Phân biệt nguyên lý hoạt động của các loại mã khóa 2 lớp 2FA (còn gọi là mã OTP) và cách quản lý mã trên các thiết bị di động.

Thời gian gần đây rất nhiều bài viết về cách sử dụng các loại mã khóa 2 lớp (2FA hay OTP) nhưng vẫn chưa lột tả hết nguyên lý hoạt động của các loại đó.

Hôm nay, tôi xin chia sẻ các loại mã 2FA (OTP) phổ biến hiện nay, cách quản lý bảo mật chúng và lựa chọn mã dễ quản lý nhất để sử dụng.

Mã OTP cung cấp bởi nhà mạng viễn thông: đó là tin nhắn SMS, hiện chúng ta đang dùng phổ biến trong lĩnh vực ngân hàng, tài chính, thương mại điện tử …

Ưu điểm của hình thức này là xác định chính chủ của mã là chính xác tuyệt đối, đồng thời quản lý sử dụng chỉ phụ thuộc vào sim. Nếu bạn là chủ Sim tức là bạn là chủ mã OTP đấy ngoài bạn ra sẽ không một ai quản lý nó. Mặt khác, nếu có lỗi cũng rất dễ dàng khôi phục được. Tuy nhiên, nó có nhược điểm là dễ bị hack bởi tin tặc và mạng yếu thì mã sẽ khó tới thiết bị đầu cuối

Trong hình thức này ngoài tin nhắn sms làm mã OTP, ta còn có mã OTP dạng cuộc gọi, hình thức này không khác gì sms cả mà chỉ khác là bộ cài đặt giọng nói tự động sẽ gọi đến bạn để đọc mã OTP cho bạn

Mã OTP dùng thiết bị cứng như USB, Token … là một dạng thiết bị hoạt động theo nguyên lý khi được nhập pass và nhận dạng phần mềm tương thích sẽ cho ra ký tự mã OTP. Hình thức này cũng tương đối an toàn nhưng rất dễ bị lộ nếu bị kẻ xấu đánh cắp thiết bị.

Hình thức thứ 4 là dùng app phần mềm do chính mình phát triển, ví dụ như là modul tích hợp sẵn trên trang hoặc app đó, hoặc là dùng email để chuyển mã 2FA về email

Hình thức cuối cùng là dùng app độc lập của bên thứ ba như là: Google authenticator, Authy …

Sau đây, tôi xin giới thiệu về Google Authenticatior và cách quản lý chúng trên nhiều thiết bị: Google Authenticator là một ứng dụng rất dễ sử dụng của Google, nó rất an toàn và quản lý cũng rất dễ hiểu. Khi bạn add một QR code của một tài khoản, thông thường như các ứng dụng khác, nó sẽ bắt bạn lưu giữ QR để phòng trường hợp thiết bị di động bị mất hoặc quên pass đăng nhập hoặc là nhỡ xóa mất tài khoản đó. Nhưng đối với Google Authenticator, chuyện đó rất dễ dàng, dù bạn còn dùng thiết bị cũ hay không, hay dùng thiết bị mới. Bạn chỉ việc truy xuất lại mã QR code của tài khoản, rồi quét lại thì ngay lập tức tài khoản mã 2FA sẽ được chạy lại mà không cần quan tâm trên thiết bị cũ hay ảnh QR code bị thất lạc.