Gmail, loại bỏ tùy chọn SMS 2FA, và trò đùa QR code
Cập nhật: 25/02/2025
Giống nhiều "nerd" khác, hôm qua và hôm nay, tôi đọc một đống tin tức về việc Google định gỡ bỏ SMS như một tùy chọn cho Xác thực 2 yếu tố (2FA) cho tài khoản Gmail. Riêng việc này không quá lớn. Có thể thậm chí là điều tốt. Nhưng phương án thay thế được ca ngợi, dưới dạng QR code, là một phát triển đáng báo động. Vô nghĩa hoàn toàn, nếu hỏi ý kiến tôi.
Thực tế, tôi ngay lập tức cảm thấy buộc phải viết bài này. Google chưa công bố triển khai giải pháp này. Có thể chỉ là cách lịch sự hướng người dùng sang authenticator app. Điều đó, lại là tốt. Hoặc có thể là nỗ lực khiến con người càng thêm phục tùng hệ sinh thái Google, dưới danh nghĩa bảo mật. Hay điều gì đó hoàn toàn khác. Chúng ta sẽ thấy. Nhưng tôi muốn bàn về những "lợi ích" giản đơn của bất cứ thứ gì liên quan QR. Bắt đầu.
SMS "Không An Toàn"
Các "techbros" sẽ nói cho bạn biết. Họ nói SMS gửi dưới dạng plain text, ai đó có thể chặn mã. Và đã có tấn công SIM Swap, số điện thoại của chủ sở hữu hợp pháp bị chuyển port sang kẻ xấu mà người dùng không hay. Họ dùng các trường hợp đơn lẻ này làm ví dụ của sự sập sụp sắp tới.
Có ba lý do đây là hype (phóng đại):
- Hầu như tất cả nạn nhân SIM swap là nhân vật công众 nổi bật, và họ có thể hàng ngàn lo ngại khác về giám sát và riêng tư. Những người đó không phải bạn, tôi, hay nông dân ngẫu nhiên nào. Đừng giàu, vấn đề giải quyết. Hoặc nếu giàu, hãy chọn 2FA/MFA không dựa trên SMS. Vấn đề giải quyết lại, không cần cái mới.
- Gần như mọi trường hợp SIM swap, trọng tâm là trung gian. Để thực hiện, cần nhân viên đồng ý, AKA insider tham nhũng, hỗ trợ quá trình. Không công nghệ nào đánh bại được tham lam được củng cố bằng hối lộ nặng nề.
- Đây là bài toán của Mỹ – quốc gia không cấp CCCD (national ID) cho cư dân. Hoặc bất kỳ quốc gia nào không dùng CCCD. Ở hầu hết nơi, bạn phải hiện thân, xuất trình thẻ CCCD (có nhiều chi tiết duy nhất), và chỉ khi đó mới port số, hoặc tương tự. Điều này không chống lại nhân viên tham nhũng, tất nhiên. Cũng không biện minh cho SMS. Nhưng nó giảm cơ hội SIM swap ngẫu nhiên dựa trên chi tiết vô nghĩa như ZIP code hay ngày sinh làm "định danh duy nhất". Ngoài ra, nhìn các vụ hack nổi bật gần đây, bạn sẽ thấy hàng tá trường hợp nhân viên telco và công ty bảo mật xử lý dữ liệu siêu nhạy cảm bị lừa phishing nộp credential hệ thống quan trọng, ngay cả với 2FA/MFA không dùng SMS. Lại một lần, công nghệ không thể giải quyết được sợ hãi, hoảng loạn, nhầm lẫn...
Nếu ai đó có thể chặn được SMS này, bạn có vấn đề LỚN, LỚN HƠN NHIỀU giữa tay.
SMS là gì? Nó đơn giản và tin cậy. Và nó không gắn bạn vào smartphone hay dữ liệu di động. Bạn nhận SMS trên hầu như bất kỳ thiết bị nào có SIM, thậm chí điện thoại năm 2005 nếu muốn. Và đó là thiết bị an toàn hơn nhiều ngày nay, nhất là nếu không kết nối Internet. An toàn gấp nhiều lần smartphone bạn đang dùng.
QR Code Nghĩa Là: KHÔNG CHO NGƯỜI NGHÈO VÀ NGƯỜI GIÀ
Để quét QR code, bạn gần như chắc chắn cần smartphone. Người California sẽ khó tin, nhưng người nghèo tồn tại, người già cũng vậy, cả hai đều không thể mua và/hoặc sử dụng app smartphone phức tạp.
Ví dụ, tôi biết vài ngân hàng áp dụng app mobile quét QR để ủy quyền các hoạt động. Bạn biết người già xử lý thế nào? Họ đến trực tiếp chi nhánh, xếp hàng chờ nhân viên giúp. Với công ty tham lam, mọi thứ offshored và/hoặc giao cho "AI" bot, nếu bạn không dùng smartphone, cơ hội tương tác với dịch vụ gần như bằng 0. Đây thực chất là một ngón giữa lớn dành cho bất kỳ ai trên 65 tuổi hoặc không đủ giàu để mang thiết bị mới.
Điều này ảnh hưởng đến tỷ lệ lớn người? Có lẽ không. Nhưng nếu đủ tốt để "tỉa tỉa" những "không mong muốn" khỏi xã hội dựa trên quyết định tech tùy tiện, thì...
QR "An Toàn"
Techbros sẽ nói. Không, chúng không an toàn. Chúng là triển khai "bảo mật" ngu ngốc nhất từ trước đến nay. Là một hình tượng không thể giải mã. Một thứ huyền bí, thần bí cho người không chữ. Chúng ta đang lùi từ ngôn ngữ từ ngữ của con người sang hieroglyphs (hình tượng tượng hình) như năm 3000 TCN. Nhưng hey, người ngu dễ kiểm soát hơn, và lợi nhuận cao hơn.
Không có gì tốt về QR code trừ việc chúng yêu cầu camera. Hai ví dụ gần đây về công nghệ tệ này: Trên Nokia X10 của tôi, một bản cập nhật hệ thống phá vỡ quét QR trong một thời gian khá dài. Đúng, ngay cả khi tôi muốn, tôi không quét được gì. Tuyệt vời, phải không. Trên Samsung A54, nếu không cấp quyền EXTRA cho Google Play Services, bạn không thể quét QR code với Google Authenticator – một app hoàn toàn riêng biệt. Một màn hình dystopian đẹp đẽ:
Quét Xong, Rồi Sao?
Giả sử một giây đây là triển khai. Và? Người dùng vẫn có thể bị dẫn đến trang phishing giống Gmail có QR code. Và các trang đó sẽ đưa mọi người vòng quanh web dữ tợn như trước. Có thể thậm chí dễ dàng hơn. Nhớ rằng, trong nhiều vụ hack nổi bật, người dùng cung cấp cho kẻ xấu mã 6 chữ số real-time, bằng cách nhập vào trường trông y hệt thật. Lại một lần, công nghệ không giải quyết được sợ hãi, hoảng loạn, nhầm lẫn... Nếu có gì, công nghệ MỒ CỘI chỉ làm tăng cảm xúc này, khiến con người dễ mắc lỗi hơn.
Có khả năng khác. Đây chỉ là drama từ ngữ tồi. Có thể chỉ có nghĩa là bạn cần dùng authenticator app đơn giản sinh mã OTP. Tùy chọn đó đã tồn tại, nên không cần làm gì, hay tuyên bố lớn. Fallback (dự phòng) là chìa khóa, nhưng mà không bao giờ làm phiền các công ty tech và cái shiny, move-fast nonsense của họ (giả định SMS vẫn tồn tại cho một số chức năng). Dù sao, QR code là vô nghĩa và vô dụng. Cuối cùng, QR code trong authenticator app chỉ là seed hash để app sinh mã liên quan. Chúng tồn tại vì "gõ trên điện thoại" khó. Ôi không! Khóc cho tôi một sông. Như huấn luyện viên bóng rổ huyền thoại Zeljko Obradovic nói, dịch ý: QR code nào? Cái QR code này? Đùa đấy, anh bạn ơi.
Và nếu nó là một thứ hoàn toàn mới, thì sao? Gắn một điện thoại với một tài khoản? Nghĩa là kém riêng tư hơn, tất nhiên. Hôm nay, bạn không thực sự cần làm gì trên điện thoại nếu muốn dùng Gmail. Bạn có thể dùng authenticator app, không đồng bộ mã lên đám mây, dùng tài khoản hoàn toàn tách biệt trên điện thoại so với desktop, dùng nhiều tài khoản, v.v. Tôi không muốn quá cynical, nhưng đây là cơ hội vàng để ép người dùng phải xác thực trên điện thoại mãi mãi và đầu hàng thêm phần cuộc sống vô nghĩa cho các chúa tể dữ liệu.
Tôi không biết có thành hiện thực không, nhưng tôi không có lý do để lạc quan. Nhìn 15 năm qua. Tài khoản online cho mọi thứ, cloud cloud cloud khắp nơi, Manifest V3, quảng cáo, "riêng tư" quảng cáo và rác rưởi vô ích khác. Mọi thứ thiết kế để hút thêm dữ liệu từ kẻ ngốc, khiến họ càng kết nối, nghiện, phụ thuộc vào công ty lớn. Tại sao lần này lại khác?
Hy vọng duy nhất nhỏ bé là Liên minh Châu Âu có thể ép buộc mức độ riêng tư và ẩn danh nhất định vào phương trình. Nhưng đó không giải quyết nhu cầu toàn cầu. Và hy vọng sẽ có đủ sự phản kháng và tiếng vang để bất cứ thứ gì thay thế SMS là lành mạnh, hữu ích, đơn giản. Tôi chỉ có thể hy vọng.
Kết Luận
Tôi không phản đối Google cố gắng làm đăng nhập an toàn hơn. Có, 2FA dùng mã OTP từ app offline tốt hơn SMS. Nhưng QR code như một khái niệm bảo mật tệ gấp triệu lần. Tương tự, tap (chạm) là cho kẻ ngu, passkeys vô nghĩa trừ cho geek siêng năng, hardware key tuyệt vời cho chuyên gia và người nổi tiếng. Đối với người bình thường, SMS là tùy chọn đơn giản, tin cậy, và vẫn còn là vậy. App giống authenticator tốt cho người hiểu biết hơn, có đủ tiền và kiến thức dùng smartphone.
Loại bỏ SMS không chỉ về công nghệ – đó là về xã hội. Loại bỏ nó thực chất loại bỏ người nghèo và người già khỏi phương trình. Đó là sự tẩy chay tài chính và công nghệ. Nhưng những người đó không mang lại lợi nhuận, họ không "đăng ký" dịch vụ hay xem quảng cáo, nên ai quan tâm, phải không? Vâng, chúng ta vẫn cần xem Google sẽ làm gì. Có thể là thứ thực sự hợp lý và cool. Hoặc hoàn toàn không. Chúng ta sẽ thấy. Dù là gì, nếu nó dựa vào QR code, nó sẽ kinh khủng, ngu ngốc, vô nghĩa, và tệ hại. Tạm biệt.
Cheers.