OTP là viết tắt của từ gì? Vì sao mã OTP chỉ tồn tại vài chục giây?

Mỗi khi thực hiện một giao dịch ngân hàng, đăng nhập tài khoản hoặc xác nhận một thao tác quan trọng, nhiều người đã quá quen với việc nhận một dãy số gửi về điện thoại hoặc hiển thị trên ứng dụng, được gọi là mã OTP.

Vậy mã OTP là gì?

OTP là viết tắt của “One-Time Password”, có nghĩa là mật khẩu sử dụng một lần. Khác với mật khẩu thông thường được người dùng tạo và sử dụng nhiều lần, OTP được tạo ra tạm thời cho một hành động cụ thể rồi bị vô hiệu hóa sau khi sử dụng hoặc hết thời gian chờ.

Ví dụ, bạn chuyển tiền trên ứng dụng ngân hàng, việc nhập đúng tên đăng nhập, mật khẩu hoặc thông tin tài khoản là chưa đủ để xác nhận giao dịch. Hệ thống cần thêm một bước để kiểm tra rằng người đang thực hiện thao tác thực sự đang sở hữu phương tiện xác thực đã đăng ký, như số điện thoại hoặc ứng dụng tạo mã.

Lúc này, OTP đóng vai trò như một “chìa khóa dùng một lần”.

Theo tổ chức tiêu chuẩn công nghệ bảo mật National Institute of Standards and Technology (NIST), OTP là phương thức xác thực thay đổi theo từng lần sử dụng, nhằm mục đích hạn chế tối đa rủi ro lừa đảo.

Vì sao mã OTP chỉ tồn tại vài chục giây?

Lý do quan trọng nhất nằm ở nguyên tắc: Càng tồn tại lâu, mã OTP càng có rủi ro bị đánh cắp và sử dụng trái phép.

Giả sử một mã OTP có hiệu lực trong vài giờ. Nếu kẻ lừa đảo lấy được mã OTP bằng cách chiếm quyền truy cập tin nhắn, lừa người dùng cung cấp mã hoặc đánh cắp thông tin trong quá trình truyền tải, họ sẽ có nhiều thời gian hơn để thực hiện hành vi gian lận

Ngược lại, khi mã OTP chỉ tồn tại trong 30-60 giây, “cửa sổ cơ hội” để lợi dụng mã bị thu hẹp đáng kể.

Theo tiêu chuẩn phổ biến RFC 6238 của Internet Engineering Task Force (IETF - Tổ chức quốc tế về xây dựng và phát triển các tiêu chuẩn kỹ thuật), mã OTP được tạo dựa trên một khóa bí mật kết hợp với thời gian thực, thường thay đổi theo chu kỳ cố định.

Nói đơn giản, hệ thống ngân hàng và ứng dụng xác thực đều biết một quy luật tạo mã chung. Khi đồng hồ chuyển sang khoảng thời gian mới, mã cũ không còn hợp lệ và một mã mới được tạo ra.

Đó cũng là lý do nếu nhập sai mã OTP liên tục, người dùng có thể sẽ bị tạm khóa xác thực. Đây không phải lỗi hệ thống mà là một biện pháp bảo vệ. Nếu không giới hạn số lần nhập mã OTP, kẻ gian có thể sử dụng các công cụ tự động để liên tục đoán các tổ hợp OTP khác nhau.

Do đó, các hệ thống thanh toán thường kết hợp nhiều lớp kiểm soát như: Giới hạn số lần nhập sai, yêu cầu xác thực lại khi có dấu hiệu bất thường, khóa tạm thời chức năng giao dịch khi phát hiện hành vi đáng ngờ.