Khóa khớp là một bước kiểm tra quan trọng, không bảo đảm thiết bị an toàn hay mọi tin nhắn của người liên hệ đều trung thực.
Số an toàn hoặc dấu vân tay khóa giúp bạn đối chiếu các khóa dùng cho liên lạc được mã hóa với người liên hệ. Việc kiểm tra này giúp giảm nguy cơ khóa bị thay thế, nhưng không bảo đảm rằng không ai có thể đọc tin nhắn: thiết bị nhiễm mã độc, người nhận không đáng tin hoặc bản sao đã lưu vẫn có thể làm lộ nội dung.
Cách hiển thị và tính dấu vân tay khác nhau giữa các ứng dụng nhắn tin. Hãy làm theo hướng dẫn của chính ứng dụng đó; một số ứng dụng hiển thị một số chung cho cuộc trò chuyện, trong khi ứng dụng khác hiển thị dấu vân tay của từng thiết bị hoặc danh tính.
Số an toàn không chứng minh điều gì?
| Kiểm tra | Kết quả có thể mong đợi | Điều không được chứng minh |
|---|---|---|
| Đối chiếu khóa đúng cách với người quen | Khóa đang hiển thị khớp với khóa dự kiến | Thiết bị của người đó an toàn |
| Xác minh số hoặc mã QR | Đã thực hiện một bước kiểm tra tính xác thực của khóa | Mọi lời khẳng định hoặc yêu cầu chuyển tiền đều chính đáng |
| Không có cảnh báo | Ứng dụng không hiển thị thay đổi nào được báo cáo | Không có bất kỳ hình thức nghe lén hay mã độc nào |
Nếu bạn không biết người bên kia là ai, việc đối chiếu với chính người lạ đó không tiết lộ danh tính thực của họ. Để tìm hiểu các lớp bảo vệ khác, hãy xem mô hình mối đe dọa cho trò chuyện.
Làm thế nào để đối chiếu khóa với người liên hệ?
- Từ cuộc trò chuyện, mở trang xác minh khóa hoặc số an toàn theo hướng dẫn của ứng dụng nhắn tin.
- Đối chiếu với người bạn quen biết, tốt nhất là gặp trực tiếp hoặc dùng một kênh độc lập mà bạn đã tin cậy từ trước.
- Kiểm tra tất cả các phần cần thiết, không chỉ vài chữ số đầu tiên. Nếu ứng dụng cung cấp mã QR chính thức, hãy dùng đúng quy trình đó.
- Nếu thông tin khớp và ứng dụng có tùy chọn ghi nhận việc xác minh, hãy ghi nhận.
- Nếu thông tin không khớp, hãy ngừng gửi nội dung nhạy cảm và tìm hiểu nguyên nhân.
Đây là hình minh họa khái niệm; các con số là hư cấu, không thể hiện một kết quả đối chiếu hợp lệ hay giao diện thực của ứng dụng nhắn tin.
Gửi ảnh chụp số ngay trong cuộc trò chuyện mà bạn đang nghi ngờ về việc xác thực không phải là một phép kiểm tra độc lập. Cuộc gọi hoặc tài khoản thứ hai cũng chỉ hữu ích khi bạn thực sự tin cậy danh tính và độ an toàn của kênh đó; một số điện thoại mới do chính người gửi cung cấp là chưa đủ.
Cần làm gì nếu số thay đổi?
Đổi thiết bị, cài đặt lại hoặc thay đổi khóa có thể tạo ra cảnh báo. Hành vi cụ thể phụ thuộc vào ứng dụng và cách khôi phục danh tính; không phải lần đổi điện thoại nào cũng làm thay đổi khóa, và không phải cảnh báo nào cũng là một cuộc tấn công.
Hãy hỏi người liên hệ qua một kênh độc lập xem điều gì đã thay đổi, cập nhật các ứng dụng rồi đối chiếu lại các số hiện tại. Với cuộc trò chuyện nhạy cảm, đừng thay việc đối chiếu khóa bằng lời giải thích miệng về chuyện đổi điện thoại. Nếu vẫn có sai khác, hãy nhờ bộ phận hỗ trợ chính thức giúp đỡ, không vội xóa dữ liệu.
Xác minh lại không thể thu hồi những tin nhắn có thể đã bị lộ. Bảo mật sau khi bị xâm phạm cũng phụ thuộc vào việc loại bỏ quyền truy cập của kẻ tấn công và bổ sung đầu vào mật mã mới; không phải mỗi bước tiến trong chuỗi khóa đều đồng nghĩa với việc sự xâm phạm đã chấm dứt.
Tính minh bạch của khóa khác gì với đối chiếu thủ công?
Tính minh bạch của khóa được thiết kế để phát hiện sự không nhất quán trong ánh xạ từ mã định danh sang khóa. Không nên mô tả nó đơn thuần là tin lại cùng một máy chủ, cũng không nên suy ra rằng nó xác nhận danh tính con người hay độ an toàn của thiết bị.
Theo hướng dẫn chính thức của Signal về Automatic Key Verification, tính năng này cung cấp một bước kiểm tra bổ sung bên cạnh số an toàn, và khả năng sử dụng phụ thuộc vào những điều kiện như số điện thoại được nhận diện là một liên hệ đã biết. Việc tính năng không xuất hiện hoặc thay đổi trạng thái, tự nó, không phải là dấu hiệu bị xâm nhập. Nếu tính năng không khả dụng, Signal khuyến nghị đối chiếu số hoặc mã QR qua một kênh đáng tin cậy.
Vì vậy, khẳng định rằng đối chiếu thủ công là biện pháp phòng vệ duy nhất có thể áp dụng là không chính xác. Công cụ tự động và việc kiểm tra của người dùng có thể bổ trợ cho nhau; hãy đọc về phạm vi bảo vệ thực tế của từng sản phẩm.
Cần kiểm tra điều gì với Livara?
Tài liệu bảo mật của Livara giải thích cách đối chiếu dấu vân tay khóa qua một kênh khác. Trong phiên bản đã cài đặt, hãy kiểm tra vị trí của chức năng kiểm tra, dữ liệu được đối chiếu và phản ứng của ứng dụng khi khóa thay đổi. Hướng dẫn này không xác nhận một đường dẫn thao tác trong giao diện hay sự có mặt của mã QR trên mọi phiên bản Livara.
Đối chiếu khóa trò chuyện cũng không thay thế việc kiểm tra nguồn cài đặt ứng dụng. Cả tệp APK lẫn giá trị băm tham chiếu đều phải đến từ một kênh đáng tin cậy; giá trị băm khớp chỉ cho thấy tệp giống với bản tham chiếu.
Câu hỏi thường gặp
Mã QR có luôn an toàn hơn việc đọc các con số không?
Mã QR có thể giảm lỗi đối chiếu thủ công, nhưng phải là mã thuộc quy trình chính thức của chính ứng dụng đó. Độ an toàn phụ thuộc vào dữ liệu được đối chiếu và mức độ tin cậy đối với người liên hệ cùng kênh liên lạc, không chỉ vào hình thức mã QR.
Nếu số đúng thì yêu cầu chuyển tiền có chính đáng không?
Không. Xác minh khóa không chứng minh tính đúng đắn của một lời khẳng định về kinh doanh hoặc tài chính. Hãy kiểm tra các yêu cầu nhạy cảm một cách độc lập.
Cảnh báo thay đổi có nghĩa là cuộc trò chuyện đã bị nghe lén trước đó không?
Không nhất thiết. Cảnh báo là lý do để kiểm tra, không phải bằng chứng chắc chắn về việc lộ thông tin. Hãy làm rõ nguyên nhân thay đổi và tình trạng hiện tại mà không gửi thông tin nhạy cảm.
