Số an toàn và dấu vân tay khóa công khai giúp bạn kiểm tra các khóa mật mã gắn với một cuộc trò chuyện. So sánh chúng qua một kênh độc lập đáng tin cậy có thể phát hiện sự không khớp mà bạn sẽ không thấy nếu chỉ dựa vào tên hiển thị của người liên hệ.
Sự trùng khớp là bằng chứng hữu ích về khóa trong các giả định của phương pháp xác minh. Đó không phải là việc kiểm tra lý lịch của người đó, bằng chứng rằng thiết bị của họ không có phần mềm độc hại, hay bảo đảm rằng họ sẽ giữ kín tin nhắn của bạn.
Vì sao mã hóa cũng cần xác thực
Trao đổi khóa có thể thiết lập một bí mật với bất kỳ ai kiểm soát khóa được đưa cho bạn. Nếu kẻ tấn công thay bằng khóa của chúng mà việc thay thế không bị phát hiện, kết nối được mã hóa có thể liên quan đến bên không đúng.
Dấu vân tay cung cấp biểu diễn ngắn gọn của vật liệu khóa mà giao thức muốn bạn xác minh. Đầu vào và định dạng chính xác tùy thuộc sản phẩm. Một số ứng dụng hiển thị chữ số, số khác dùng mã QR hoặc biểu diễn khác; đừng cho rằng mọi định dạng đều xác thực cùng những trường dữ liệu.
Quy trình so sánh cẩn thận
- Mở cuộc trò chuyện với đúng người dự định. Kiểm tra để chắc rằng bạn không xác minh một tài khoản trông giống hoặc một cuộc trò chuyện khác.
- Tìm màn hình xác minh hiện hành của ứng dụng. Dùng hướng dẫn chính thức của ứng dụng về số an toàn hoặc dấu vân tay khóa.
- Dùng một kênh được tin cậy độc lập. So sánh trực tiếp là cách đơn giản khi khả thi. Khi so sánh từ xa, dùng kênh mà qua đó bạn có thể xác thực người kia, chứ không chỉ quay lại chính cuộc trò chuyện đáng ngờ.
- So sánh toàn bộ biểu diễn bằng phương pháp được hỗ trợ. Quét mã QR xác minh đang hiển thị nếu được hỗ trợ, hoặc so sánh tất cả chữ số bắt buộc thay vì một đoạn đầu ngắn.
- Ghi nhận việc xác minh trong ứng dụng nếu có chức năng đó. Hiểu rõ thao tác này thay đổi cách cảnh báo hay chỉ thêm nhãn cục bộ.
- Lặp lại khi danh tính liên quan thay đổi. Xem một thay đổi chưa giải thích được là lý do để tạm dừng gửi nội dung nhạy cảm và xác nhận điều đã xảy ra.
Đừng dùng ảnh chụp màn hình gửi qua chính cuộc trò chuyện có thể đang bị chặn bắt để thay thế kiểm tra độc lập. Cẩn thận không nhầm mã QR xác minh với mã QR liên kết thiết bị: chúng thực hiện những hành động khác nhau.
Số thay đổi có nghĩa gì
Thay đổi có nghĩa là vật liệu khóa liên quan hoặc đầu vào xác minh đã khác. Cài đặt lại, thay thiết bị hoặc đặt lại danh tính có thể gây ra thay đổi hợp lệ, nhưng hành vi phụ thuộc sản phẩm và phương thức khôi phục.
Hướng dẫn chính thức của Signal lưu ý rằng điện thoại mới hoặc cài đặt lại là nguyên nhân thay đổi phổ biến, đồng thời giải thích rằng những việc này không phải lúc nào cũng làm số thay đổi. Các thay đổi thường xuyên hoặc bất ngờ đáng được chú ý.
Tránh cả hai cực đoan: thay đổi không tự động chứng minh việc chặn bắt, và tên liên hệ quen thuộc không phải lý do để bỏ qua. Hỏi người đó qua kênh đáng tin cậy, so sánh lại và giải quyết mọi điểm không khớp trước khi tiếp tục trao đổi nhạy cảm.
Sự trùng khớp không chứng minh điều gì
| Không xác lập… | Vì sao |
|---|---|
| Danh tính ngoài đời của một tài khoản không biết rõ | Bạn phải gắn các khóa đã xác minh với một người qua quy trình đáng tin cậy |
| Thiết bị đầu cuối sạch | Phần mềm độc hại có thể đọc nội dung sau khi giải mã hợp lệ |
| Việc người nhận giữ bí mật | Người nhận đã xác minh vẫn có thể sao chép hoặc chuyển tiếp tin nhắn |
| An toàn toàn diện về thành viên nhóm | Xác minh khóa theo cặp tự nó không xác thực mọi thành viên và thiết bị |
| Siêu dữ liệu vô hình | Kiểm tra khóa không xóa các bản ghi định tuyến, thời điểm hay tư cách thành viên |
| Mọi thuộc tính bảo mật của giao thức | Kiểm tra dấu vân tay không phải kiểm toán đầy đủ về thương lượng, triển khai hay lưu trữ khóa |
Dấu vân tay thường là giá trị xác minh công khai, không phải bí mật khôi phục. Tuy vậy, hãy làm theo hướng dẫn chia sẻ của ứng dụng và không bao giờ cung cấp cụm từ khôi phục hoặc khóa riêng cho người tuyên bố rằng chúng cần thiết để xác minh.
Cách hiểu tuyên bố xác minh của Livara
Trang bảo mật của Livara khuyến nghị so sánh dấu vân tay khóa công khai với người kia qua một kênh khác. Trang này mô tả riêng các phiên trực tiếp lai và khóa người gửi trong nhóm.
Trang công khai không xác lập mọi chi tiết được tuyên bố trong phiên bản trước của bài viết này, chẳng hạn các trường chính xác nằm trong một định dạng dấu vân tay cụ thể, hay bảo đảm rằng mọi lần hạ cấp đều làm số hiển thị thay đổi. Những tuyên bố đó cần đặc tả có phiên bản liên quan và bằng chứng về triển khai.
Mô hình mối đe dọa cũng nêu rõ rằng thiết bị bị xâm phạm và việc người nhận tiết lộ nội dung vẫn nằm ngoài phạm vi bảo vệ. Xác minh khóa vì lợi ích hẹp hơn mà chúng mang lại, đồng thời bảo vệ thiết bị lưu giữ chúng.
Với một cuộc trò chuyện nhạy cảm, so sánh đầy đủ qua một kênh độc lập đã xác thực có ý nghĩa hơn biểu tượng ổ khóa hoặc nhãn “đã xác minh” chưa được xem xét.
