Language
解析OTP一次性密码和RADIUS协议的区别与关联
本期继续介绍企业级身份认证协议：OTP （One Time Password，一次性密码）与 RADIUS 的区别与联系。
专门讲这一主题的原因在于，两者在企业身份认证场景中关联紧密，但很多用户不会将两者联系到一起。知道 OTP 动态密码的，对 RADIUS 认证不甚了解；而知道 RADIUS 认证的，一般先想到 802.1x 而忽略了 OTP 动态密码。
用一句话来概括 OTP 与 RADIUS 认证的区别——OTP 是生成一次性口令的算法或动态令牌技术，而 RADIUS 认证是将包括 OTP 口令在内的各类凭证（如静态密码、数字证书等）封装并传输至后台认证系统完成验证。简言之，OTP 定义了“密码的形态”，RADIUS 则规范了“密码的传输与校验流程”。
从技术层面来说，OTP 属于密码学、算法层领域，通过时间同步（TOTP）或事件计数（HOTP）机制，定义一次性密码的动态生成规则。RADIUS 则归属网络协议层，规范认证客户端与认证服务器间的报文格式（如 Access-Request 请求封装）、交互流程及关键属性。当认证服务器接收 RADIUS 请求后，将根据验证结果返回 Access-Accept（含VLAN分配、Session-Timeout 会话时长等授权参数）或 Access-Reject（附 Reply-Message 拒绝原因说明）。二者在功能边界上形成明确分工。
值得注意的是，OTP 与 RADIUS 在技术实现上具备一定独立性。OTP 可脱离 RADIUS 单独应用（如通过 API 直接集成至应用登录流程），而 RADIUS 协议亦可支持静态密码、数字证书等非 OTP 类型的凭证验证。
两者结合使用一般是在 VPN 接入、Wi-Fi 认证、交换机登录等企业网络访问场景。在此类场景中，用户输入 OTP 动态口令后，由 RADIUS 协议将该口令封装并传输至认证服务端完成验证，从而实现二次身份验证，即多因素认证（MFA）。
OTP 动态口令是 MFA 多因素认证的关键技术载体。根据 MFA 的核心要求，认证过程需至少组合两类独立认证因素（知识因素、持有因素、固有因素）才能完成身份验证。其中，知识因素包括静态密码、PIN 码等；持有因素涵盖手机、硬件令牌等实体介质；固有因素涉及指纹、人脸等生物特征。OTP 动态口令作为持有因素的典型实现方式，与 RADIUS 认证服务器对其有效性的验证流程相结合，若叠加静态密码（知识因素）验证，即可构成双重身份验证，从而完整实现 MFA 多因素认证机制。
从技术实现细节看，OTP 动态口令的校验机制基于时间同步（TOTP）或事件计数（HOTP）变量，通过哈希加盐算法生成 6 至 8 位一次性数字码。该数字码通常每 30 秒或 60 秒刷新一次，用户提交数字码后，认证服务器端将以相同算法独立计算并匹配校验值，仅在允许的时间或事件窗口内有效，且用后即废，从机制上杜绝了重放攻击与窃听风险。
综上，OTP 作为认证方式，与 RADIUS 协议框架形成技术互补——前者通过动态密码机制提升认证安全性，后者负责认证、授权、审计，为认证过程提供可追溯性与权限管控能力。在等保2.0、商用密码应用安全性评估（密评）、密改、数据安全法等合规要求下，两者的协同应用既能满足高安全场景的身份验证需求，确保身份验证的唯一性与时效性，又能通过动态密码防泄露机制及集中审计流程，有效规避静态密码被盗用、泄露的风险。
宁盾（www.nington.com）版权所有
—END—
