เปิดเผย ‘ความลับ’ ของรหัส OTP

ทุกครั้งที่คุณเข้าสู่ระบบหรือชำระเงิน รหัส OTP จะใช้ได้เพียงประมาณ 30 วินาทีเท่านั้น จากนั้นก็จะหายไป เหตุใดจึงมีข้อจำกัดดังกล่าว และมีระบบใดอยู่เบื้องหลังการสร้างรหัสอย่างรวดเร็วในขณะที่ยังคงรับประกันความปลอดภัยอยู่

รหัส OTP แต่ละรหัสจะแตกต่างกันในแต่ละครั้งและไม่สามารถซ้ำกันได้

OTP เป็นองค์ประกอบที่คุ้นเคยในชีวิตดิจิทัลในปัจจุบัน ตั้งแต่ธุรกรรมทางการเงินไปจนถึงการปกป้องบัญชีโซเชียลเน็ตเวิร์ก แทบไม่มีใครรู้ว่าชุดตัวเลขที่หายไปอย่างรวดเร็วนี้ถูกสร้างขึ้นโดยใช้กลไกการเข้ารหัสที่ซับซ้อน โดยรวมคีย์ลับแบบเรียลไทม์และอัลกอริทึมมาตรฐานเข้าด้วยกัน

การทำความเข้าใจว่า OTP ทำงานอย่างไรช่วยให้ผู้ใช้มีความอุ่นใจและเข้าใจอย่างชัดเจนมากขึ้นถึงวิธีการรักษาความปลอดภัยที่ได้รับความนิยมมากที่สุดวิธีหนึ่งในปัจจุบัน

OTP 'กำแพง'

OTP ย่อมาจาก One Time Password ซึ่งหมายถึงรหัสผ่านที่สามารถใช้ได้เพียงครั้งเดียว โดยปกติรหัสนี้จะมี 6 หลักที่สร้างขึ้นแบบสุ่มและปรากฏในการดำเนินการต่างๆ เช่น การโอนเงินผ่านธนาคาร การเข้าสู่ระบบโซเชียลเน็ตเวิร์ก หรือการยืนยันบัญชี

สิ่งที่ทำให้ OTP พิเศษคือระยะเวลาใช้งานที่สั้นมาก คือเพียง 30 ถึง 60 วินาที หลังจากนั้นรหัสจะหมดอายุและจะต้องสร้างใหม่หากไม่ได้ใช้งาน ซึ่งจะช่วยลดความเสี่ยงที่ผู้ไม่ประสงค์ดีจะใช้ประโยชน์จากรหัสเก่าหรือใช้รหัสซ้ำ

ปัจจุบันธนาคารหลายแห่งในเวียดนามใช้ OTP เพื่อยืนยันธุรกรรมออนไลน์ ผู้ใช้จะได้รับรหัสที่ส่งไปยังโทรศัพท์ของตนและต้องป้อนรหัสให้ถูกต้องภายในเวลาที่กำหนด ในทำนองเดียวกัน แพลตฟอร์มเช่น Google และ Facebook ก็ใช้ OTP ในการยืนยันตัวตนแบบสองขั้นตอนเพื่อปกป้องบัญชีเช่นกัน

แม้ว่าจะมีลักษณะเรียบง่ายและชั่วคราว แต่ OTP ก็ถือเป็นระบบป้องกันที่มีประสิทธิภาพสูงสุดระบบหนึ่งในปัจจุบัน ความสั้นของรหัสนี้ไม่ใช่แบบสุ่ม แต่ถูกควบคุมโดยระบบการสร้างรหัสที่เข้มงวด โดยอิงตามเวลาและหลักการเข้ารหัสเฉพาะ

รหัสเดียว การใช้งานหนึ่งครั้ง มาจากไหน?

ปัจจุบันรหัส OTP ส่วนใหญ่สร้างขึ้นโดยใช้กลไก TOTP ซึ่งย่อมาจาก Time based One Time Password ซึ่งเป็นรหัสแบบเรียลไทม์ที่ปกติจะคงอยู่เพียงประมาณ 30 วินาที จากนั้นจึงถูกแทนที่ด้วยรหัสใหม่

นอกจาก TOTP แล้วยังมีกลไกอีกอย่างหนึ่งที่เรียกว่า HOTP ซึ่งใช้ตัวนับแทนตัวจับเวลา อย่างไรก็ตาม HOTP เป็นที่นิยมน้อยกว่าเนื่องจากรหัสจะไม่หมดอายุโดยอัตโนมัติหลังจากเวลาที่กำหนด

ในการสร้างรหัส OTP แต่ละรายการ ระบบจะต้องมีองค์ประกอบสองอย่าง ได้แก่ รหัสลับถาวรที่ไม่ซ้ำกันซึ่งกำหนดให้กับแต่ละบัญชี และเวลาปัจจุบันตามนาฬิกาของระบบ ทุกๆ 30 วินาที เวลาจะถูกแบ่งออกเป็นส่วนเท่าๆ กันและรวมกับรหัสลับเพื่อสร้างรหัสใหม่ วิธีนี้ ไม่ว่าคุณจะใช้แอปตรวจสอบสิทธิ์ที่ใด ตราบใดที่เวลาบนอุปกรณ์ของคุณตรงกับเซิร์ฟเวอร์ รหัส OTP ก็จะถูกต้อง

แต่ละช่วงเวลา 30 วินาทีถือเป็น "ช่วงเวลา" เมื่อเวลาเปลี่ยนไปที่ช่วงเวลาถัดไป รหัสใหม่จะถูกสร้างขึ้น รหัสเก่าแม้จะไม่ถูกลบ แต่จะกลายเป็นรหัสที่ไม่ถูกต้องโดยอัตโนมัติเนื่องจากไม่ตรงกับเวลาปัจจุบันอีกต่อไป กลไกนี้ทำให้รหัส OTP แต่ละรหัสสามารถใช้งานได้เฉพาะในเวลาที่ถูกต้องเท่านั้น และไม่สามารถนำกลับมาใช้ซ้ำได้หลังจากผ่านไปสองสามสิบวินาที

  กระบวนการสร้างรหัสเป็นไปตามมาตรฐานสากล RFC 6238 โดยใช้อัลกอริทึม HMAC SHA1 สำหรับการเข้ารหัส แม้ว่าระบบจะสร้างรหัสได้เพียง 6 หลัก แต่ระบบก็มีความซับซ้อนเพียงพอที่จะทำให้การคาดเดาแทบจะเป็นไปไม่ได้ ผู้ใช้แต่ละคนมีรหัสเฉพาะตัว และเวลาในการสร้างรหัสก็แตกต่างกัน ดังนั้นความน่าจะเป็นที่รหัสจะซ้ำกันจึงแทบจะเป็นศูนย์

จุดที่น่าสนใจคือแอปพลิเคชันอย่าง Google Authenticator หรือ Microsoft Authenticator สามารถสร้างรหัส OTP ได้โดยไม่ต้องใช้สัญญาณอินเทอร์เน็ตหรือโทรศัพท์ หลังจากได้รับรหัสลับเริ่มต้นแล้ว แอปพลิเคชันจะต้องซิงโครไนซ์เวลาที่แน่นอนเท่านั้นจึงจะทำงานได้อย่างอิสระ ซึ่งจะช่วยเพิ่มความยืดหยุ่นในขณะที่ยังคงมั่นใจในความปลอดภัยระหว่างกระบวนการตรวจสอบสิทธิ์

ความเสี่ยงจากรหัส OTP และวิธีป้องกันตนเอง

รหัส OTP เป็นชั้นการป้องกันที่มีประสิทธิภาพแต่ไม่ปลอดภัยโดยสิ้นเชิง ในการหลอกลวงครั้งล่าสุดหลายๆ ครั้ง ผู้ร้ายไม่จำเป็นต้องโจมตีโดยใช้เทคโนโลยีขั้นสูง แต่เพียงแค่ขอให้เหยื่อระบุรหัส OTP เอง

การโทรปลอมจากพนักงานของธนาคาร ข้อความปลอมพร้อมลิงก์เข้าสู่ระบบ หรือการแจ้งเตือนการได้รับรางวัล ล้วนมีเป้าหมายเพื่อรับรหัส OTP ภายในระยะเวลาที่ถูกต้อง

มัลแวร์บางตัวสามารถอ่านข้อความที่มีรหัส OTP โดยไม่แสดงอาการหากผู้ใช้ให้สิทธิ์แก่แอปพลิเคชันที่ไม่รู้จัก นี่เป็นสาเหตุที่บริการต่างๆ มากมายหันมาใช้แอปที่สร้างรหัสเองแทนที่จะส่งรหัสผ่านข้อความ วิธีนี้ทำให้รหัสไม่ขึ้นอยู่กับเครือข่ายมือถือและดักจับได้ยากขึ้น

เพื่อปกป้องบัญชีของคุณ คุณไม่ควรแบ่งปัน OTP กับใครก็ตาม หากคุณได้รับสายโทรศัพท์ ข้อความ หรือลิงก์ที่ขอรหัสที่ผิดปกติ ให้หยุดและตรวจสอบข้อมูลดังกล่าวอย่างระมัดระวัง การใช้การตรวจสอบสิทธิ์สองขั้นตอนกับแอป เช่น Google Authenticator หรือ Microsoft Authenticator ถือเป็นวิธีสำคัญในการเพิ่มความปลอดภัย

ทาน ทู

ที่มา: https://tuoitre.vn/he-lo-bi-mat-ma-otp-20250704115450312.htm