有基于时间 (TOTP) 和基于计数器 (HOTP) 一次性密码方案的标准。
生成的 OTP 独立于它们用于的交易,例如授权登录或汇款。
这些被智能手机应用程序(例如 Google Authenticator)和硬件令牌(例如 Yubikeys)广泛支持,并被许多在线服务使用。
另一方面,许多金融机构(特别是在欧盟内部,由于最近采用了 PSD2 的动态链接要求)正在实施将 OTP 生成与特定交易数据(例如汇款中的金额和收款人)联系起来的方案 - 有待验证由用户在其生成器设备/应用程序上。
除了 SMS 和推送通知选项外,许多机构还提供某种可视屏幕到设备的传输方法,例如闪烁的条形码或(有时是专有的)2D 矩阵/QR 码。
众所周知,有关银行机制的公共文档很少,因此我无法找到有关这些可能是专有方案的任何细节。
到目前为止,我已经找到了一种将这种方案用于我自己目的的记录方法,即Authy 应用程序的 TxOTP 功能。
但这是一项涉及远程 API (Authy) 的商业服务,从技术角度来看几乎没有必要。
是否有任何公共标准定义了这种具有视觉传输的事务性 OTP 方案?
最好是在智能手机应用程序中实现的,类似于 TOTP 和 HOTP。