Tin tức
Mã OTP là gì? Vai trò và cách lấy lại mã OTP bị mất như thế nào?
1. Mã OTP và những thú vị liên quan cho bạn
1.1. Bạn đã biết mã OTP là gì?
Mã OTP hay mật khẩu OTP còn được gọi là, mật khẩu một lần, hay mã pin một lần, mật khẩu linh động. Đây được xem là một mật khẩu mà có giá trị chỉ có một phiên đăng nhập hoặc giao dịch, trên một hệ thống máy tính hoặc thiết bị kỹ thuật số khác.
OTP tránh được những thiếu sót liên quan đến việc xác thực mật khẩu dạng truyền thống (mật khẩu tĩnh) vì lẽ nó đảm bảo rằng người dùng dùng sử dụng mã OTP này một lần duy nhất khi truy cập ứng dụng. OTP được tích hợp trong một thiết bị khóa nhỏ với máy tính hoặc thẻ thông minh, điện thoại di động, …
Ưu điểm quan trọng nhất được OTP giải quyết là, trái ngược với mật khẩu tĩnh , chúng không dễ bị tấn công lại . Điều này có nghĩa là kẻ xâm nhập tiềm năng quản lý để ghi lại một OTP đã được sử dụng để đăng nhập vào dịch vụ hoặc thực hiện giao dịch sẽ không thể lạm dụng nó, vì nó sẽ không còn hiệu lực.
Ưu điểm lớn thứ hai là người dùng sử dụng cùng một mật khẩu (hoặc tương tự) cho nhiều hệ thống, sẽ không bị tổn thương trên tất cả chúng, nếu mật khẩu cho một trong số đó bị kẻ tấn công lấy được.
Một số hệ thống OTP cũng nhằm đảm bảo rằng một phiên có thể dễ dàng bị chặn hoặc mạo danh mà không có kiến thức về dữ liệu không thể đoán trước được tạo ra trong phiên trước đó , do đó làm giảm bề mặt tấn công thêm nữa.
OTP dần dần từng bước thay thế cho mật khẩu truyền thống cũng như tăng cường tính bảo mật cho những mật khẩu tĩnh này. Tuy nhiên, đây cũng được xem là nhược điểm lớn nhất của OTP đó là khó ghi nhớ. Vì lẽ, mỗi mã OTP chỉ cấp một lần duy nhất. Do đó, nó yêu cầu người dùng phải sử dụng công nghệ để làm việc cũng như để lấy lại mã OTP mỗi khi bị mất.
>>> Xem thêm: Iap là gì?
1.2. Cách OTP được hình thành và đưa đến người sử dụng
Các thuật toán được sử dụng trong quá trình tạo mã OTP là ngẫu nhiên hoặc giả ngẫu nhiên, điều này khiến cho việc dự đoán mã OTP trở nên khó khăn hơn, đồng thời có thể được sử dụng để lấy giá trị nhưng khó đảo ngược vì do kẻ tấn công khó có thể lấy được dữ liệu. Các thuật toán OTP cụ thể rất khác nhau trong các chi tiết của chúng. Các cách tiếp cận khác nhau để tạo OTP được liệt kê dưới đây:
- Dựa trên đồng bộ hóa thời gian giữa máy chủ xác thực và máy khách cung cấp mật khẩu (OTP chỉ có hiệu lực trong một khoảng thời gian ngắn).
- Sử dụng thuật toán toán học để tạo mật khẩu mới dựa trên mật khẩu trước đó (OTP thực sự là một chuỗi và phải được sử dụng theo thứ tự được xác định trước).
- Sử dụng thuật toán toán học trong đó mật khẩu mới dựa trên một thách thức, ví dụ: số ngẫu nhiên được chọn bởi máy chủ xác thực hoặc chi tiết giao dịch) hoặc bộ đếm.
Cũng có một số cách để người dùng biết được mã OTP tiếp theo sẽ sử dụng, tuy nhiên một hệ thống sử dụng mã thông báo bảo mật điện tử đặc biệt sẽ thông báo cho họ. Các hệ thống khác thường là phần mềm chạy trên điện thoại di động, …
Tuy nhiên, các hệ thống khác tạo OTP từ phía máy chủ và gửi chúng cho người sử dụng bằng các kênh ngoài băng tần như SMS. Cuối cùng, một hình thức OTP khác đó là in trên giá và người dùng bắt buộc phải mang theo nó liên tục để sử dụng.
>>> Xem thêm: USSD là gì?
1.3. Các hình thức gửi mã OTP hiện nay
Các hình thức mã OTP gửi đến người dùng cũng tương đối đa dạng, có thể kể những hình thức gửi đó là :
- Qua điện thoại di động : Một công nghệ phổ biến được sử dụng để phân phối OTP là nhắn tin văn bản, ngoài ra còn có cuộc gọi, …
- Mã thông báo độc quyền : Gần đây, có thể lấy các thành phần điện tử được liên kết với mã thông báo OTP thông thường và nhúng chúng vào một yếu tố hình thức thẻ tín dụng.
- Thông báo trên Website.
- Thông báo trên thẻ cào sau lớp giấy bạc.
2. Vai trò của mã OTP – mã pin một lần là gì?
Mã pin một lần là mã chỉ có giá trị cho một phiên đăng nhập hoặc thực hiện giao dịch sử dụng điện thoại di động. Nó thường được sử dụng trong việc xác thực hai yếu tố hoặc 2FA để cung cấp thêm một lớp bảo mật cho người dùng khi anh ta sử dụng ATM hay cố gắng đăng nhập vào dịch vụ từ một máy tính khác. Thường thấy nhất là khi bạn sử dụng dịch vụ Internet banking hay một ứng dụng trên điện thoại di động.
Vì là mã pin dùng một lần nên mã OTP khá bảo mật và an toàn, nó không dễ dàng bị đánh cắp giống như mật khẩu tĩnh, mật khẩu không thay đổi. Đồng thời, nó không thể sử dụng lần thứ hai bởi bất kỳ ai kể cả người được ủy quyền do đó nó tránh được nguy cơ bị đánh cắp mã pin.
Điện thoại di động được sử dụng rộng rãi trong việc cung cấp các mã pin một lần này. Việc này mang lại lợi ích cho cả người sử dụng và doanh nghiệp về mặt bảo mật vì nó hỗ trợ đảm bảo an toàn thông tin và giảm thiểu chi phí tối đa.
Trong các phương thức xác thực dựa trên OTP, ứng dụng OTP của người dùng và máy chủ xác thực dựa trên các bí mật được chia sẻ. Các giá trị cho mật khẩu một lần được tạo bằng thuật toán Mã xác thực tin nhắn (HMAC) và một yếu tố di chuyển, chẳng hạn như thông tin dựa trên thời gian (TOTP ) hoặc bộ đếm sự kiện (HOTP). Các giá trị OTP có dấu thời gian phút hoặc giây để bảo mật cao hơn. Mật khẩu một lần có thể được gửi đến người dùng thông qua một số kênh, bao gồm tin nhắn văn bản dựa trên SMS, email hoặc ứng dụng chuyên dụng trên thiết bị đầu cuối.
Các chuyên gia từ lâu đã lo ngại về các nguồn tấn công giả mạo tin nhắn SMS và tấn công trung gian MITM có thể được sử dụng nhằm phá vỡ hệ thống 2FA dựa trên mật khẩu dùng một lần. Chính vì vậy, các doanh nghiệp cũng nên lưu ý rằng không nên đặt quá nhiều niềm tin vào mã OTP này mà hãy xem xét triển khai mật khẩu một lần đa phương thức gửi đến người tiêu dùng hơn cách thức SMS ban đầu.
3. Cách lấy lại mã OTP như thế nào?
OTP an toàn hơn mật khẩu tĩnh, đặc biệt là mật khẩu do người dùng tạo, có thể yếu hoặc được sử dụng lại trên nhiều tài khoản. OTP có thể thay thế thông tin đăng nhập xác thực hoặc có thể được sử dụng thêm vào đó để thêm một lớp bảo mật khác.
Khi người dùng chưa được xác thực cố gắng truy cập hệ thống hoặc thực hiện giao dịch trên thiết bị, trình quản lý xác thực trên máy chủ mạng sẽ tạo một số hoặc bí mật chung, sử dụng thuật toán mật khẩu một lần. Số và thuật toán tương tự được sử dụng bởi mã thông báo bảo mật trên thẻ thông minh hoặc thiết bị để khớp và xác thực mật khẩu và người dùng một lần.
Nhiều công ty sử dụng dịch vụ tin nhắn SMS để cung cấp mật mã tạm thời qua văn bản cho yếu tố xác thực thứ hai. Mật mã tạm thời được lấy ra khỏi băng thông qua liên lạc điện thoại di động sau khi người dùng nhập tên người dùng và mật khẩu của mình trên các hệ thống thông tin được nối mạng và các ứng dụng web hướng giao dịch.
Để xác thực hai yếu tố (2FA), người dùng nhập ID người dùng, mật khẩu truyền thống và mật mã tạm thời để truy cập vào tài khoản hoặc hệ thống.
Nhìn chung, mã OTP giúp người dùng, các quản trị viên CNTT và người quản lý bảo mật gặp phải với mật khẩu. Họ không phải lo lắng về các quy tắc thành phần, mật khẩu xấu và yếu, chia sẻ thông tin hay sử dụng hai mật khẩu trên một tài khoản và hệ thống. Một ưu điểm đặc biệt khác mà không ai phủ nhận đó là chúng sẽ trở nên không hợp lệ chỉ sau vài phút. Điều này giúp ngăn kẻ tấn công lấy mã bí mật và sử dụng lại chúng.
Mật khẩu một lần (OTP) là một chuỗi ký tự số hoặc chữ số được tạo tự động để xác thực người dùng cho một giao dịch hoặc phiên đăng nhập. Hy vọng rằng thông qua bài viết này bạn đã nắm rõ về mã OTP là gì cùng những thông tin quan trọng khác cho mình.
