thảo luận Tổng hợp app 2FA, ưu và nhược điểm.

@vincvn said:

Cay quá phải edit post à a ? Mà a edit thấy cũng hài hài

a nên học lại tiếng Việt trước khi phản biện điều gì ! Trong quote của a đã có sẵn câu trả lời rồi tôi cũng k cần viết lại làm gì.
Còn ngon hay dở thì dẫn chứng ở trên có hết rồi . Chỉ là a mặc định k có gì ngon hơn thôi

Click to expand...

ngon hay dở phải có tiêu chuẩn. Đưa tiêu chuẩn ra đây thì mới nói được. Mà đội tiêu chuẩn kép như anh thì làm gì chỉ có 1 tiêu chuẩn

Tôi đã đưa tiêu chuẩn của tôi ra ở trên rồi, chờ anh đấy, và cả anh fio kia nữa

skyfall said:

ngon hay dở phải có tiêu chuẩn. Đưa tiêu chuẩn ra đây thì mới nói được. Mà đội tiêu chuẩn kép như anh thì làm gì chỉ có 1 tiêu chuẩn

Tôi đã đưa tiêu chuẩn của tôi ra ở trên rồi, chờ anh đấy, và cả anh fio kia nữa

Click to expand...

A mặc định tiêu chuẩn của a là chuẩn còn người khác là tiêu chuẩn kép ?
Thế tiêu chuẩn của tôi không giống a là tiêu chuẩn kép à ?

@vincvn said:

A mặc định tiêu chuẩn của a là chuẩn còn người khác là tiêu chuẩn kép ?
Thế tiêu chuẩn của tôi không giống a là tiêu chuẩn kép à ?

Click to expand...

tiêu chuẩn kép là bản thân anh đã có 2 tiêu chuẩn, ví dụ authy đóng project thì anh bảo lo lắng, sắp sập, khéo bán data đến nơi còn google đóng hàng trăm project thì anh mặc kệ, cứ dùng đi bản thân anhđã khác rồi chứ cần gì khác ai

giờ theo anh 1 app 2fa cần có tiêu chuẩn gì, và sản phẩm nào đạt được tiêu chuẩn đó thì đưa ra đây. Đúng chủ để topic đấy.

Tiêu chuẩn của một ứng dụng 2 thằng FA huỵch nhau:

• Cho xuất ra định dạng để nhập sang thằng FA khác - Huỵch nhau được
• Sync (càng nhiều lựa chọn càng tốt, ví dụ Github/Gitlab chứ không lệ thuộc vào một máy chủ) - Bởi bản chất serverside là mã nguồn đóng, không thể xác nhận được nó có mã hóa sync hay không, niềm tin là thứ duy nhất có thể trông cậy vào trừ khi công ty sync công bố mã nguồn backend
• Hỗ trợ tiện ích mở rộng cho trình duyệt để tự động nhập nhanh không cần mở ứng dụng 2FA gõ tay
• Mã nguồn mở - Do tính chất nhạy cảm là lưu thông tin tài khoản (dịch vụ - email - mã FA), nên có thể bị úp bô (lộ email và mã FA), mã đóng thì biết nó úp bô khi nào, 1 bản vả 2KB úp xong nó chèn bản vá 2KB khác xóa đi thì thánh thần biết, mã hóa thời nay thì dễ vô cùng mà mất tỉ năm để giải gói tin mã hóa xem nó gửi gì, đến khi đó thì chết mục xương rồi
• Không thu thập dữ liệu người dùng hoặc bét nhất là phải cho tắt

skyfall said:

tiêu chuẩn kép là bản thân anh đã có 2 tiêu chuẩn, ví dụ authy đóng project thì anh bảo lo lắng, sắp sập, khéo bán data đến nơi còn google đóng hàng trăm project thì anh mặc kệ, cứ dùng đi

Click to expand...

Authy đóng project là sản phẩm đang hoạt động gắn liền với sản phẩm nó đang cung cấp (ở đây là 2fa - và nó mang tính chất nhạy cảm) và nó ảnh hưởng đến trực tiếp người dùng 2fa của nó ! Và vì a đã nói đóng cái project desktop là điều "bình thường" nên tôi mới bảo đây là vấn đề cần lo lắng bởi vì nó là sản phẩm mang tính chất nhạy cảm - nó bình thường với a nhưng k bình thường với tôi -> tiêu chuẩn kép ?
Còn thằng G nó ngừng kinh doanh hàng trăm sản phẩm hay hàng nghìn sản phẩm là mảng kinh doanh nó k cạnh tranh lại thì nó ngừng hoạt động và nó k mang tính chất nhạy cảm (ở đây là 2fa) <- Đây là điều bình thường với tôi trong kinh doanh - nhưng nó lại (có thể) không bình thường với a -> tôi tiêu chuẩn kép?

skyfall said:

giờ theo anh 1 app 2fa cần có tiêu chuẩn gì, và sản phẩm nào đạt được tiêu chuẩn đó thì đưa ra đây. Đúng chủ để topic đấy.

Click to expand...

Cái điều quan trọng nhất -> bản thân 1 phần mềm mang tính chất nhạy cảm lưu trữ các dữ liệu quan trọng là bảo mật

Authy bị hack - Dữ liệu có rò rỉ hay ko chưa biết - Authy công bố k có gì bị xâm phạm - Có người bảo tài khoản bị xâm phạm -> Authy bảo sẽ điều tra -> Nhân viên được quyền tác động vào tài khoản người dùng (tác động gì và như nào thì cũng k công bố rõ) -> ??? - Đối với a điều này là bình thường | người khác thấy k bình thường có được coi là tiêu chuẩn kép k ?
Nhắc lại là dữ liệu nhạy cảm ? Vậy tính minh bạch của Authy là đã k có ngay từ đầu -> các tuyên bố sau a tin - nhưng tôi k dám tin nó có được coi là tiêu chuẩn kép ?

A phân tích là Google từng bị hack -> G+ -> G+ đã giải thích ở trên a k hiểu hoặc cố tình k hiểu và cho rằng nó lấy được thông tin thì cũng có khả năng lấy được mật khẩu -> Tôi cũng có thể cho rằng Authy cho phép nhân viên tác động vào tài khoản người dùng thì cũng có thể truy xuất được mã 2fa của tôi hoặc sử dụng tài khoản của tôi ? Điều đó có được coi là tiêu chuẩn kép ?

A phân tích là Google từng bị hack -> Leak 5m Gmail + Password -> Tôi trình kém research thông tin thì vụ việc này có nhiều bên t3 cùng điều tra và đi tới kết luận là hệ thống Gmail ko bị xâm phạm -> G cũng có động thái nâng cấp bảo mật tài khoản khách hàng toàn bộ thông tin đều minh bạch có thể tra cứu trên Internet - Còn bên cái cty uy tín gì đó tôi chưa thấy thông tin hoặc có thể tôi kiến thức kém chưa tìm ra được - A có tài liệu hay công bố cho tôi xin về vấn đề này ?
Và cũng xin nhắc lại ở đây Dữ liệu đang bàn tới là dữ liệu nhạy cảm

Tiếp tục về nhận định tư vấn - gợi ý (theo như chính a nói) cái gì quan trọng tôi bôi đen lên cho a đọc cho rõ - nếu vẫn k đọc rõ có thể nhắc tôi phóng to lên. Cám ơn

Các phần mềm mã nguồn mở:

- Offline: Chắc k có gì để bàn với các loại phần mềm này về tính năng bảo mật nhỉ ?
- Online - cho phép đồng bộ bên t3 không lưu trữ trên máy chủ của họ:
Vì mã nguồn mở nên bất kì ai đều có thể biết được ứng dụng này đang làm gì với 2fa của họ - Có mã hóa hay k - chuẩn mã hóa có an toàn hay k - Thông tin cá nhân có bị gửi đến bên t3 mà k biết hay k ?
Việc đồng bộ (ở đây ví dụ là Google Drive và Apple iCloud) có đạt được sự tin tưởng hay ko ?
- Online - đồng bộ trên hệ thống server do dịch vụ cung cấp:
Các đặc điểm giống nhau nên chỉ bàn về việc đồng bộ (Server do bên t3 cung cấp) - Bây giờ chúng ta bàn đến việc nhà cung cấp có thuê 1 bên trung gian để kiểm tra tính an toàn của họ hay không ?
Điều này hoàn toàn minh bạch vậy nó là điểm + hay điểm - so với 1 ứng dụng mã đóng và k có 1 bên trung lập kiểm tra an ninh ?

Các phần mềm mã đóng:
- Bởi vì mã đóng nên k biết được ứng dụng này làm gì với dữ liệu của mình -> Chúng ta tin tưởng sử dụng -> Dựa vào gì ? Uy tín với nhà cung cấp phải k nhỉ hay là vấn đề tâm linh ? Mà a cũng đã nói dựa về độ uy tín thì chúng ta cũng so sánh về độ uy tín cái nhỉ !
Vậy xét về độ uy tín thì M$ với Twillio ai uy tín hơn chắc cũng k cần phải bàn cãi - Hay M$ > Twillio là quan điểm của tôi còn với a thì k đúng ? Liệu nó có được đánh giá là tiêu chuẩn kép k ?

skyfall said:

Bản thân authy backup và restore trên cả ios và android đã là hơn cái microsoft authen rồi, thiếu thốn nguy hiểm như vậy nên tránh dùng ngay từ đầu (cho đến khi được sửa).

Click to expand...

Về tiêu chuẩn của a - Tôi có lục lại vài trang nhưng k tìm thấy cái comment nói về tiêu chuẩn của a - Tôi chỉ nhớ a bảo là dễ sài - backup - restore - sync | Nếu sai hay thiếu a đính chính giúp tôi

Thế các app được giới thiệu có cái app nào nó k có mấy cái a nói (Riêng tiêu chí sync - nếu a cho rằng đó là tiêu chuẩn thì a nhìn nhận lại bản thân có phải đang áp đặt tiêu chuẩn của mình vào người khác ko ? ).
Riêng về M$ Authen khi a sài dịch vụ của M$ - chả lí do gì phải cài thêm 1 cái ứng dụng mà có các vấn đề đã đề cập ở trên (không biết có tiêu chuẩn kép như a nói k) và phải đối mặt với rủi ro (có thể) có cả

@vincvn said:

Authy đóng project là sản phẩm đang hoạt động gắn liền với sản phẩm nó đang cung cấp (ở đây là 2fa - và nó mang tính chất nhạy cảm) và nó ảnh hưởng đến trực tiếp người dùng 2fa của nó ! Và vì a đã nói đóng cái project desktop là điều "bình thường" nên tôi mới bảo đây là vấn đề cần lo lắng bởi vì nó là sản phẩm mang tính chất nhạy cảm - nó bình thường với a nhưng k bình thường với tôi -> tiêu chuẩn kép ?
Còn thằng G nó ngừng kinh doanh hàng trăm sản phẩm hay hàng nghìn sản phẩm là mảng kinh doanh nó k cạnh tranh lại thì nó ngừng hoạt động và nó k mang tính chất nhạy cảm (ở đây là 2fa) <- Đây là điều bình thường với tôi trong kinh doanh - nhưng nó lại (có thể) không bình thường với a -> tôi tiêu chuẩn kép?


Cái điều quan trọng nhất -> bản thân 1 phần mềm mang tính chất nhạy cảm lưu trữ các dữ liệu quan trọng là bảo mật

Authy bị hack - Dữ liệu có rò rỉ hay ko chưa biết - Authy công bố k có gì bị xâm phạm - Có người bảo tài khoản bị xâm phạm -> Authy bảo sẽ điều tra -> Nhân viên được quyền tác động vào tài khoản người dùng (tác động gì và như nào thì cũng k công bố rõ) -> ??? - Đối với a điều này là bình thường | người khác thấy k bình thường có được coi là tiêu chuẩn kép k ?
Nhắc lại là dữ liệu nhạy cảm ? Vậy tính minh bạch của Authy là đã k có ngay từ đầu -> các tuyên bố sau a tin - nhưng tôi k dám tin nó có được coi là tiêu chuẩn kép ?

A phân tích là Google từng bị hack -> G+ -> G+ đã giải thích ở trên a k hiểu hoặc cố tình k hiểu và cho rằng nó lấy được thông tin thì cũng có khả năng lấy được mật khẩu -> Tôi cũng có thể cho rằng Authy cho phép nhân viên tác động vào tài khoản người dùng thì cũng có thể truy xuất được mã 2fa của tôi hoặc sử dụng tài khoản của tôi ? Điều đó có được coi là tiêu chuẩn kép ?

A phân tích là Google từng bị hack -> Leak 5m Gmail + Password -> Tôi trình kém research thông tin thì vụ việc này có nhiều bên t3 cùng điều tra và đi tới kết luận là hệ thống Gmail ko bị xâm phạm -> G cũng có động thái nâng cấp bảo mật tài khoản khách hàng toàn bộ thông tin đều minh bạch có thể tra cứu trên Internet - Còn bên cái cty uy tín gì đó tôi chưa thấy thông tin hoặc có thể tôi kiến thức kém chưa tìm ra được - A có tài liệu hay công bố cho tôi xin về vấn đề này ?
Và cũng xin nhắc lại ở đây Dữ liệu đang bàn tới là dữ liệu nhạy cảm

Tiếp tục về nhận định tư vấn - gợi ý (theo như chính a nói) cái gì quan trọng tôi bôi đen lên cho a đọc cho rõ - nếu vẫn k đọc rõ có thể nhắc tôi phóng to lên. Cám ơn

Các phần mềm mã nguồn mở:

- Offline: Chắc k có gì để bàn với các loại phần mềm này về tính năng bảo mật nhỉ ?
- Online - cho phép đồng bộ bên t3 không lưu trữ trên máy chủ của họ:
Vì mã nguồn mở nên bất kì ai đều có thể biết được ứng dụng này đang làm gì với 2fa của họ - Có mã hóa hay k - chuẩn mã hóa có an toàn hay k - Thông tin cá nhân có bị gửi đến bên t3 mà k biết hay k ?
Việc đồng bộ (ở đây ví dụ là Google Drive và Apple iCloud) có đạt được sự tin tưởng hay ko ?
- Online - đồng bộ trên hệ thống server do dịch vụ cung cấp:
Các đặc điểm giống nhau nên chỉ bàn về việc đồng bộ (Server do bên t3 cung cấp) - Bây giờ chúng ta bàn đến việc nhà cung cấp có thuê 1 bên trung gian để kiểm tra tính an toàn của họ hay không ?
Điều này hoàn toàn minh bạch vậy nó là điểm + hay điểm - so với 1 ứng dụng mã đóng và k có 1 bên trung lập kiểm tra an ninh ?

Các phần mềm mã đóng:
- Bởi vì mã đóng nên k biết được ứng dụng này làm gì với dữ liệu của mình -> Chúng ta tin tưởng sử dụng -> Dựa vào gì ? Uy tín với nhà cung cấp phải k nhỉ hay là vấn đề tâm linh ? Mà a cũng đã nói dựa về độ uy tín thì chúng ta cũng so sánh về độ uy tín cái nhỉ !
Vậy xét về độ uy tín thì M$ với Twillio ai uy tín hơn chắc cũng k cần phải bàn cãi - Hay M$ > Twillio là quan điểm của tôi còn với a thì k đúng ? Liệu nó có được đánh giá là tiêu chuẩn kép k ?




Về tiêu chuẩn của a - Tôi có lục lại vài trang nhưng k tìm thấy cái comment nói về tiêu chuẩn của a - Tôi chỉ nhớ a bảo là dễ sài - backup - restore - sync | Nếu sai hay thiếu a đính chính giúp tôi

Thế các app được giới thiệu có cái app nào nó k có mấy cái a nói (Riêng tiêu chí sync - nếu a cho rằng đó là tiêu chuẩn thì a nhìn nhận lại bản thân có phải đang áp đặt tiêu chuẩn của mình vào người khác ko ? ).
Riêng về M$ Authen khi a sài dịch vụ của M$ - chả lí do gì phải cài thêm 1 cái ứng dụng mà có các vấn đề đã đề cập ở trên (không biết có tiêu chuẩn kép như a nói k) và phải đối mặt với rủi ro (có thể) có cả

Click to expand...

microsoft authen chỉ restore được trên cùng loại device (ios hoặc android), nếu dùng android chuyển sang ios hoặc ngược lại thì nghỉ restore => thua authy. Về an toàn, công ty nào cũng đã từng bị hack (google, microsoft, twillo) nhưng anh chỉ coi authy là nguy hiểm còn thằng khác thì không? Hay anh đơn giản là đo uy tín bằng tiền? Về tiền thì authy cũng ngán thằng nào.

Tài khoản authy bị xâm phạm là thêm device chứ không phải đọc được mã 2fa và login vào tài khoản email hay gì cả. Còn authy công bố anh không tin nhưng google, microsoft công bố không chạm vào tài khoản thì anh tin, đấy là tiêu chuẩn kép.

Tôi đã nói mã nguồn mở là phải hiểu 100%, thế nên mới cần chuyên gia audit để tăng độ tin cậy (vẫn không thể đạt 100%). Hiện mới chỉ thấy có ente, vậy thì những pm mã nguồn mở khác có đáng dùng không? Không kiểm tra thì an toàn khác gì mã đóng => chỉ ngang với authy.

Tôi thấy đơn giản là anh chửi authy kém điểm A nhưng lại tung hô thằng khác cũng giống điểm A

Anh còn định nghĩa dữ liệu nhạy cảm nữa, dữ liệu nào chả nhạy cảm, google bị phạt mấy trăm triệu đô vì lộ thông tin người dùng kia kìa, chưa kể chỉ thu thập thôi cũng bị kiện và phạt kìa. Toàn thông tin KHÔNG PHẢI 2FA như anh nói đấy.

skyfall said:

microsoft authen chỉ restore được trên cùng loại device (ios hoặc android), nếu dùng android chuyển sang ios hoặc ngược lại thì nghỉ restore => thua authy. Về an toàn, công ty nào cũng đã từng bị hack (google, microsoft, twillo) nhưng anh chỉ coi authy là nguy hiểm còn thằng khác thì không? Hay anh đơn giản là đo uy tín bằng tiền? Về tiền thì authy cũng ngán thằng nào.

Click to expand...

A là cái thằng bảo so về uy tín (kéo lên coi lại comment của bản thân) chứ đừng nhét chữ vào mồm tôi !!!
Uy tín ở đây là dựa vào cái gì a nói tôi nghe xem ? Cái thằng T của a so kèo uy tín với thằng G hay M$ thì bên nào uy tín hơn ?

skyfall said:

Tài khoản authy bị xâm phạm là thêm device chứ không phải đọc được mã 2fa và login vào tài khoản email hay gì cả. Còn authy công bố anh không tin nhưng google, microsoft công bố không chạm vào tài khoản thì anh tin, đấy là tiêu chuẩn kép.

Click to expand...

Công bố là các bên t3 cùng điều tra vụ việc chứ k phải bản thân nó công bố 1 mình - A có thể research thông tin nếu chưa rõ và tôi đã ở trên a có thông tin rõ ràng có thể cung cấp để tôi mở rộng tầm mắt thì a vẫn cứ lờ đi - Rõ ràng a đang áp đặt suy nghĩ của a vào phản biện của người khác và mặc định cho rằng k phải ý của a thì chính là tiêu chuẩn kép đúng chưa ?
P/s: Tôi thấy a có vấn đề về mắt nên tăng size lên cho a dễ đọc

skyfall said:

Tôi đã nói mã nguồn mở là phải hiểu 100%, thế nên mới cần chuyên gia audit để tăng độ tin cậy (vẫn không thể đạt 100%). Hiện mới chỉ thấy có ente, vậy thì những pm mã nguồn mở khác có đáng dùng không? Không kiểm tra thì an toàn khác gì mã đóng => chỉ ngang với authy.

Tôi thấy đơn giản là anh chửi authy kém điểm A nhưng lại tung hô thằng khác cũng giống điểm A

Click to expand...

A nói ra là đã biết a là loại thùng rỗng kêu to. Có hiểu đang nói về gì k vậy ?
Hay thôi tôi ví dụ 1 cách đơn giản nhất cho a hiểu:
Có 2 thương hiệu A và B đều cùng bán 1 loại khóa có cùng phương thức khóa và mở khóa (phương thức này là chuẩn trên toàn thế giới a chả cần phải nói với tôi là cần chuyên gia để xác nhận phương thức này hợp lệ hay ko) :
Thương hiệu A -> mở cửa nhà máy cho người ta có thể kiểm tra về máy móc, thiết bị, phương thức khóa và mở khóa có phải đúng chuẩn hay ko !
Thương hiệu B -> đóng cửa nhà máy không cho ai biết về việc mình sản xuất như thế nào - trong ruột chứa gì - nguyên liệu ra sao -> Chỉ công bố với bên ngoài tôi sài phương thức đó k có gì hơn

A còn k phân biệt được quy chuẩn mã hóa trên toàn thế giới thì a phản biện cái gì ở đây ?
Đấy là mới nói tới quy chuẩn mã hóa -> Cho là giống nhau, bảo mật ngang nhau -> bằng nhau
Vậy a lờ đi việc người ta có thể biết được hoặc có thể kiểm tra được với 1 bên chả biết gì cũng chả kiểm tra được gì rồi cho rằng ồ cái điều này chả có gì đặc biệt vì k phải ai cũng biết rõ 100% và kiểm tra được 100% rồi mặc nhiên phán rằng ồ thằng này tiêu chuẩn kép ghê !!!

A thật là hài hước !!!

A gắn cái TIÊU CHUẨN KÉP lên cái mồm a nhưng tôi thấy a chả hiểu a đang nói cái gì đâu

skyfall said:

Anh còn định nghĩa dữ liệu nhạy cảm nữa, dữ liệu nào chả nhạy cảm, google bị phạt mấy trăm triệu đô vì lộ thông tin người dùng kia kìa, chưa kể chỉ thu thập thôi cũng bị kiện và phạt kìa. Toàn thông tin KHÔNG PHẢI 2FA như anh nói đấy.

Click to expand...

A lại tiếp tục lập lờ nước đôi - đánh lận con đen về việc G bị phạt mấy trăm triệu $ về việc lộ thông tin người dùng (hay là k tuân thủ chính sách về quyền riêng tư).
A cứ già mồm cãi láo về việc Authy nhà a bị hack, hay ngừng cung cấp dịch vụ liên quan trực tiếp tới sản phẩm đang hoạt động. Việc này để mọi người tự phân xử chứ tôi k có cái bản lĩnh a thấy k đúng là người khác cũng phải thấy k đúng

Mà cũng nói luôn về cái lập luận là tôi tự định nghĩa về cái gọi là nhạy cảm:

Tôi ví dụ a đơn giản là cái số nhà a nó quan trọng hơn hay cái chìa khóa nhà a nó quan trọng hơn ?
Giống như a nói ở trên. Muốn so sánh thì phải có 1 cái tiêu chuẩn. Vậy theo anh như câu hỏi tôi nói ở trên. Cái số nhà a hay cái chìa khóa nhà a nó quan trọng hơn ?

Tôi thấy a đuối dần đều rồi mệt quá thì nghỉ đi chứ cứ để tôi sút vào mồm mãi tôi cũng ngại. Biện chứng thì toàn mồm nói thì lúc nào cũng thích vơ đũa cả nắm và cố gắng cắt câu chữ theo ý của mình xong lại chê người khác là tiêu chuẩn kép - thứ văn của bọn ngụy quân tử

Chắc phải vote rồi đó
Ai đồng ý @Fioren đúng và @skyfall nch ngu thì Ưng
Ai không đồng ý @Fioren đúng và @skyfall nch đúng thì Gạch

@vincvn said:

A là cái thằng bảo so về uy tín (kéo lên coi lại comment của bản thân) chứ đừng nhét chữ vào mồm tôi !!!
Uy tín ở đây là dựa vào cái gì a nói tôi nghe xem ? Cái thằng T của a so kèo uy tín với thằng G hay M$ thì bên nào uy tín hơn ?

Công bố là các bên t3 cùng điều tra vụ việc chứ k phải bản thân nó công bố 1 mình - A có thể research thông tin nếu chưa rõ và tôi đã ở trên a có thông tin rõ ràng có thể cung cấp để tôi mở rộng tầm mắt thì a vẫn cứ lờ đi - Rõ ràng a đang áp đặt suy nghĩ của a vào phản biện của người khác và mặc định cho rằng k phải ý của a thì chính là tiêu chuẩn kép đúng chưa ?
P/s: Tôi thấy a có vấn đề về mắt nên tăng size lên cho a dễ đọc

A nói ra là đã biết a là loại thùng rỗng kêu to. Có hiểu đang nói về gì k vậy ?
Hay thôi tôi ví dụ 1 cách đơn giản nhất cho a hiểu:
Có 2 thương hiệu A và B đều cùng bán 1 loại khóa có cùng phương thức khóa và mở khóa (phương thức này là chuẩn trên toàn thế giới a chả cần phải nói với tôi là cần chuyên gia để xác nhận phương thức này hợp lệ hay ko) :
Thương hiệu A -> mở cửa nhà máy cho người ta có thể kiểm tra về máy móc, thiết bị, phương thức khóa và mở khóa có phải đúng chuẩn hay ko !
Thương hiệu B -> đóng cửa nhà máy không cho ai biết về việc mình sản xuất như thế nào - trong ruột chứa gì - nguyên liệu ra sao -> Chỉ công bố với bên ngoài tôi sài phương thức đó k có gì hơn

A còn k phân biệt được quy chuẩn mã hóa trên toàn thế giới thì a phản biện cái gì ở đây ?
Đấy là mới nói tới quy chuẩn mã hóa -> Cho là giống nhau, bảo mật ngang nhau -> bằng nhau
Vậy a lờ đi việc người ta có thể biết được hoặc có thể kiểm tra được với 1 bên chả biết gì cũng chả kiểm tra được gì rồi cho rằng ồ cái điều này chả có gì đặc biệt vì k phải ai cũng biết rõ 100% và kiểm tra được 100% rồi mặc nhiên phán rằng ồ thằng này tiêu chuẩn kép ghê !!!

A thật là hài hước !!!

A gắn cái TIÊU CHUẨN KÉP lên cái mồm a nhưng tôi thấy a chả hiểu a đang nói cái gì đâu


A lại tiếp tục lập lờ nước đôi - đánh lận con đen về việc G bị phạt mấy trăm triệu $ về việc lộ thông tin người dùng (hay là k tuân thủ chính sách về quyền riêng tư).
A cứ già mồm cãi láo về việc Authy nhà a bị hack, hay ngừng cung cấp dịch vụ liên quan trực tiếp tới sản phẩm đang hoạt động. Việc này để mọi người tự phân xử chứ tôi k có cái bản lĩnh a thấy k đúng là người khác cũng phải thấy k đúng

Mà cũng nói luôn về cái lập luận là tôi tự định nghĩa về cái gọi là nhạy cảm:

Tôi ví dụ a đơn giản là cái số nhà a nó quan trọng hơn hay cái chìa khóa nhà a nó quan trọng hơn ?
Giống như a nói ở trên. Muốn so sánh thì phải có 1 cái tiêu chuẩn. Vậy theo anh như câu hỏi tôi nói ở trên. Cái số nhà a hay cái chìa khóa nhà a nó quan trọng hơn ?

Tôi thấy a đuối dần đều rồi mệt quá thì nghỉ đi chứ cứ để tôi sút vào mồm mãi tôi cũng ngại. Biện chứng thì toàn mồm nói thì lúc nào cũng thích vơ đũa cả nắm và cố gắng cắt câu chữ theo ý của mình xong lại chê người khác là tiêu chuẩn kép - thứ văn của bọn ngụy quân tử

Click to expand...

Phần mềm nguồn mở anh không hiểu code, anh chỉ tin rằng CÓ NGƯỜI hiểu code hộ anh và xác nhận an toàn, thế nhưng chả ai xác nhận cho 2FAS cả, còn ente thì có, thế nhưng không ai thừa nhận 2FAS phế. Ente có audit chỉ audit độ chính xác của mã hóa, không audit cái mà authy bị hack, thế thì có cơ sở gì để bảo là ente an toàn hơn authy. Nhân viên ente có sờ vào tài khoản khách hàng được không? Anh khẳng định hộ cái.

Uy tín tôi đếm số lần bị hack và độ phổ biến thôi, authy bị hack từ 2022 nhưng đến giờ vẫn nhiều website tích hợp api luôn, chưa kể web nào có 2fa đều vẫn gợi ý dùng authy, kể cả bitwarden chứ ko phải bảo AUTHY BỊ HACK ĐẤY MAU TRÁNH RA. Đấy, uy tín đấy.





Thằng google bị hack cũng chỉ HỨA là thông tin không bị sử dụng trái phép chứ chả có tổ chức nào kiểm tra nhưng vẫn bị phạt 7.5 triệu. Authy cũng hứa là không có dữ liệu leak ra, không bị phạt, không bị kiện nhưng anh không tin.

The tech giant admitted that the flaw in its APIs exposed users’ data, including usernames, email addresses, occupation, date of birth, profile photos, and gender-related information. The bug allowed around 438 third-party developers to access the data, but Google assured its users that there is no evidence of data misuse by any of the developers.

skyfall said:

Phần mềm nguồn mở anh không hiểu code, anh chỉ tin rằng CÓ NGƯỜI hiểu code hộ anh và xác nhận an toàn, thế nhưng chả ai xác nhận cho 2FAS cả, còn ente thì có, thế nhưng không ai thừa nhận 2FAS phế. Ente có audit chỉ audit độ chính xác của mã hóa, không audit cái mà authy bị hack, thế thì có cơ sở gì để bảo là ente an toàn hơn authy. Nhân viên ente có sờ vào tài khoản khách hàng được không? Anh khẳng định hộ cái.

Click to expand...

Cái văn của a nó quen thế. Lúc nào a đuối a cũng thích nhét chữ vào mồm người khác thật !!!
Mồm a lúc nào cũng gắn cái chữ audit. A có hiểu ý nghĩa của nó k ?
A nên tìm hiểu về các thuật ngữ hay gắn lên miệng trước khi bình luận về 1 vấn đề gì !!!

Trong lần phản biện này của a nhắc đến 2FAS để so sánh với Authy.
Ok chúng ta phân tích theo hướng a gắn lên mồm là audit. Trước tiên chúng ta hiểu totp và hotp (các phương pháp mà 2fas đang hỗ trợ) là gì:
Tài liệu lấy luôn tại website của cty T mà a đang bảo vệ:

Trong tài liệu cho biết TOTP và HOTP đều sử dụng tài liệu chuẩn chung (ref trong trang tài liệu)

Vậy thì những gì Authy có 2FAS cũng có nếu xét về tính bảo mật và toàn vẹn dữ liệu như a nói
1-1

Tiếp theo xét về mã hóa E2E

2FAS cung cấp mã mở và sử dụng quy chuẩn AES GCM và RSA OAEP với khóa SHA-512bit theo thông tin được cung cấp
Và 2FAS KHÔNG lưu trữ dữ liệu của khách hàng ở bất kì máy chủ nào do họ kiểm soát - Có mã nguồn để kiểm chứng và sử dụng nếu không tin tưởng vào ứng dụng đã được build sẵn

Authy KHÔNG cung cấp mã nguồn và sử dụng quy chuẩn AES CBC với khóa PBKDF2 được hash 1000 lần - Salt được hash 1000 lần và Authy công bố các dữ liệu ngẫu nhiên được tạo ra theo 1 phương thức bảo mật (Không có tài liệu về phương thức bảo mật này)
Authy tuyên bố họ gửi IV và Salt lên máy chủ nhưng k gửi Encrypted / Decrypt Key
Tuy nhiên thông tin trên không thể kiểu chứng vì không có bên t3 kiểm chứng - cũng không có mã nguồn để kiểm chứng

Tới đây có lẽ a sẽ dùng cái giọng văn là không hiểu code 100% nên cũng chả biết là 2FAS có nói thật như họ bảo hay không đúng ko ?
Nếu a thật sự nghĩ vậy thì tôi cũng k có gì để bàn luận với a vì suy cho cùng giữa 1 bên mở để kiểm chứng với 1 bên đóng và không thể kiểm chứng a vẫn có lập luận là 2 cái chả khác gì nhau bởi vì đối với người không hiểu code thì cũng k có ý nghĩa.
Lựa chọn dùng hay không là do cá nhân mỗi người nên tôi thấy tôi chả có gì để a gọi tôi là "TIÊU CHUẨN KÉP" bởi gì các tiêu chuẩn a đặt ra tôi đã phản biện cho a thấy còn a vẫn cứ giọng văn áp đặt thì cũng k có ý nghĩa gì cả

Tiếp tục a nhắc đến ente - Cá nhân tôi k sài và k biết đến anh này nên quá trình search thì t có thấy Ente successfully completes a security audit (https://ente.io/blog/cryptography-audit/) không biết phải đơn vị mà a đang nói ko. Nên tôi cứ mặc định theo cá nhân là dịch vụ này đang được nhắc tới - nếu không phải a vui lòng nhắc và cho tôi tài liệu chính xác

Như đã nói ở trên và a đã xác nhận là ente đã được công nhận là an toàn (tôi không khẳng định 100%) về thuật toán mã hóa E2E của họ. Vậy a phải bắt tôi xác nhận điều gì khi dữ liệu đã được mã hóa E2E và key hoàn toàn không nằm trên server của họ ? Nhân viên của Ente can thiệp được gì vào dữ liệu của khách hàng ?
Authy thì lời nói 1 phía k có 1 bên trung lập chứng minh | Không có 1 ai biết dữ liệu gì đã được gửi tới máy chủ của Authy ngoài họ - Ente đã được chứng minh là đã mã hóa dữ liệu ở đầu cuối
thì nói tới đây tôi có xác nhận hay không chắc có lẽ không quan trọng và cũng k có ý nghĩa gì nữa phải k nào ?

skyfall said:

Uy tín tôi đếm số lần bị hack và độ phổ biến thôi, authy bị hack từ 2022 nhưng đến giờ vẫn nhiều website tích hợp api luôn, chưa kể web nào có 2fa đều vẫn gợi ý dùng authy, kể cả bitwarden chứ ko phải bảo AUTHY BỊ HACK ĐẤY MAU TRÁNH RA. Đấy, uy tín đấy.

Click to expand...

Ý của a là Authy uy tín nên các website người ta đều hỗ trợ ? Có phải ý của a khi phản biện vấn đề này là như vậy ? Điều này là đánh lận qua điểm vì:
Tùy chọn cho phép không có nghĩa là nó an toàn - Đó là sự lựa chọn.
Nói như a như Steam có 2fa riêng không được website nào hỗ trợ api thì nó có uy tín k ?
Và như tôi nói ở trên. Authy bị hack nhưng dữ liệu có bị leak hay không thì không ai chắc chắn được ngoài những người đã hack vào hệ thống của Authy.
Nhưng k phải vì thế mà cho rằng dữ liệu an toàn và khẳng định rằng dịch vụ này bị hack nhưng k làm mất mát dữ liệu.

skyfall said:

Thằng google bị hack cũng chỉ HỨA là thông tin không bị sử dụng trái phép chứ chả có tổ chức nào kiểm tra nhưng vẫn bị phạt 7.5 triệu. Authy cũng hứa là không có dữ liệu leak ra, không bị phạt, không bị kiện nhưng anh không tin.

The tech giant admitted that the flaw in its APIs exposed users’ data, including usernames, email addresses, occupation, date of birth, profile photos, and gender-related information. The bug allowed around 438 third-party developers to access the data, but Google assured its users that there is no evidence of data misuse by any of the developers.

Click to expand...

Về vụ 5m Gmail bị leak a có thể search và tìm hiểu kĩ xem có tổ chức nào có phát biểu ko. Ồ nhớ tìm trên các trang báo lớn lớn tí không lại bảo tẩy trắng. K thì cũng tìm hiểu về công bố của Peter Kruse. Tôi kiến thức nông cạn cũng biết tìm được chắc hơn chục trang tin viết về vụ này.

Về vụ G+ có vẻ a vẫn cứ khăng khăng cố chấp và áp suy nghĩ của mình và khẳng định đó là đúng nhỉ ? Hay đó là thứ bám víu cuối cùng của a ? Ở trên đã có người giải thích cho a về vụ việc này rồi nhưng có lẽ a vẫn cố tính không hiểu hoặc không hiểu thật sự.

À a có thể cho tôi link nguồn Google bị phạt 7.5 triệu vì bị hack ko với ?

@vincvn said:

Cái văn của a nó quen thế. Lúc nào a đuối a cũng thích nhét chữ vào mồm người khác thật !!!
Mồm a lúc nào cũng gắn cái chữ audit. A có hiểu ý nghĩa của nó k ?
A nên tìm hiểu về các thuật ngữ hay gắn lên miệng trước khi bình luận về 1 vấn đề gì !!!

Trong lần phản biện này của a nhắc đến 2FAS để so sánh với Authy.
Ok chúng ta phân tích theo hướng a gắn lên mồm là audit. Trước tiên chúng ta hiểu totp và hotp (các phương pháp mà 2fas đang hỗ trợ) là gì:
Tài liệu lấy luôn tại website của cty T mà a đang bảo vệ:

What is a Time-based One-time Password (TOTP)? | Twilio

TOTP stands for Time-based One-Time Passwords and is a common form of two-factor authentication (2FA). Unique numeric passwords are generated with a standardized algorithm that uses the current time as an input. The time-based passwords are available offline and provide user-friendly, increased...

www.twilio.com

What is a Time-based One-time Password (TOTP)? | Twilio

TOTP stands for Time-based One-Time Passwords and is a common form of two-factor authentication (2FA). Unique numeric passwords are generated with a standardized algorithm that uses the current time as an input. The time-based passwords are available offline and provide user-friendly, increased...

www.twilio.com

Trong tài liệu cho biết TOTP và HOTP đều sử dụng tài liệu chuẩn chung (ref trong trang tài liệu)

Vậy thì những gì Authy có 2FAS cũng có nếu xét về tính bảo mật và toàn vẹn dữ liệu như a nói
1-1

Tiếp theo xét về mã hóa E2E

2FAS cung cấp mã mở và sử dụng quy chuẩn AES GCM và RSA OAEP với khóa SHA-512bit theo thông tin được cung cấp

Is 2FAS end-to-end encrypted? – Support – 2FA Authenticator App (2FAS)

2fas.com

Và 2FAS KHÔNG lưu trữ dữ liệu của khách hàng ở bất kì máy chủ nào do họ kiểm soát - Có mã nguồn để kiểm chứng và sử dụng nếu không tin tưởng vào ứng dụng đã được build sẵn

Authy KHÔNG cung cấp mã nguồn và sử dụng quy chuẩn AES CBC với khóa PBKDF2 được hash 1000 lần - Salt được hash 1000 lần và Authy công bố các dữ liệu ngẫu nhiên được tạo ra theo 1 phương thức bảo mật (Không có tài liệu về phương thức bảo mật này)
Authy tuyên bố họ gửi IV và Salt lên máy chủ nhưng k gửi Encrypted / Decrypt Key

How Authy 2FA Backups Work - Authy

A few years ago Google Authenticator released an update for their iPhone App that wiped users 2FA tokens when installed. That prompted a lot of users to switch to Authy in order to take advantage of our backup feature. We occasionally get questions about this particular feature from both users...

authy.com

Tuy nhiên thông tin trên không thể kiểu chứng vì không có bên t3 kiểm chứng - cũng không có mã nguồn để kiểm chứng

Tới đây có lẽ a sẽ dùng cái giọng văn là không hiểu code 100% nên cũng chả biết là 2FAS có nói thật như họ bảo hay không đúng ko ?
Nếu a thật sự nghĩ vậy thì tôi cũng k có gì để bàn luận với a vì suy cho cùng giữa 1 bên mở để kiểm chứng với 1 bên đóng và không thể kiểm chứng a vẫn có lập luận là 2 cái chả khác gì nhau bởi vì đối với người không hiểu code thì cũng k có ý nghĩa.
Lựa chọn dùng hay không là do cá nhân mỗi người nên tôi thấy tôi chả có gì để a gọi tôi là "TIÊU CHUẨN KÉP" bởi gì các tiêu chuẩn a đặt ra tôi đã phản biện cho a thấy còn a vẫn cứ giọng văn áp đặt thì cũng k có ý nghĩa gì cả

Tiếp tục a nhắc đến ente - Cá nhân tôi k sài và k biết đến anh này nên quá trình search thì t có thấy Ente successfully completes a security audit (https://ente.io/blog/cryptography-audit/) không biết phải đơn vị mà a đang nói ko. Nên tôi cứ mặc định theo cá nhân là dịch vụ này đang được nhắc tới - nếu không phải a vui lòng nhắc và cho tôi tài liệu chính xác

Như đã nói ở trên và a đã xác nhận là ente đã được công nhận là an toàn (tôi không khẳng định 100%) về thuật toán mã hóa E2E của họ. Vậy a phải bắt tôi xác nhận điều gì khi dữ liệu đã được mã hóa E2E và key hoàn toàn không nằm trên server của họ ? Nhân viên của Ente can thiệp được gì vào dữ liệu của khách hàng ?
Authy thì lời nói 1 phía k có 1 bên trung lập chứng minh | Không có 1 ai biết dữ liệu gì đã được gửi tới máy chủ của Authy ngoài họ - Ente đã được chứng minh là đã mã hóa dữ liệu ở đầu cuối
thì nói tới đây tôi có xác nhận hay không chắc có lẽ không quan trọng và cũng k có ý nghĩa gì nữa phải k nào ?



Ý của a là Authy uy tín nên các website người ta đều hỗ trợ ? Có phải ý của a khi phản biện vấn đề này là như vậy ? Điều này là đánh lận qua điểm vì:
Tùy chọn cho phép không có nghĩa là nó an toàn - Đó là sự lựa chọn.
Nói như a như Steam có 2fa riêng không được website nào hỗ trợ api thì nó có uy tín k ?
Và như tôi nói ở trên. Authy bị hack nhưng dữ liệu có bị leak hay không thì không ai chắc chắn được ngoài những người đã hack vào hệ thống của Authy.
Nhưng k phải vì thế mà cho rằng dữ liệu an toàn và khẳng định rằng dịch vụ này bị hack nhưng k làm mất mát dữ liệu.



Về vụ 5m Gmail bị leak a có thể search và tìm hiểu kĩ xem có tổ chức nào có phát biểu ko. Ồ nhớ tìm trên các trang báo lớn lớn tí không lại bảo tẩy trắng. K thì cũng tìm hiểu về công bố của Peter Kruse. Tôi kiến thức nông cạn cũng biết tìm được chắc hơn chục trang tin viết về vụ này.

Về vụ G+ có vẻ a vẫn cứ khăng khăng cố chấp và áp suy nghĩ của mình và khẳng định đó là đúng nhỉ ? Hay đó là thứ bám víu cuối cùng của a ? Ở trên đã có người giải thích cho a về vụ việc này rồi nhưng có lẽ a vẫn cố tính không hiểu hoặc không hiểu thật sự.

À a có thể cho tôi link nguồn Google bị phạt 7.5 triệu vì bị hack ko với ?

Click to expand...

Google đền tiền đây. Authy thì chưa bị kiện, chưa mất tiền dù bị hack 2 năm rồi.

Tùy chọn cho phép không có nghĩa là nó an toàn - Đó là sự lựa chọn.
Nói như a như Steam có 2fa riêng không được website nào hỗ trợ api thì nó có uy tín k ?

Click to expand...

1. Nhiều website SỬ DỤNG Authy song song với TOTP.
2. Nhiều website (trong đó có Bitwarden, mã nguồn mở, có audit) chỉ rõ tên Authy khi gợi ý app 2FA.
Sử dụng, gợi ý tức là an toàn. Không sử dụng, không gợi ý vẫn có thể an toàn, thế nên anh khỏi cần lôi Steam vào đây.

Nếu a thật sự nghĩ vậy thì tôi cũng k có gì để bàn luận với a vì suy cho cùng giữa 1 bên mở để kiểm chứng với 1 bên đóng và không thể kiểm chứng a vẫn có lập luận là 2 cái chả khác gì nhau bởi vì đối với người không hiểu code thì cũng k có ý nghĩa.

Click to expand...

Cho dù mở nhưng không biết kiểm chứng, không có ai audit thì lỗi vẫn có, lỗ hổng vẫn có, issue ngập trên github. Anh thì luôn giả định rằng đóng nguồn = mờ ám. Thế giới này vẫn đa số sản xuất và sử dụng phần mềm mã nguồn đóng, chính những cái anh dùng 2FA để vào đa số cũng là mã nguồn đóng, chẳng việc gì cả. Authy chỉ là 1 trong hàng ngàn phần mềm mã nguồn đóng. Tóm lại, đó là sự giả định không có cơ sở.

Nói chung, từ khi có phần mềm nguồn mở là nhiều anh hoang tưởng, nghĩ rằng đó mới là chân lý. Nguồn mở nó có nhiều công dụng: miễn phí, cộng đồng, nhưng an toàn chắc chắn không phải ưu điểm. Nên nhớ, anh đọc được code thì thằng hacker cũng đọc được code, nó táng lỗi zero day là bình thường, điển hình như heartbleed, shellshock.

ASUS K53SV said:

Vật nhau đau cả đít
Túm lại là case của tôi, authy vẫn sài trên ios bt, android cũng bt, sau đó tôi flash lại rom đó, cài lại authy chục lần k sao (A), rồi tự nhiên mấy hôm trc làm lại đoạn (A) trên thì lúc login xong các mã đều khóa, cần nhập pw backup (ok tôi làm nhiều nên quen r, k lạ gì) thì tự nhiên nó báo incorrect, mà mã đó tôi note lại nên k có chuyện sai hay nhớ nhầm. Rồi tôi qua ios (tbi vẫn đang sd authy bt) thử reset lại pw backup, báo done. Kết quả là cả ngày hôm đó thi thoảng thử lại decrypt trên máy mới kia nó vẫn cứ báo incorrect. Vậy giờ tôi làm tn? Nếu máy ios kia tôi bán, mất, hỏng, reset?

Click to expand...

@skyfall

skyfall said:

Google đền tiền đây. Authy thì chưa bị kiện, chưa mất tiền dù bị hack 2 năm rồi.

https://casetext.com/case/in-re-google-plus-profile-litig

Google+ Class Action Ends In $7.5M Settlement

Google has agreed to pay $7.5 million to settle claims that a Google+ data breach potentially exposed users’ profile information to third-parties.

topclassactions.com

Click to expand...

skyfall said:

Thằng google bị hack cũng chỉ HỨA là thông tin không bị sử dụng trái phép chứ chả có tổ chức nào kiểm tra nhưng vẫn bị phạt 7.5 triệu. Authy cũng hứa là không có dữ liệu leak ra, không bị phạt, không bị kiện nhưng anh không tin.

The tech giant admitted that the flaw in its APIs exposed users’ data, including usernames, email addresses, occupation, date of birth, profile photos, and gender-related information. The bug allowed around 438 third-party developers to access the data, but Google assured its users that there is no evidence of data misuse by any of the developers.

Click to expand...

Tôi quote ở đây để mọi người thấy 1 ngụy quân tử đánh lận con đen khi 1 vụ kiện dân sự a vơ vô đó là bị phạt

skyfall said:

1. Nhiều website SỬ DỤNG Authy song song với TOTP.
2. Nhiều website (trong đó có Bitwarden, mã nguồn mở, có audit) chỉ rõ tên Authy khi gợi ý app 2FA.
Sử dụng, gợi ý tức là an toàn. Không sử dụng, không gợi ý vẫn có thể an toàn, thế nên anh khỏi cần lôi Steam vào đây.

Click to expand...

1. Dựa trên Understanding 2FA, the Authy App, and SMS - Authy (https://authy.com/blog/understanding-2fa-the-authy-app-and-sms/)

Apps like Authy or Google Authenticator generate something called a Time-based One-Time Passcode (TOTP) directly within the app

Click to expand...

Vậy theo như anh nói Authy là 1 phiên bản song song tới TOTP vậy thuật toán của nó là gì ? Được công bố ở đâu ? Ai là người xác nhận độ tin cậy cho nó ?

2. A lại lấp liếm cái quan điểm này - "Sử dụng" (ở đây là có thể - k phải bắt buộc hoặc chỉ được sử dụng Authy) nó khác nghĩa với "Hỗ trợ"
Và đây là quan điểm cá nhân của a hay nó là tiêu chuẩn - theo cách gọi của a và mọi người phải tuân theo ?

Và 1 lần nữa hãy là người văn minh khi tranh luận khi quote bài viết của người khác

@vincvn said:

Ý của a là Authy uy tín nên các website người ta đều hỗ trợ ? Có phải ý của a khi phản biện vấn đề này là như vậy ? Điều này là đánh lận qua điểm vì:
Tùy chọn cho phép không có nghĩa là nó an toàn - Đó là sự lựa chọn.
Nói như a như Steam có 2fa riêng không được website nào hỗ trợ api thì nó có uy tín k ?
Và như tôi nói ở trên. Authy bị hack nhưng dữ liệu có bị leak hay không thì không ai chắc chắn được ngoài những người đã hack vào hệ thống của Authy.
Nhưng k phải vì thế mà cho rằng dữ liệu an toàn và khẳng định rằng dịch vụ này bị hack nhưng k làm mất mát dữ liệu.

Click to expand...

skyfall said:

Cho dù mở nhưng không biết kiểm chứng, không có ai audit thì lỗi vẫn có, lỗ hổng vẫn có, issue ngập trên github.

Click to expand...

Chúng ta dẫn chứng từng ý kiến
Dù mở nhưng không biết kiểm chứng:
Như tôi đã dẫn chứng ở trên - Tài liệu của các bên đều công khai thuật toán mã hóa tiêu chuẩn - Được thế giới công nhận là an toàn (Nhắc lại tôi không bảo 100%) tới thời điểm hiện tại. Xin lưu ý về góc độ quy chuẩn của thuật toán mã hóa dữ liệu

Không có ai audit thì lỗi vẫn có, lỗ hổng vẫn có, issue ngập trên Github:
Ý kiến phản biện này tôi xin được nêu ra 2 vấn đề -
1. Vấn đề về việc không có ai audit - Tôi xin trích dẫn khái niệm audit công nghệ - Nếu sai mong các fence sửa giúp

Kiểm toán công nghệ thông tin (Information Technology Audit, viết tắt IT Audit) là quá trình thu thập và đánh giá chứng cứ xác định một hệ thống máy tính đã được thiết kế để duy trì tính toàn vẹn dữ liệu, bảo vệ tài sản, cho phép các mục tiêu của tổ chức đạt được hiệu quả và sử dụng các nguồn lực một cách tối ưu. Việc thẩm định các bằng chứng thu nhằm xác định nếu hệ thống thông tin là các tài sản được bảo vệ an toàn, duy trì tính toàn vẹn dữ liệu và hoạt động có hiệu quả nhằm đạt các mục tiêu, mục đích của tổ chức.

Click to expand...

Vậy luận điểm tranh luận ở đây là gì ?
Nói về tính an toàn : Dữ liệu đều được mã hóa với quy chuẩn thế giới - Tôi nhắc lại là quy chuẩn của thế giới chứ k phải do bên nào tự tạo ra. Đừng quy chụp là không có ai audit cho mấy tiêu chuẩn mã hóa này nhé !!!
Nói về tính minh bạch:
Dữ liệu offline và hoàn toàn nằm ở máy anh ?
Trong trường hợp anh muốn dùng tính năng đồng bộ lên mạng Internet dữ liệu hoàn toàn không bị kiểm soát bởi 1 bên thứ 3 mà a không biết bởi vì mã nguồn của nó a có thể hoàn toàn truy cập hoàn toàn kiểm tra hoàn toàn minh bạch ? Tại sao trường hợp này cần phải có kiểm toán ?

Còn về phần Authy - Hoàn toàn là thông tin về 1 phía ?
Chả có 1 tí minh bạch nào ở đây ? Vậy a muốn nhấn mạnh audit là audit gì ? Tại sao a luôn gắn cái chữ audit trên mồm a vậy ?

lỗi vẫn có, lỗ hổng vẫn có, issue ngập trên github

Click to expand...

Chúng ta tiếp tục nói về vấn đề này. Bởi vì tính chất mở nên việc phát hiện ra lỗi có thể nhiều, nhanh hơn các lỗ hổng hay issue đều ngập tràn trên github. Vậy điều đó có chứng minh được là mã nguồn đóng thì không có lỗi, lỗ hổng không có, không có issue hay không ?
Lập luận này chả chứng minh được ý nghĩa gì cả vậy a đưa vào làm gì ???

skyfall said:

Anh thì luôn giả định rằng đóng nguồn = mờ ám. Thế giới này vẫn đa số sản xuất và sử dụng phần mềm mã nguồn đóng, chính những cái anh dùng 2FA để vào đa số cũng là mã nguồn đóng, chẳng việc gì cả. Authy chỉ là 1 trong hàng ngàn phần mềm mã nguồn đóng. Tóm lại, đó là sự giả định không có cơ sở.

Click to expand...

Tôi không giả định đóng nguồn là mờ ám - Anh không cần nhét chữ vào mồm tôi. Nhưng đóng nguồn thì chắc chắn người dùng không biết về những gì anh đang làm phải không ?
Đây lại tiếp tục là việc anh đánh lận con đen khi quy chụp 1 ứng dụng là chìa khóa tương ứng với ứng dụng đang sử dụng và cho rằng đó là việc bình thường !!!
Vẫn là cắt nghĩa câu từ theo ý của anh và nhét chữ vào mồm người khác để lập luận cho ý của mình. Đó mới là không có cơ sở

skyfall said:

Nói chung, từ khi có phần mềm nguồn mở là nhiều anh hoang tưởng, nghĩ rằng đó mới là chân lý. Nguồn mở nó có nhiều công dụng: miễn phí, cộng đồng, nhưng an toàn chắc chắn không phải ưu điểm. Nên nhớ, anh đọc được code thì thằng hacker cũng đọc được code, nó táng lỗi zero day là bình thường, điển hình như heartbleed, shellshock.

Click to expand...

Ồ tôi thật bất ngờ về sự khẳng định của a về người khác ? Hãy ở vị trí của mình và đừng áp đặt tư duy ấu trĩ của bản thân lên người khác

Vâng những thứ a nói thật đáng tự hào ? A nói cứ như đó giờ mấy cái phần mềm nguồn đóng không có lỗi ? Lại còn lỗi zero day !!! A càng nói tôi càng thấy a giống 1 thằng chả biết gì !!!
Tôi đọc được code vậy hacker cũng đọc được code => Phần mềm nguồn đóng an toàn vì hacker chả biết code cái gì hay sao ? Luận điểm thật thuyết phục

Mà tôi thấy a càng nói càng đi xa. Trong phạm vi các ứng dụng 2fa việc minh bạch và an toàn khi trao chìa khóa của mình vào tay 1 ai đó hay 1 sản phẩm nào đó tôi nghĩ chắc k cần nói ai cũng hiểu ? Vậy chúng ta chỉ nên tranh luận trong phạm vi này thôi đừng lan man dông dài làm gì

Giờ xài 2FA em chỉ sợ nhất là bị 2FA cản bản thân vào mấy cái acc của mình.

Điển hình là trước giờ em xài OTP gửi tới SMS, 1 lần đột nhiên không nhận được OTP từ Patreon nữa, kẹt 5000 đô trong đó, hoảng vcc, đọc hướng dẫn của patreon thì nó bảo gọi lên nhà mạng xem nó có chặn tin nhắn không. Gọi lên vinaphone thì gặp con bé support nó bảo ủa ai bít gì đâu, liên hệ bên kia đi pa. Douma bên này nói bên kia, bên kia nói bên này, may mà gửi mail hỗ trợ của patreon thì gặp thằng support nó trả lời, hỗ trợ nhiệt tình, hỏi vài info xong nó gỡ cái 2FA ra cho, thế là vào được.

Rồi hôm nọ thằng Paypal lại dở chứng không gửi OTP qua SMS, thế là lại kẹt không vào được, kẹt 15000 đô trong đó, lại hoảng vc, lên xem hướng dẫn của paypal thì nó lại bảo y như thằng patreon, kêu em gọi lên nhà mạng hỏi xem nó có chặn tin nhắn không, douma nó chứ. Mò mò trên các diễn đàn thì chúng chỉ gọi điện cho support, hôm đó lại là tối thứ 6 mà bọn đấy thì chỉ làm giờ hành chính, thế là tính chờ tới sáng thứ 2 gọi, may mà hôm sau thử lại thì nó gửi SMS lại rồi, hết cả hồn.

Sợ quá giờ nghiên cứu mấy cái 2FA qua app.

Nhưng vấn đề tới nữa, hôm nọ em đi biển chơi, cầm điện thoại ra chụp vợ mặc bikini, chụp xong kéo nó xuống biển tắm, còn điện thoại thì để trên bờ cát, lên thì thấy hỏng mẹ cái điện thoại.

Trong cái đt đó có cái app Authy lúc trước em tải, vì Voz bắt phải xài, giờ cái điện thoại hỏng rồi, em lại chẳng lưu mấy cái code hay mật khẩu dự phòng gì gì đó, thế là chịu chết đéo vào đc acc Voz trên cái điện thoại mới.

May sao vẫn còn login trên pc, gỡ 2FA cũ ra cài cái mới lại đc. Giờ đang xài cái Microsoft Authenticator, nhưng rút kinh nghiệm từ vụ app Authy, em ngồi nghiên cứu tối giờ, xem hỏng, mất điện thoại, mất số các thứ thì phải làm thế nào.

Em search từ khóa liên quan, thì lại hoảng, thấy nhiều người gặp vấn đề bị mất tài khoản do chính cái 2FA này quá. Kể cả khi có cẩn thận lưu lại cái recovery code, thì vẫn thấy họ vật vã vcl.

Khi cài app trên điện thoại mới, nó cho điền cái "tài khoản dùng để lưu trữ" để khôi phục data trong cái app cũ, nhưng cái tài khoản đó thì lại bị chính cái app đó 2FA, đòi nhập code, nhưng đã vào được đâu mà lấy.

Vật vã một hồi điền được recovery code rồi thì nó lại bắt chờ 30 ngày, chờ xong 30 ngày chả thấy mẹ gì xong lại bắt điền tiếp rồi lại bắt chờ 30 ngày.

Không biết tại lỗi mấy người đó làm sai quy trình hay tại MS Authen thực sự ngu. Nhưng thấy nhiều người mất sạch các tài khoản vì mất điện thoại rồi vật lộn với cái app MS Authen, liên lạc với support thì toàn gặp bot, đọc mà hãi hùng khiếp vía quá các bác.

Tính em lại nhanh nhẩu đoảng, nên điện thoại của em đa phần là đột tử chứ chả lưu được mệ gì. Lỡ bữa nào cái điện thoại dang dùng nó lại chết sảng, không vào đc mấy cái tài khoản thường dùng chắc em chết.

Tóm lại mong các bác giới thiệu dùm em 1 app nào đó, mà nó cho 1 cái code backup để mình lưu lại, sau này mất điện thoại, đổi điện thoại hay gì đó thì chỉ cần điền cái đó vào là vào được app như bình thường. Tốt nhất là các bác từng trải nghiệm qua quá trình đó luôn, chứ mấy cái hướng dẫn, giới thiệu trên mạng toàn nghe đơn giản, tới khi thực sự làm thì người dùng cứ bị quay mòng mòng không biết đường nào mà lần.

YamagiLight said:

Giờ xài 2FA em chỉ sợ nhất là bị 2FA cản bản thân vào mấy cái acc của mình.

Điển hình là trước giờ em xài OTP gửi tới SMS, 1 lần đột nhiên không nhận được OTP từ Patreon nữa, kẹt 5000 đô trong đó, may mà gửi mail có thằng support nó trả lời, hỗ trợ nhiệt tình, gỡ cái 2FA ra thế là vào được.

Hôm nọ thằng Paypal lại dở chứng không gửi OTP qua SMS, thế là kẹt không vào được, kẹt 15000 đô trong đó hoảng vc, hôm đó lại là tối thứ 6 ko gọi support được, tính chờ tới sáng thứ 2 gọi, may mà hôm sau thì nó gửi lại.

Sợ quá giờ nghiên cứu mấy cái 2FA qua app.

Nhưng vấn đề tới nữa, hôm nọ em đi biển chơi, cầm điện thoại ra chụp vợ mặc bikini xong để trên bờ cát, lên thấy hỏng mẹ cái điện thoại, trong đó có cái app Authy lúc trước em tải vì Voz bắt phải xài, giờ cái điện thoại hỏng rồi, em lại chẳng lưu mấy cái code hay mật khẩu dự phòng gì gì đó, thế là chịu chết đéo vào đc acc Voz trên cái điện thoại mới.

May sao vẫn còn login trên pc, gỡ 2FA cũ ra cài cái mới lại đc. Giờ đang xài cái Microsoft Authenticator, nhưng rút kinh nghiệm từ vụ app Authy, em ngồi nghiên cứu tối giờ xem hỏng, mất điện thoại, mất số các thứ thì phải làm thế nào.

Em search từ khóa liên quan thì thấy nhiều người gặp vấn đề này quá, kể cả khi có cái recovery code cũng thấy họ cũng vật vã các kiểu. Nó bắt điền cái tài khoản lưu trữ để khôi phục cái app đó, nhưng cái tài khoản đó thì lại bị chính cái app đó 2FA và cứ bắt điền code, nhưng đã vào được đâu mà lấy. Khi điền recovery code thì bắt chờ 30 ngày, chờ xong 30 ngày chả thấy mẹ gì xong lại bắt điền tiếp rồi lại bắt chờ 30 ngày.

Không biết tại lỗi mấy người đó làm sai quy trình hay tại MS Authen thực sự ngu. Nhưng thấy nhiều người mất sạch các tài khoản vì mất điện thoại rồi vật lộn với cái app MS Authen, liên lạc với support thì toàn gặp bot, đọc mà hãi hùng khiếp vía.

Tóm lại mong các bác giới thiệu dùm em 1 app nào đó, mà nó cho 1 cái code backup để mình lưu lại, sau này mất điện thoại, đổi điện thoại hay gì đó thì chỉ cần điền cái đó vào là vào được app như bình thường. Tốt nhất là các bác từng trải nghiệm qua quá trình đó luôn, chứ mấy cái hướng dẫn, giới thiệu trên mạng toàn nói thì hay, tới khi thực sự làm thì người dùng cứ bị quay mòng mòng không biết đường nào mà lần.

Click to expand...

lúc bật 2FA thì chụp cái QR kèm code lại, sau thích add thằng nào thì add.

blueice said:

lúc bật 2FA thì chụp cái QR kèm code lại, sau thích add thằng nào thì add.

Click to expand...

Tức là có cái QR/code đó, thì lỡ em không vào được cái app Microsoft Authenticator hay Authy cũ (vì mất, hỏng, reset điện thoại) thì vẫn dùng app mới để add nó vào đc, rồi tạo code 2FA để vào bình thường à bác?

YamagiLight said:

Tức là có cái QR/code đó, thì lỡ em không vào được cái app Microsoft Authenticator hay Authy cũ (vì mất, hỏng, reset điện thoại) thì vẫn dùng app mới để add nó vào đc, rồi tạo code 2FA để vào bình thường à bác?

Click to expand...

đúng rồi thím.

YamagiLight said:

Giờ xài 2FA em chỉ sợ nhất là bị 2FA cản bản thân vào mấy cái acc của mình.

Điển hình là trước giờ em xài OTP gửi tới SMS, 1 lần đột nhiên không nhận được OTP từ Patreon nữa, kẹt 5000 đô trong đó, hoảng vcc, đọc hướng dẫn của patreon thì nó bảo gọi lên nhà mạng xem nó có chặn tin nhắn không. Gọi lên vinaphone thì gặp con bé support nó bảo ủa ai bít gì đâu, liên hệ bên kia đi pa. Douma bên này nói bên kia, bên kia nói bên này, may mà gửi mail hỗ trợ của patreon thì gặp thằng support nó trả lời, hỗ trợ nhiệt tình, hỏi vài info xong nó gỡ cái 2FA ra cho, thế là vào được.

Rồi hôm nọ thằng Paypal lại dở chứng không gửi OTP qua SMS, thế là lại kẹt không vào được, kẹt 15000 đô trong đó, lại hoảng vc, lên xem hướng dẫn của paypal thì nó lại bảo y như thằng patreon, kêu em gọi lên nhà mạng hỏi xem nó có chặn tin nhắn không, douma nó chứ. Mò mò trên các diễn đàn thì chúng chỉ gọi điện cho support, hôm đó lại là tối thứ 6 mà bọn đấy thì chỉ làm giờ hành chính, thế là tính chờ tới sáng thứ 2 gọi, may mà hôm sau thử lại thì nó gửi SMS lại rồi, hết cả hồn.

Sợ quá giờ nghiên cứu mấy cái 2FA qua app.

Nhưng vấn đề tới nữa, hôm nọ em đi biển chơi, cầm điện thoại ra chụp vợ mặc bikini, chụp xong kéo nó xuống biển tắm, còn điện thoại thì để trên bờ cát, lên thì thấy hỏng mẹ cái điện thoại.

Trong cái đt đó có cái app Authy lúc trước em tải, vì Voz bắt phải xài, giờ cái điện thoại hỏng rồi, em lại chẳng lưu mấy cái code hay mật khẩu dự phòng gì gì đó, thế là chịu chết đéo vào đc acc Voz trên cái điện thoại mới.

May sao vẫn còn login trên pc, gỡ 2FA cũ ra cài cái mới lại đc. Giờ đang xài cái Microsoft Authenticator, nhưng rút kinh nghiệm từ vụ app Authy, em ngồi nghiên cứu tối giờ, xem hỏng, mất điện thoại, mất số các thứ thì phải làm thế nào.

Em search từ khóa liên quan, thì lại hoảng, thấy nhiều người gặp vấn đề bị mất tài khoản do chính cái 2FA này quá. Kể cả khi có cẩn thận lưu lại cái recovery code, thì vẫn thấy họ vật vã vcl.

Khi cài app trên điện thoại mới, nó cho điền cái "tài khoản dùng để lưu trữ" để khôi phục data trong cái app cũ, nhưng cái tài khoản đó thì lại bị chính cái app đó 2FA, đòi nhập code, nhưng đã vào được đâu mà lấy.

Vật vã một hồi điền được recovery code rồi thì nó lại bắt chờ 30 ngày, chờ xong 30 ngày chả thấy mẹ gì xong lại bắt điền tiếp rồi lại bắt chờ 30 ngày.

Không biết tại lỗi mấy người đó làm sai quy trình hay tại MS Authen thực sự ngu. Nhưng thấy nhiều người mất sạch các tài khoản vì mất điện thoại rồi vật lộn với cái app MS Authen, liên lạc với support thì toàn gặp bot, đọc mà hãi hùng khiếp vía quá các bác.

Tính em lại nhanh nhẩu đoảng, nên điện thoại của em đa phần là đột tử chứ chả lưu được mệ gì. Lỡ bữa nào cái điện thoại dang dùng nó lại chết sảng, không vào đc mấy cái tài khoản thường dùng chắc em chết.

Tóm lại mong các bác giới thiệu dùm em 1 app nào đó, mà nó cho 1 cái code backup để mình lưu lại, sau này mất điện thoại, đổi điện thoại hay gì đó thì chỉ cần điền cái đó vào là vào được app như bình thường. Tốt nhất là các bác từng trải nghiệm qua quá trình đó luôn, chứ mấy cái hướng dẫn, giới thiệu trên mạng toàn nghe đơn giản, tới khi thực sự làm thì người dùng cứ bị quay mòng mòng không biết đường nào mà lần.

Click to expand...

Để chắc ăn thêm nữa thì mua thêm 1 cái Yubikey về sài

YamagiLight said:

Tóm lại mong các bác giới thiệu dùm em 1 app nào đó, mà nó cho 1 cái code backup để mình lưu lại, sau này mất điện thoại, đổi điện thoại hay gì đó thì chỉ cần điền cái đó vào là vào được app như bình thường. Tốt nhất là các bác từng trải nghiệm qua quá trình đó luôn, chứ mấy cái hướng dẫn, giới thiệu trên mạng toàn nghe đơn giản, tới khi thực sự làm thì người dùng cứ bị quay mòng mòng không biết đường nào mà lần.

Click to expand...

nhiều aegis, 2fas đều cho xuất ra file json, file json đó thích đem đâu thì đem, mốt tải lại cái app đó add lại là xong. Hoặc như mấy # trên có nói backup lại mã qr, cơ mà như vậy thì ko nhàn cho lắm, thêm từng cái khá mệt.

YamagiLight said:

Tóm lại mong các bác giới thiệu dùm em 1 app nào đó, mà nó cho 1 cái code backup để mình lưu lại, sau này mất điện thoại, đổi điện thoại hay gì đó thì chỉ cần điền cái đó vào là vào được app như bình thường. Tốt nhất là các bác từng trải nghiệm qua quá trình đó luôn, chứ mấy cái hướng dẫn, giới thiệu trên mạng toàn nghe đơn giản, tới khi thực sự làm thì người dùng cứ bị quay mòng mòng không biết đường nào mà lần.

Click to expand...

Bạn xài Authy thì chỉ cần sđt là đăng nhập lại đc mà, còn cái backup password mà bạn quên thì thua luôn, vì cái đó là để bảo mật.

Còn nếu bạn ko cần quan tâm lắm về vấn đề bảo mật thì cứ xài Google Authenticator cho tiện, nó lưu vs tài khoản Gmail của bạn luôn.