Nhận mã OTP online

Mật khẩu dùng một lần là một bí mật ngắn mà dịch vụ tạo ra để dùng một lần rồi bỏ đi. Hai đặc tính định nghĩa nó: nó chỉ dùng được một lần, và nó hết hiệu lực ngay sau khi được cấp.

Nó đến qua một trong vài kênh, và các kênh này không tương đương nhau. SMS được hỗ trợ rộng rãi nhất và là kênh mà các số này phục vụ. Ứng dụng xác thực tạo mã ngay trên thiết bị của bạn từ một bí mật dùng chung, không có mạng nào ở giữa. Email thường dùng làm phương án dự phòng. Cuộc gọi thoại đọc to các chữ số qua điện thoại. Chỉ kênh đầu tiên liên quan đến một số điện thoại mà bạn có thể thuê.

Thứ tự thao tác chính là toàn bộ bí quyết:

1. Đặt số trước. Chọn dịch vụ bạn cần nhận mã và để số được cấp trước khi bạn động vào biểu mẫu đăng ký.
2. Nhập số trên trang web. Dán số vào ô yêu cầu số điện thoại và bấm gửi.
3. Theo dõi đơn. Tin nhắn hiện ra ngay khi nhà mạng chuyển tới — không cần tải lại, không có hộp thư nào phải đồng bộ.
4. Dùng ngay lập tức. Khi bạn đọc được mã, nó đã trôi qua một phần thời hạn của chính nó rồi.

Sai lầm thường gặp là làm bước một và bước hai theo thứ tự ngược lại: yêu cầu OTP trước, rồi mới đi mua số. Dịch vụ đã bắt đầu đếm giờ khi bạn bấm gửi, và giờ bạn đang tiêu khoảng thời gian đó vào việc thanh toán.

Luôn có hai bộ đếm ngược chạy song song và không cái nào hiển thị đầy đủ cho bạn.

Đồng hồ của dịch vụ bắt đầu khi bạn yêu cầu mã và thường kéo dài vài phút. Đồng hồ của số bắt đầu khi đơn được tạo và được hiển thị trên đơn. Một mã đến trong khoảng thời gian thứ hai nhưng nằm ngoài khoảng thứ nhất vẫn được giao, vẫn hiện ra, nhưng đã vô dụng — đó là lý do «mã đã đến nhưng báo không hợp lệ» là kết cục quen thuộc đến vậy.

Trên thực tế: đừng yêu cầu OTP cho tới khi số đã ở ngay trước mặt bạn, và đừng gửi dồn nhiều yêu cầu với hy vọng một cái sẽ đến. Các yêu cầu lặp lại thường làm mất hiệu lực những mã trước đó và có thể kích hoạt giới hạn tần suất khiến dịch vụ ngừng gửi hẳn một thời gian.

Xử lý theo đúng thứ tự này, vì mỗi bước loại trừ một khả năng:

• Kiểm tra đơn chứ không phải biểu mẫu đăng ký. Tin nhắn hiện trên đơn ngay khi nhà mạng chuyển tới; biểu mẫu thì không hề biết.
• Nếu số hết hạn mà không nhận được gì, hãy hủy nó. Tiền sẽ được hoàn lại khi không có gì được nhận.
• Yêu cầu thêm một lần nữa trên một số mới, và nhập số đó trên trang web ngay lập tức.
• Nếu số thứ hai cũng không nhận được gì, dịch vụ đang từ chối số chứ không phải làm mất tin nhắn — chỉ có một dịch vụ khác, hoặc một cách tiếp cận khác với tài khoản đó, mới thay đổi được kết quả.

Điều không giúp ích là thử lại trên cùng một số. Nếu tin nhắn chưa bao giờ được gửi, chờ bao lâu cũng không làm nó xuất hiện. Xác minh SMS đi qua chính đường gửi tin và những điểm mà mã thất lạc dọc đường.

OTP là một thông tin xác thực. Từ đó có ba quy tắc, và quy tắc thứ ba là điều kiện để dùng dịch vụ này:

• Không ai hợp pháp sẽ yêu cầu bạn đọc mã cho họ. Không phải bộ phận hỗ trợ, không phải người giao hàng, không phải ngân hàng. Một yêu cầu xin mã của bạn chính là cuộc tấn công.
• Đừng nhập mã mà bạn không yêu cầu. Một OTP bất ngờ nghĩa là ai đó đã có mật khẩu của bạn và đang đứng trước cánh cửa thứ hai.
• Chỉ nhận mã cho những tài khoản bạn có quyền. Thuê số để xác minh tài khoản bạn đang tạo hoặc tài khoản của chính bạn. Nhận OTP thuộc về tài khoản của người khác là gian lận, và các số này không được bán cho mục đích đó.

SMS là yếu tố thứ hai tương thích nhất và cũng là yếu tố yếu nhất trong số những yếu tố phổ biến. Một số điện thoại có thể bị chuyển mạng khỏi chủ sở hữu, và một số thuê theo định nghĩa không phải là của bạn vĩnh viễn. Với bất cứ thứ gì giữ tiền hoặc danh tính, ứng dụng xác thực hoặc khóa bảo mật phần cứng là yếu tố thứ hai tốt hơn hẳn, và phần lớn dịch vụ có SMS cũng có một trong hai lựa chọn đó.

Đây là một khuyến nghị thẳng thắn, đi ngược với chính thứ được bán ở đây: số thuê là công cụ đúng cho một lần xác minh, và là công cụ sai cho yếu tố thứ hai lâu dài trên một tài khoản bạn quan tâm.