SMS OTP - mật khẩu dùng một lần - là một mã số ngắn được gửi bằng tin nhắn văn bản để xác minh rằng bất kỳ ai đang cố đăng nhập, hoàn tất thanh toán hoặc đặt lại mật khẩu thực sự có quyền truy cập vào số điện thoại trong hồ sơ. Nó được sử dụng một lần và hết hạn ngay sau đó, thường trong vòng năm đến mười lăm phút.
Nó hoạt động như thế nào
- Người dùng thực hiện một hành động nhạy cảm — đăng nhập, thanh toán, đặt lại mật khẩu.
- Hệ thống tạo mã ngẫu nhiên, dùng một lần và gửi mã đó qua SMS đến số điện thoại được liên kết với tài khoản.
- Người dùng nhập lại mã đó vào ứng dụng hoặc trang web trong thời gian hết hạn.
- Hệ thống xác nhận mã khớp và cho phép hành động tiếp tục.
Tại sao phải gửi SMS cụ thể
SMS OTP hoạt động như một xác minh yếu tố thứ hai vì nó dựa vào thứ mà người dùng có - điện thoại của họ - tách biệt với thứ họ biết, chẳng hạn như mật khẩu. Ngay cả khi mật khẩu bị đánh cắp hoặc đoán được, kẻ tấn công không có quyền truy cập vật lý vào điện thoại (hoặc kiểm soát số điện thoại) thường không thể hoàn tất quá trình đăng nhập. SMS được sử dụng trên các kênh khác chủ yếu vì nó không cần ứng dụng, không cần kết nối internet và hoạt động trên hầu hết mọi điện thoại.
Sử dụng chung
- Xác thực hai yếu tố để đăng nhập
- Xác nhận thanh toán hoặc thay đổi chi tiết tài khoản
- Xác minh số điện thoại trong quá trình đăng ký tài khoản
- Cho phép đặt lại mật khẩu
SMS OTP có an toàn không?
SMS OTP là một cải tiến bảo mật đáng kể chỉ so với mật khẩu, nhưng nó không phải là yếu tố thứ hai mạnh mẽ nhất có thể — nó có thể dễ bị lừa đảo khi hoán đổi SIM, khi kẻ tấn công thuyết phục nhà cung cấp dịch vụ chuyển số của nạn nhân sang SIM mới hoặc để chặn trên các mạng được bảo mật kém. Đối với hầu hết các ứng dụng tiêu dùng, nó vẫn là một tiêu chuẩn thực tế, ít ma sát; các trường hợp sử dụng có mức độ bảo mật cao hơn ngày càng ghép nối hoặc thay thế nó bằng các ứng dụng xác thực hoặc khóa phần cứng.
Các phương pháp hay nhất dành cho doanh nghiệp gửi OTP
- Giữ thời hạn sử dụng ngắn - thông thường từ 5 đến 10 phút.
- Định tuyến lưu lượng OTP thông qua đường dẫn gửi chuyên dụng, có mức độ ưu tiên cao thay vì cùng hàng đợi với các tin nhắn tiếp thị.
- Giới hạn tỷ lệ tần suất có thể yêu cầu một mã cho cùng một số để tránh lạm dụng.
- Không bao giờ bao gồm bất cứ điều gì ngoài mã và một hướng dẫn ngắn — tin nhắn OTP là mục tiêu lừa đảo phổ biến cho các văn bản trông giống nhau.