Mã OTP là gì? Smart OTP là gì, OTP App là gì và Mã OTP được sử dụng để làm gì

Hãy theo dõi bài viết dưới đây để hiểu thêm về các vấn đề cơ bản liên quan đến việc sử dụng mã OTP.

Mã OTP là gì? 

OTP là viết tắt từ One Time Password, có nghĩa là mật khẩu chỉ sử dụng một lần. Nó là một dãy các ký tự hoặc chữ số tạo ra ngẫu nhiên được gửi đến số điện thoại của bạn để xác nhận bổ sung khi bạn thực hiện giao dịch qua mạng.

Mã thông báo bảo mật OTP là thẻ thông minh dựa trên bộ vi xử lý hoặc thẻ khóa kích thước bỏ túi tạo mã số hoặc chữ số để xác thực quyền truy cập vào hệ thống hoặc giao dịch. Mã bí mật này thay đổi cứ sau 30 hoặc 60 giây, tùy thuộc vào cách mã thông báo được định cấu hình. Các ứng dụng thiết bị di động, như Google Authenticator, dựa vào thiết bị mã thông báo và mã PIN để tạo mật khẩu một lần để xác minh hai bước. Mã thông báo bảo mật OTP có thể được triển khai bằng phần cứng, phần mềm hoặc theo yêu cầu. Không giống như mật khẩu truyền thống duy trì trạng thái tĩnh hoặc hết hạn sau mỗi 30 đến 60 ngày, mật khẩu một lần được sử dụng cho một giao dịch hoặc phiên đăng nhập.

OTP thường được sử dụng để bảo vệ hai lớp giao dịch xác minh đăng nhập và đặc biệt là giao dịch với tài khoản ngân hàng. OTP giúp ngăn ngừa, giảm thiểu rủi ro bị tấn công khi mật khẩu bị lộ hoặc tin tặc xâm nhập.

Tại sao bạn cần mã OTP?

Như bạn đã biết, mã OTP là mật khẩu một lần, vì vậy sau khi giao dịch, ngay cả khi bạn tiết lộ mã OTP cũ và mật khẩu tài khoản ngân hàng, kẻ lừa đảo sẽ không nhận được tiền. về bản chất, mã OTP là một loại mã bảo mật được gửi đến điện thoại của bạn để giúp bạn xác nhận giao dịch cuối cùng của mình. Với phương thức này, tên côn đồ chỉ có thể chấp nhận tiền hoặc thực hiện giao dịch trực tuyến trong tài khoản của mình nếu anh ta có Internet Banking, điện thoại và mật khẩu để mở khóa điện thoại và đọc tin nhắn. SMS Nếu các ngân hàng không sử dụng mã OTP mà chỉ sử dụng một lớp bảo mật như trước đây, trong bối cảnh phát triển các tội phạm công nghệ như hiện nay, nguy cơ mất tiền trên tài khoản của khách hàng là rất cao.

Mã OTP thường được sử dụng ngày nay

Hiện tại, có ba hình thức cung cấp OTP chính. Bao gồm:

SMS OTP

Đây là hình thức phổ biến nhất của OTP. Mã OTP sẽ được gửi bằng tin nhắn SMS đến số điện thoại đã đăng ký. Để thực hiện giao dịch, bạn phải nhập mã OTP được gửi đến số điện thoại đã đăng ký. Hầu hết các ngân hàng tại Việt Nam ngày nay đều sử dụng mã OTP trên mẫu này.

Hình thức này không chỉ được sử dụng bởi các ngân hàng, mà còn bởi các công ty công nghệ lớn trên thế giới, như Google và Facebook, để tạo lớp bảo mật thứ hai cho tài khoản của bạn. Và bảo vệ này sẽ xuất hiện khi phát hiện bất kỳ hoạt động không xác định nào trên tài khoản của bạn.

Một nhược điểm của SMS OTP là người dùng không thể sử dụng nó ở những nơi không có sóng di động hoặc đi ra nước ngoài. Trong khi đó, các hình thức OTP khác sẽ được sử dụng.

Tokey Key (Tokey Card)

Đây là một thiết bị có thể giúp bạn tạo mã OTP, nó có thể tự động tạo sau mỗi phút mà không cần kết nối internet. Mỗi tài khoản phải đăng ký Khóa Tokey riêng cho từng tài khoản và sau một khoảng thời gian xác định, ngân hàng sẽ thay đổi Khóa Tokey.

Đây là một thiết bị nhỏ, nhỏ gọn để bạn luôn có thể mang theo bên mình. Tuy nhiên, người ta phải cẩn thận vì nó dễ bị mất.

Smart OTP là gì – Smart Token

Đây được coi là sự kết hợp hoàn hảo giữa SMS OTP và Token Key. Smart OTP được tích hợp với các ứng dụng trên điện thoại thông minh. OTP thông minh sẽ được gửi đến ứng dụng khi yêu cầu giao dịch được hiển thị.

Hiện tại ở Việt Nam, có các ngân hàng như VietBank và TPBank đang sử dụng các hình thức xác thực với Smart OTP song song với SMS OTP. Ngoài ra, Google cũng áp dụng Smart OTP và tạo ra ứng dụng của riêng mình có tên Google Authenticator.

Để sử dụng Smart OTP, người dùng cần đăng ký với ngân hàng hoặc nhà cung cấp dịch vụ. Ngoài ra, có thể không có nhiều thiết bị chia sẻ một ứng dụng tạo mã OTP.

Cách lấy mã OTP

Khi người dùng chưa được xác thực cố gắng truy cập hệ thống hoặc thực hiện giao dịch trên thiết bị, trình quản lý xác thực trên máy chủ mạng sẽ tạo một số hoặc bí mật chung, sử dụng thuật toán mật khẩu một lần. Số và thuật toán tương tự được sử dụng bởi mã thông báo bảo mật trên thẻ thông minh hoặc thiết bị để khớp và xác thực mật khẩu và người dùng một lần.

Nhiều công ty sử dụng Dịch vụ tin nhắn ngắn ( SMS ) để cung cấp mật mã tạm thời qua văn bản cho yếu tố xác thực thứ hai. Mật mã tạm thời được lấy ra khỏi băng thông qua liên lạc điện thoại di động sau khi người dùng nhập tên người dùng và mật khẩu của mình trên các hệ thống thông tin được nối mạng và các ứng dụng web hướng giao dịch.

Để xác thực hai yếu tố (2FA ), người dùng nhập ID người dùng, mật khẩu truyền thống và mật mã tạm thời để truy cập vào tài khoản hoặc hệ thống.

Mã OTP hoạt động như thế nào? 

Trong các phương thức xác thực dựa trên OTP, ứng dụng OTP của người dùng và máy chủ xác thực dựa trên các bí mật được chia sẻ. Các giá trị cho mật khẩu một lần được tạo bằng thuật toán Mã xác thực tin nhắn băm (HMAC) và một yếu tố di chuyển, chẳng hạn như thông tin dựa trên thời gian ( TOTP ) hoặc bộ đếm sự kiện (HOTP). Các giá trị OTP có dấu thời gian phút hoặc giây để bảo mật cao hơn. Mật khẩu một lần có thể được gửi đến người dùng thông qua một số kênh, bao gồm tin nhắn văn bản dựa trên SMS, email hoặc ứng dụng chuyên dụng trên thiết bị đầu cuối.

Các chuyên gia bảo mật từ lâu đã lo ngại rằng các cuộc tấn công giả mạo tin nhắn SMS và tấn công trung gian (MITM) có thể được sử dụng để phá vỡ các hệ thống 2FA dựa trên mật khẩu một lần. Tuy nhiên, Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST) đã công bố kế hoạch từ chối sử dụng SMS cho mật khẩu 2FA và mật khẩu một lần, vì phương pháp này dễ bị tấn công bởi các loại tấn công có thể làm tổn hại các mật khẩu và mã này. Do đó, các doanh nghiệp xem xét triển khai mật khẩu một lần nên khám phá các phương thức phân phối khác ngoài SMS.

Vì sao cần bảo vệ mã OTP cẩn thận

Bởi vì đây là lớp bảo mật cuối cùng, trước khi xác nhận thực hiện thanh toán nên mã OTP cần được bảo vệ cẩn thận. Hiện nay, mã OTP được dùng chủ yếu là SMS OTP nên bạn cần đặt mật khẩu cho điện thoại, để kẻ gian không lợi dụng sơ hở, lấy mã OTP từ điện thoại. Đồng thời cũng phải đặt mật khẩu cho ứng dụng.

Trong trường hợp bạn bị mất điện thoại hoặc mất thẻ, bạn cần phải gọi trực tiếp cho trung tâm khách hàng của ngân hàng hoặc các đơn vị dịch vụ để khóa thẻ hoặc tài khoản ngay. Điều này sẽ đảm bảo an toàn cho tài khoản của bạn.

Mã OTP được xem là lớp bảo mật an toàn thứ hai cho tài khoản của bạn. Với lớp bảo mật này, bạn có thể hoàn toàn yên tâm rằng các hoạt động của bạn sẽ được bảo vệ. Tuy nhiên, cũng khó tránh được việc sơ hở để lộ mã OTP, nên bạn cũng bảo vệ lớp mật khẩu này cẩn thận.

Mã OTP có an toàn tuyệt đối?

Có thể nói, mã OTP sẽ an toàn tuyệt đối nếu như bạn tuân thủ đúng các nguyên tắc cũng như quy trình sử dụng dịch vụ Internet Banking mà ngân hàng đưa ra. Đây là loại mã xác nhận vốn rất an toàn nhưng sẽ vẫn có kẽ hở nếu như bạn chủ quan. Điều gì sẽ xảy ra nếu như bạn sử dụng máy tính công cộng để đăng nhập vào tài khoản Internet Banking, bạn có việc ra ngoài và để quên luôn cả điện thoại bên cạnh máy, điều này hết sức nguy hiểm vì tài khoản của bạn sẽ chỉ được tự động đăng xuất sau vài phút, nếu như kẻ gian đủ nhanh, rất có thể bạn sẽ bị mất tiền.

Cũng vì thế mà các ngân hàng luôn khuyến cáo các khách hàng của mình không nên giao dịch thanh toán online trên máy tính công cộng, không đưa mã OTP cho người khác trong bất kỳ trường hợp nào cũng như phải nhanh chóng báo ngân hàng khóa chức năng giao dịch online khi điện thoại bị mất.