Google Authenticator: giải thích cách hoạt động của mã 2FA

Khoảng 30 giây một lần, một dãy số ngắn trên điện thoại của bạn thay đổi, và một trang web chưa từng được bạn cho xem điện thoại ấy lại bằng cách nào đó biết được con số mới sẽ là gì. Trông như phép màu, nhưng thực ra đó là một thủ thuật đơn giản dựa trên bí mật dùng chung.

Đó là cách Google Authenticator và các ứng dụng tương tự hoạt động. Sau đây là cách tạo mã, lý do chúng hoạt động mà không cần kết nối internet, mối liên hệ giữa ứng dụng với tính năng Xác minh 2 bước của Google và những gì ứng dụng có thể cũng như không thể bảo vệ.

Cách tạo mã

Khi bạn thêm tài khoản vào ứng dụng xác thực, dịch vụ sẽ cung cấp cho bạn một bí mật, thường dưới dạng mã QR hoặc khóa thiết lập, và ứng dụng sẽ lưu trữ bí mật đó. Từ đó trở đi, dịch vụ và điện thoại của bạn đều có cùng một bí mật. Để tạo mã, ứng dụng kết hợp bí mật đó với thời gian hiện tại, còn dịch vụ thực hiện phép tính tương tự ở phía mình. Nếu hai kết quả khớp nhau, mã sẽ được chấp nhận.

Phương pháp này là một tiêu chuẩn đã được công bố có tên TOTP, viết tắt của mật khẩu dùng một lần dựa trên thời gian, được định nghĩa trong IETF RFC 6238. Phương pháp này phát triển từ một cách thức cũ hơn dựa trên bộ đếm, thay bộ đếm bằng một giá trị được tính từ thời gian. Tiêu chuẩn quy định ứng dụng và dịch vụ phải dùng cùng một khoảng thời gian, đồng thời khuyến nghị mặc định là 30 giây. Vì vậy, mã thường được làm mới khoảng hai lần mỗi phút.

Lý do mã hoạt động mà không cần kết nối internet

Mã được tính trên điện thoại của bạn dựa trên bí mật đã lưu trữ và đồng hồ của điện thoại, nên không cần gửi bất cứ thứ gì đến điện thoại. Theo phần giới thiệu ứng dụng của Google, mã có thể được tạo ngay cả khi không có kết nối mạng hoặc di động. Dịch vụ chỉ cần thực hiện phép tính tương tự khi bạn gửi mã.

Điều này có nghĩa là đồng hồ rất quan trọng. Nếu thời gian trên điện thoại của bạn lệch xa so với thời gian thực, hai phép tính sẽ không khớp và mã bị từ chối, dù ứng dụng vẫn hoạt động đúng như thiết kế.

Mối liên hệ với tính năng Xác minh 2 bước của Google

Hai khái niệm này rất dễ bị nhầm lẫn. Xác minh 2 bước là tính năng trên Tài khoản Google yêu cầu thêm bước thứ hai khi bạn đăng nhập. Google Authenticator là một ứng dụng có thể cung cấp bước đó và theo Google, ứng dụng cũng có thể tạo mã cho các trang web và ứng dụng khác hỗ trợ xác minh bằng ứng dụng xác thực. Một số ứng dụng xác thực khác cũng tuân theo cùng tiêu chuẩn, nên bản thân các mã không gắn với riêng một công ty nào.

Bạn có thể dùng ứng dụng dù có hay không có Tài khoản Google. Đăng nhập cho phép đồng bộ mã trên các thiết bị của bạn; Google cho biết nếu không có tài khoản, bạn vẫn có thể chuyển mã thủ công sang thiết bị mới. Mã được đồng bộ phụ thuộc vào Tài khoản Google đó, vì vậy việc bảo vệ tài khoản này càng quan trọng. Google cũng khuyên bạn thiết lập thêm các hình thức Xác minh 2 bước để tránh bị khóa ngoài tài khoản.

Ứng dụng bảo vệ điều gì và không bảo vệ điều gì

Theo CISA, mã từ ứng dụng xác thực tốt hơn tin nhắn văn bản, nhưng vẫn dễ bị tấn công lừa đảo. Một trang đăng nhập giả mạo trông có vẻ đáng tin có thể lấy mã khi bạn nhập rồi sử dụng ngay lập tức; chỉ các phương thức dựa trên FIDO như khóa bảo mật và khóa truy cập mới chống lại được hình thức này. Kiểm tra địa chỉ trang web trước khi nhập mã cũng là một phần của biện pháp bảo vệ.

Bí mật dùng để tạo mã cũng là thông tin nhạy cảm. Bất kỳ ai có mã QR hoặc khóa thiết lập đều có thể tạo ra các mã giống hệt, vì vậy hãy xem ảnh chụp màn hình của chúng như mật khẩu. Ngoài ra, ứng dụng xác thực bảo vệ các tài khoản đăng nhập thông qua một dịch vụ. Ứng dụng không thể bảo vệ cụm từ hạt giống hay khóa riêng tư của ví.

Lưu ý từ WEEX: hãy xem khóa thiết lập như mật khẩu

WEEX nhắc nhở người dùng không bao giờ chia sẻ mã dùng một lần, mã QR hoặc khóa thiết lập với bất kỳ ai, kể cả những người tự xưng là nhân viên hỗ trợ, bởi dịch vụ chính thức sẽ không bao giờ cần đến những thông tin đó. Hãy kiểm tra địa chỉ trang web trước khi nhập mã và cất mọi khóa dự phòng hoặc mã dự phòng ở nơi an toàn, ngoại tuyến, không lưu dưới dạng ảnh chụp màn hình hay ghi chú trên đám mây. Nội dung ở đây không phải là lời khuyên tài chính.

Kết luận

Google Authenticator tạo mã có thời hạn ngắn từ bí mật được chia sẻ với dịch vụ và thời gian hiện tại. Đó là lý do ứng dụng hoạt động ngoại tuyến và đồng hồ rất quan trọng. Đây là một trong số nhiều ứng dụng sử dụng cùng tiêu chuẩn; ứng dụng an toàn hơn tin nhắn văn bản nhưng vẫn có thể bị lừa đảo nhắm đến, và bí mật thiết lập cần được bảo vệ cẩn thận như mật khẩu. Khi được sử dụng cùng mật khẩu mạnh và thói quen cẩn trọng, ứng dụng giúp tài khoản khó bị chiếm đoạt hơn.

Câu hỏi thường gặp

1. Google Authenticator là gì?
Đây là ứng dụng tạo mã dùng một lần làm bước thứ hai khi bạn đăng nhập vào Tài khoản Google cũng như các trang web và ứng dụng khác hỗ trợ xác minh bằng ứng dụng xác thực.

2. Google Authenticator tạo mã khi không có internet bằng cách nào?
Ứng dụng tính mã ngay trên điện thoại dựa trên một bí mật đã lưu trữ và thời gian hiện tại. Dịch vụ thực hiện phép tính tương tự để kiểm tra mã, nên không cần gửi bất cứ thứ gì đến điện thoại của bạn.

3. Tôi có cần Tài khoản Google để dùng Google Authenticator không?
Không. Google cho biết bạn có thể dùng ứng dụng mà không cần tài khoản. Đăng nhập cho phép đồng bộ mã trên các thiết bị; nếu không có tài khoản, bạn có thể chuyển mã thủ công sang thiết bị mới.

4. Google Authenticator có giống tính năng Xác minh 2 bước của Google không?
Không. Xác minh 2 bước là tính năng trên Tài khoản Google, còn ứng dụng là một cách để cung cấp bước thứ hai. Ứng dụng cũng hoạt động với các trang web khác hỗ trợ mã từ ứng dụng xác thực.

5. Google Authenticator có an toàn hơn mã SMS không?
Theo CISA, mã từ ứng dụng xác thực tốt hơn tin nhắn văn bản, nhưng vẫn có thể bị lừa đảo. Khóa bảo mật và khóa truy cập giúp bảo vệ chống lừa đảo tốt hơn.