Tạo Mã 2FA

Mã 2FA Là Gì?

Mã 2FA là mật khẩu một lần gồm sáu chữ số, dùng để chứng minh bạn đang giữ yếu tố thứ hai bên cạnh mật khẩu. Các dịch vụ gọi nó là mã xác thực hai yếu tố, mã xác minh, hoặc đơn giản là OTP. Chuẩn nằm sau gần như tất cả các mã này là TOTP — mật khẩu một lần dựa trên thời gian, được định nghĩa trong RFC 6238.

Khi bạn bật xác thực hai yếu tố, dịch vụ sẽ hiển thị một khóa bí mật: một chuỗi ngắn gồm chữ và số ở dạng Base32, ví dụ JBSWY3DPEHPK3PXP. Khóa đó cùng với thời gian hiện tại được đưa qua cùng một phép tính ở cả hai phía, nên ứng dụng xác thực của bạn và dịch vụ cho ra mã giống hệt nhau mà không cần liên lạc với nhau. Kết quả thay đổi mỗi 30 giây, vì vậy một mã bị chặn bắt gần như mất giá trị ngay lập tức.

Bất cứ công cụ nào triển khai đúng chuẩn đều cho ra cùng một mã từ cùng một khóa — không có mã riêng của Google hay riêng của Authy. Chính điều đó cho phép trang này thay thế ứng dụng xác thực khi bạn không có điện thoại bên mình. Để hiểu rõ hơn, hãy đọc xác thực hai yếu tố là gì và cách thuật toán TOTP tạo ra từng mã.

Tạo Mã 2FA Trên Trình Duyệt Có An Toàn Không?

Điều đó hoàn toàn phụ thuộc vào nơi phép tính được thực hiện. Một số công cụ tạo mã 2FA online gửi khóa bí mật của bạn lên server của họ rồi gửi mã về — nghĩa là người vận hành nhìn thấy chính cái khóa đang bảo vệ tài khoản của bạn. Trang này không hoạt động theo cách đó.

Mã của bạn được tính ngay trong trình duyệt bằng Web Crypto API, và bạn có thể tự kiểm chứng trong mười giây: mở tab Network của trình duyệt và xem là không có gì được gửi đi, hoặc đơn giản hơn là ngắt kết nối internet sau khi trang đã tải xong. Công cụ vẫn chạy bình thường, bởi vì chẳng có gì để gửi. Với những tài khoản giá trị cao — ngân hàng, email chính, ví crypto — khóa cứng hoặc một ứng dụng trên thiết bị của riêng bạn vẫn là lựa chọn đúng đắn, và trang bảo mật nói rõ khi nào nên dùng cái nào.

Quyền Riêng Tư Và Cách Tự Kiểm Chứng

Công cụ này dùng Web Crypto API có sẵn trong trình duyệt để tạo mã TOTP. Điều đó có nghĩa là:

• Không gửi gì lên máy chủ: Sau khi trang tải xong, không có bất kỳ yêu cầu mạng nào được gửi đi. Bạn có thể tự kiểm tra trong tab Network của công cụ dành cho nhà phát triển.
• Không lưu trữ: Khóa bí mật chỉ nằm trong bộ nhớ trình duyệt khi tab còn mở. Đóng tab là mất. Không cookie, không localStorage, không cơ sở dữ liệu.
• Không theo dõi: Không có script phân tích, không tài nguyên bên thứ ba, không lấy dấu vân tay trình duyệt. Trang không gửi dữ liệu đi đâu cả.
• Chuẩn mở: Việc tạo mã tuân theo RFC 6238 (TOTP) và RFC 4226 (HOTP) — đúng những chuẩn mà Google Authenticator và mọi ứng dụng xác thực lớn đang dùng.

Muốn chắc chắn hơn? Hãy ngắt kết nối mạng sau khi trang đã tải — công cụ vẫn hoạt động bình thường.

Muốn xem mô hình mối đe dọa đầy đủ, kể cả khi không nên dùng công cụ này? Hãy đọc trang bảo mật (tiếng Anh).