces.

Een statisch wachtwoord blijft geldig voor herhaalde aanmeldingen totdat u ervoor kiest het bij te werken of opnieuw in te stellen. Een OTP daarentegen is bedoeld voor eenmalig gebruik en wordt over het algemeen inactief zodra het is ingevoerd of wanneer de korte geldigheidsduur is verstreken. Wanneer OTP's van eerdere sessies al zijn ingevoerd of zijn verlopen, worden deze door het systeem eenvoudigweg als inactief herkend.

Het gebruik van OTP's als primaire methode pakt specifieke scenario's aan, maar het is belangrijk op te merken dat ze niet zijn ontworpen om elke situatie te ondervangen, zoals wanneer een code wordt ingevoerd via verschillende sites of platforms terwijl deze nog binnen het tijdvenster valt. Een aanvaller die een geldige code verkrijgt terwijl deze nog actief is, kan proberen deze onmiddellijk te gebruiken.

OTP-generatie en OTP-bezorging zijn aparte concepten. HOTP en TOTP definiëren hoe codes worden gegenereerd, terwijl sms, e-mail en spraak kanalen beschrijven waarlangs een code kan worden bezorgd.

Authenticatie-apps kunnen TOTP-codes genereren op het apparaat zelf, waardoor de code lokaal beschikbaar is in plaats van afhankelijk te zijn van een apart bericht of netwerkcommunicatie voor elk gebruik. Er is ook push-authenticatie, waarmee gebruikers toegang kunnen goedkeuren via een melding in plaats van een code in te voeren.

In een EMV 3-D Secure (3DS) flow, het systeem kan soms om extra bevestiging vragen van de persoon die de aankoop doet. De Access Control Server (ACS) van de uitgever kan de transactie beoordelen en beslissen of er meer stappen nodig zijn om de identiteit van de gebruiker te verifiëren.

Eén optie is een OTP, die doorgaans naar de kaarthouder wordt verzonden via een geregistreerd kanaal, zoals een sms of e-mail. De persoon typt vervolgens deze tijdelijke code in een verificatieveld dat tijdens de betaling verschijnt. Andere methoden, zoals het ontvangen van een verzoek in een bank-app, kunnen ook voor dit deel van het proces worden gebruikt.

Nadat de vereiste authenticatie als succesvol is gemarkeerd, gaat de transactie verder met de volgende fase van de betalingsverwerking.

In één oogopslag wijzen OTP, MFA en SCA elk op verschillende kenmerken van het authenticatieproces. Hier is een kort overzicht:

• OTP: een eenmalige code die helpt de identiteit te verifiëren tijdens een specifieke interactie. Waar het in de classificatie valt, kan afhangen van de gebruikte technologie, samen met hoe de code de gebruiker bereikt.
• MFA: multi-factor authenticatie, wat betekent dat het proces meer dan één type verificatie gebruikt, zoals iets dat je weet, iets dat je hebt, of iets dat je bent.
• SCA: Sterke Klantauthenticatie. Dit is een vereiste onder de Europese betaalregels, die over het algemeen twee (of meer) afzonderlijke verificatie-elementen voorschrijven, gewoonlijk gekozen uit de factoren kennis, bezit en inherente eigenschappen.

Wanneer op zichzelf toegepast, biedt een OTP over het algemeen één authenticatielaag en zou deze doorgaans worden gecombineerd met andere factoren om te voldoen aan MFA- of SCA-vereisten. Een OTP kan echter fungeren als één element in een meervoudige authenticatie-opstelling, en in sommige gevallen kan de manier waarop u uw OTP opent een tweede verificatiestap vereisen.
Voor elektronische betalingen op afstand die onderworpen zijn aan SCA, gelden vaak verdere vereisten, zoals het koppelen van de authenticatiecode aan details zoals het betalingsbedrag en de begunstigde.

Bij het onderzoeken van OTP-opties voor betalingsauthenticatie, controleren bedrijven meestal een mix van praktische gebieden. Beveiliging krijgt meestal aandacht, samen met hoe gemakkelijk codes gebruikers bereiken, of de oplossing past binnen de huidige systemen en hoe het aanvoelt voor de mensen die het daadwerkelijk gebruiken.
Elke bezorgmethode vereist iets anders: sms en spraak zijn afhankelijk van telecombedrijven, terwijl app-gebaseerde codes functioneren op geregistreerde apparaten zonder mobiele provider, maar een eenmalige configuratie nodig hebben.
Wat bedrijven zouden kunnen doen is onder andere:

• Houd de succespercentages van authenticatiestappen bij en splits data uit naar locatie en kanaal.
• Leg vast hoe vaak codes een time-out krijgen, hoeveel herhaalpogingen gebruikers doen en hoe verschillende authenticatiepogingen verlopen.
• Plan en documenteer welke alternatieven beschikbaar zijn voor het geval de hoofdoptie voor iemand niet werkt.
• Beoordeel factoren zoals potentiële phishing en hoe elke aanpak werkt tijdens accountherstelsituaties.
• Controleer hoe elke authenticatiemethode aansluit bij de vereisten voor 3DS, MFA of SCA, wanneer deze van toepassing zijn.

Om een nuttig perspectief te krijgen, bekijken teams vaak de gehele authenticatie-ervaring – niet alleen de levering van OTP-codes als een afzonderlijk onderdeel, maar als één schakel in het algehele betalingsproces van de gebruiker.