2FA là gì? Và những mã 30 giây ấy thực sự hoạt động ra sao?

2FA (xác thực hai yếu tố) nghĩa là chứng minh bản thân bằng hai loại bằng chứng khác nhau: thứ bạn biết (mật khẩu) cộng với thứ bạn có (mã đổi mới mỗi 30 giây, khóa bảo mật hoặc điện thoại). Mật khẩu một mình có thể bị lộ hoặc bị đoán ra; có thêm yếu tố thứ hai, mật khẩu đã bị lộ sẽ mất tác dụng nếu đứng một mình.

Vì mật khẩu cứ thất bại đều đặn. Hàng tỷ mật khẩu thật đã bị công khai qua các vụ rò rỉ dữ liệu, và kẻ tấn công dùng chúng để đăng nhập tài khoản của người khác (credential stuffing) suốt ngày đêm. Theo Microsoft, 2FA chặn trên 99,9% các cuộc tấn công tự động nhằm chiếm đoạt tài khoản — nó bảo vệ email, ngân hàng, mạng xã hội, game và tài khoản tiền điện tử của bạn trước đúng những mối đe dọa có thật ngoài kia.

Nó bảo vệ mọi đăng nhập mà kẻ khác muốn đoạt: email và tài khoản đám mây (Google, Microsoft, Apple), ngân hàng và tài chính, sàn tiền điện tử (Binance, Coinbase, Kraken), nền tảng lập trình (GitHub, AWS), game (Steam, Discord, Twitch), mạng xã hội (X, Instagram). Nơi làm việc cũng dùng nó cho VPN, email và bảng điều khiển quản trị. Bất cứ đâu một dịch vụ có tùy chọn “ứng dụng xác thực”, 2FA chính là công cụ phù hợp.

Sau khi bạn nhập mật khẩu, dịch vụ yêu cầu thêm một bằng chứng thứ hai. Với phương pháp phổ biến nhất (TOTP), trình xác thực của bạn tạo ra một mã 6 chữ số mới từ “khóa bí mật dùng chung + thời gian hiện tại” (chuẩn RFC 6238), trong khi máy chủ tính toán y hệt và so kết quả. Mã xoay vòng mỗi 30 giây và không bao giờ dùng lại được, nên kẻ tấn công chỉ có mật khẩu của bạn vẫn không vào được.

Website cấp cho bạn một khóa bí mật (thường dưới dạng mã QR hoặc chuỗi Base32). Trình xác thực tính HMAC (SHA-1, đôi khi SHA-256 hoặc SHA-512) trên cửa sổ thời gian 30 giây hiện tại với khóa đó, rồi đọc ra 6 chữ số từ kết quả. Website chạy phép tính y hệt và so sánh. Không cần kết nối mạng vì hai bên đã chia sẻ khóa từ trước.

Bạn lấy 2FA ngay trong tài khoản muốn bảo vệ: mở mục cài đặt, tìm “Bảo mật” hoặc “Đăng nhập & bảo mật”, rồi tìm “Xác thực hai yếu tố” hoặc “Xác minh hai bước”. Chọn tùy chọn ứng dụng xác thực, quét mã QR (hoặc hiển thị khóa thiết lập), và nhập mã đang hiển thị trong trình xác thực để xác nhận. Bài hướng dẫn từng bước về cách lấy mã không cần điện thoại nằm tại /vi/how-to-get-2fa-code/.

Bốn bước: 1) Mở cài đặt tài khoản hoặc cài đặt bảo mật của dịch vụ và chọn “Xác thực hai yếu tố”. 2) Chọn “Dùng ứng dụng xác thực” (tránh SMS nếu có thể). 3) Quét mã QR bằng trình xác thực — hoặc bấm “không thể quét?” và lưu khóa thiết lập. 4) Nhập mã trực tiếp để hoàn tất, sau đó tải xuống hoặc in các mã sao lưu/khôi phục màn hình hiển thị. Chúng tôi có hướng dẫn riêng cho Google, GitHub, Discord, Binance và nhiều dịch vụ khác tại /guides/.

Tùy vào yếu tố thứ hai bạn dùng. Mã SMS yếu nhất — tấn công SIM swap có thể chiếm đoạt số điện thoại và nhận mọi mã. Mã của trình xác thực TOTP (kiểu đổi mỗi 30 giây) mạnh về mặt tính toán: kẻ tấn công ngoại tuyến không thể suy ra, và mã trực tiếp hết hạn trong vài giây. Khóa bảo mật phần cứng và passkey mạnh nhất, vì chúng chống lừa đảo và gắn chặt bằng mật mã với website thật.

Không có biện pháp bảo mật nào an toàn 100%, và các cẩm nang 2FA trung thực đều thừa nhận điều đó. 2FA vô hiệu hóa mật khẩu bị đánh cắp, nhưng bản thân mã vẫn có thể bị lừa nếu bạn nhập mã còn hạn vào một trang giả trong cửa sổ 30 giây của nó; mã độc đã chạy sẵn trên máy của bạn có thể đánh cắp phiên đăng nhập; còn nếu SMS là yếu tố thứ hai, SIM swap là mối đe dọa có thật. Dù vậy, bật 2FA khiến bạn khó bị tấn công hơn hẳn các tài khoản chỉ dùng mật khẩu.

Không phải theo luật, nhưng ngày càng nhiều dịch vụ làm nó bắt buộc: GitHub áp dụng với người đóng góp mã từ 2023, nhiều ngân hàng và sàn tiền điện tử bật mặc định, và nơi làm việc thường yêu cầu cho các đăng nhập công việc. Ở những nơi khác, nó là tùy chọn nhưng được khuyến khích mạnh. Trong thực tế, hãy coi 2FA là bắt buộc với những tài khoản giá trị nhất: email trước tiên, vì hộp thư bị chiếm đoạt có thể đặt lại tất cả những gì còn lại.

Vì thời kỳ chỉ có mật khẩu đã thất bại. Các vụ rò rỉ hàng loạt công khai hàng tỷ thông tin đăng nhập, các tấn công credential stuffing được tự động hóa và trở nên rẻ mạt, và giờ chính các nền tảng phải gánh chi phí của tài khoản bị chiếm đoạt. Các cơ quan quản lý cũng thúc ép: NIST đã loại SMS khỏi chuẩn xác thực của Mỹ, và luật PSD2 của EU yêu cầu xác thực khách hàng mạnh. Khi vài gã khổng lồ biến 2FA thành chuyện bình thường, mọi dịch vụ khác nối gót là tự nhiên.

OTP đơn giản là “mật khẩu dùng một lần” (one-time password). TOTP (OTP theo thời gian, RFC 6238) tạo mã từ thời gian hiện tại, nên mã đổi mỗi 30 giây. HOTP (RFC 4226) dựa trên bộ đếm: mỗi mã dùng một lần rồi bộ đếm tăng lên. Gần như mọi dịch vụ kiểu “ứng dụng xác thực” — Google, Microsoft, Discord, GitHub — đều dùng TOTP.

Mã SMS đi qua mạng viễn thông, nơi nó có thể bị đánh chặn hay đánh cắp bằng tấn công SIM swap — và đôi khi SMS đơn giản là không tới. Mã TOTP được tính ngay trên thiết bị của bạn, không bao giờ gửi đi đâu, và hết hạn trong vài giây. Các cơ quan bảo mật, trong đó có NIST, đã không còn khuyến nghị SMS làm phương thức xác thực.

Có — nếu bạn nhập một mã còn hạn vào trang lừa đảo trong cửa sổ 30 giây của nó, kẻ tấn công có được một lần đăng nhập hợp lệ. Đó là lý do các yếu tố chống lừa đảo (khóa bảo mật phần cứng và passkey, vốn gắn chặt bằng mật mã với đúng tên miền thật) là lựa chọn mạnh nhất ở những dịch vụ có hỗ trợ. TOTP đánh bại SMS và mật khẩu, chứ không đánh bại khóa phần cứng.

Trong két mã hóa của một trình quản lý mật khẩu, như bản gốc của bạn. Như vậy bạn có thể tạo lại mã trên bất kỳ thiết bị đáng tin cậy nào — kể cả trong trình duyệt bằng công cụ như 2facounter.com — khi điện thoại không dùng được. Đồng thời hãy lưu các mã khôi phục (recovery code) mà mọi dịch vụ đều in ra khi bạn bật 2FA; đó mới là “túi khí” thật sự của bạn.